數據泄漏通報機制對比：知情不報，該當何罪？
責編：gltian ｜2025-07-24 15:21:54自2025年年初以來，驢包持續曝光的客戶信息泄漏事件，為了解亞太地區主要司法轄區的個保、數據法規制度，提供了重要的實例。此前已經針對其旗下品牌在韓國數據泄漏通報予以討論（見 以LV韓國客戶信息泄露事件為例：聊聊個人信息泄露后的通知怎么寫？）。本篇則嘗試比較不同司法轄區的數據泄露通報機制，尤其是違反通報要求的行政處罰。
2025年上半年，全球奢侈品巨頭LVMH集團遭遇了史無前例的數據安全危機。從5月份迪奧品牌的首次數據泄露開始，到7月份路易威登香港公司42萬客戶信息外泄，這一系列網絡安全事件不僅暴露了奢侈品行業在數據保護方面的嚴重漏洞，更引發了亞太地區各司法轄區的監管反應，尤其是中國香港（被泄露的客戶信息量最大）和韓國（在個保領域有強監管機制）。
本文以中國香港、日本、韓國以及新加坡四個司法轄區為對象，分析其針對LV客戶信息泄漏事件，可能采取哪些執法措施。這些司法轄區均建立了數據泄露通報制度，但在通報觸發條件、時限要求及監管機構的執法重點上存在顯著差異。
以下表格為四個司法轄區的有關數據通報要求的匯總表格。需要注意的是，在發生數據泄漏時，雖各個司法轄區都規定了針對監管機構的通報機制，以及針對受影響個人的通知機制，但不同司法轄區針對這兩種機制所規定的觸發條件以及時限存在顯著區別。
（注：新加坡對“重大損害”的定義在《個人數據保護（數據泄露通報）條例2021》中有明確規定，例如泄露個人的全名或身份證號碼，并結合了財務、健康等敏感信息，或泄露賬戶憑證）
一、中國香港
1.1 法律框架
香港的個人數據保護制度由《個人資料（私隱）條例》（PDPO，香港法例第486章）及其監管機構個人資料私隱專員公署（PCPD）共同構成。與其他主要司法轄區不同，香港在數據泄露通報方面的法律框架未設立法定的強制性通報機制。
目前，企業的通報義務主要源于PCPD發布的《資料外泄事故的處理及通報指引》。該指引屬于行政建議性質，鼓勵資料使用者在發生“相當可能會對資料當事人造成實際損害的風險”的數據泄露事件時，自愿向PCPD及受影響的個人進行通報。
盡管香港政府曾計劃修訂PDPO以引入強制通報機制，建議將觸發點設為“有真實風險會造成重大損害”并設定5個工作日的時限，但截至2025年初，該立法計劃因考慮到對中小企業的潛在影響已被暫時擱置。
1.2 執法機制與實踐
盡管通報在法律上是自愿的，但PCPD在執法實踐中采用“間接處罰”機制。該機制將通報的及時性與企業是否履行其在PDPO下的“保障資料第4原則（DPP4）”相聯系。DPP4要求資料使用者必須采取“所有切實可行的步驟，以確保由其持有或控制的個人資料受保障而不受未獲準許的或意外的查閱、處理、刪除、喪失或使用所影響”。這意味著，盡管沒有關于延遲通報的直接處罰機制，但是PCPD基于PDP4而對延遲通報采取執法措施。
在實踐中，PCPD的執法邏輯如下：
1)?延遲通報作為違規證據：若企業出現不合理的延遲通報，PCPD會將其視為企業可能缺乏有效事件響應計劃的初步證據，從而可能違反DPP4。
2)?啟動調查與發出執行通知：基于此證據，PCPD有權對該企業是否全面遵守DPP4展開正式調查。如果調查后裁定企業違反了DPP4，PCPD將向該企業發出具有法律約束力的執行通知，指令企業在規定期限內采取具體的補救措施。
3)?針對不遵守執行通知的刑事處罰：法律風險源于未能遵守執行通知。根據PDPO第50A條，任何資料使用者若無合理辯解而違反執行通知，即屬刑事犯罪。首次定罪可處以最高50,000港元的罰款及兩年監禁。如果違規行為持續，還可被處以每日1,000港元的額外罰款。
