泄露通知义务是什么

发生或者可能发生个人信息泄露、篡改、丢失的，应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包含泄露的信息种类、原因和可能造成的危害，已采取的补救措施，个人可以采取的减轻危害的措施，以及处理者的联系方式。如果能够有效避免信息泄露造成危害（如已及时采取技术措施使数据不可读），可以不通知个人，但监管部门认为可能造成危害时可以要求通知。

通知内容四要素

# 个人信息保护法第五十七条
1 泄露、篡改、丢失的信息种类、原因和可能造成的危害
2 已采取的补救措施
3 个人可以采取的减轻危害的措施
4 处理者的联系方式

内部动作顺序

1 隔离与止损：封禁接口、重置密钥、下线入口
2 取证与影响面评估：谁、什么数据、多少条、是否含敏感信息
3 定级与上报：按行业与监管要求报告
4 用户通知与客服话术准备
5 复盘整改与留档：根因分析、改进项与时间线归档

通知与不通知的判断

• 造成危害的可能性高：通知个人并报告监管部门
• 可能造成危害但影响可控：评估后决定是否通知，留判断记录
• 已采取措施有效避免危害：可以不通知个人，但需能说明措施的有效性
• 监管部门要求通知：按要求执行，不得以内部判断为由拒绝