這種執法路徑表明，在香港，延遲通報可能觸發PCPD對企業整體數據安全治理體系的審查。一旦審查發現問題并發出執行通知，企業若未能整改，將面臨刑事后果。在LV數據泄露事件中，該公司在知悉事件超過兩周后才向PCPD通報。PCPD隨即展開調查，并明確將“事件是否涉及延誤通報”作為調查重點之一。這正是因企業延遲通報而導致PCPD基于違反DPP4而發出執行通知。
二、日本
2.1 法律框架
自2022年4月1日起生效的修訂版《個人信息保護法》(APPI)確立了強制性的數據泄露報告與通知制度，由個人信息保護委員會(PPC)負責監管。
2.2 執法機制與實踐
日本PRC的執法模式以糾正為先。APPI并未為“未能按時通報”或“未能通報”本身設定直接的罰款，而是遵循一個遞進的執法程序。
1)指導與建議：當PPC發現企業存在違規行為時，其首要措施通常是向企業提供指導和建議。
2)發出命令：如果企業未能采納指導和建議，PPC可以發出具有法律約束力的命令。
3)不遵守命令的處罰：當企業未能遵守PPC發出的命令時，才會面臨處罰。根據APPI，對于不遵守命令的企業法人，可處以最高1億日元的罰款。對于負責違規行為的個人，可處以最高1年監禁或100萬日元的罰款。
4)虛假報告的處罰：向PPC提交虛假報告是一項獨立的違法行為，可被處以最高50萬日元的罰款。
截至2025年中期，在PPC公開的執法案例中，未出現專門因“未按時通報數據泄露”而對企業處以罰款的實例。PPC的執法活動記錄顯示，其工作重點更多地放在通過發出指導、建議和命令來促使企業合規。此外，PPC目前正在進行APPI的立法審查，其中一個議題是考慮引入行政罰款制度（administrative fine system）。如果該制度得以實施，PPC可能被賦予直接對違規行為處以罰款的權力，這將改變日本的合規風險格局。上述機制如何適用于LV集團的數據泄露事件，有待后續進一步觀察。
三、韓國
3.1 法律框架
韓國的《個人信息保護法》（PIPA）及其監管機構個人信息保護委員會（PIPC）共同構建了嚴格的數據泄露通報制度。其核心特征是明確的“72小時通報時限”。(有關72小時規則具體討論，見以LV韓國客戶信息泄露事件為例：聊聊個人信息泄露后的通知怎么寫？）
3.2 執法機制與實踐
韓國PIPC嚴格執行程序性規定，延遲通報被認定為獨立的違法行為，并且若“未能遵守72小時通報義務”的行為將會導致直接的行政罰款。
下列已公開的處罰案例顯示了PIPC對72小時通報時限的嚴格執行
- Modetour Network案：該公司因數據泄露，在知悉事件后延遲了約兩個月才通知客戶。PIPC在處罰決定中，除了因安全措施不足處以罰金外，還單獨就延遲通報等程序性違規處以了1,020萬韓元的行政罰款，并指出“延遲通知也加劇了隱私擔憂”。
- TELUS International AI案：該公司因數據泄露事件通知延遲，被PIPC認定“沒有正當理由”，被處以總計8,920萬韓元的罰款。
- 韓國國家法院管理局案：該單位在知悉數據泄露后數月才進行通報，PIPC依據PIPA第34條的通報規定，對其處以了600萬韓元的行政罰款。
- CLASSU Inc.案：該在線教育平臺因延遲報告數據泄露，被PIPC處以720萬韓元的罰款。
這些案例表明，在韓國，72小時通報時限是一項嚴格的法律要求。企業在發現潛在泄露時，必須確保在72小時內完成初步的對外通報。而在PIPC針對LVMH集團旗下多個品牌在韓國的數據泄露事件展開調查，其中一個調查焦點是“遲延通報”。具體調查結果暫時還未披露。
四、新加坡
4.1 法律框架
新加坡通過其《個人數據保護法》（PDPA）及2021年2月1日生效的《個人數據保護（數據泄露通報）條例2021》，建立了一套規范化的強制性通報框架。該框架由個人數據保護委員會（PDPC）負責監管。
4.2?執法實踐
新加坡模式的特點在于，其在官方發布的《數據保護條款執行咨詢指引》中，明確地將通報的及時性與罰款金額直接掛鉤。該指引列出了一系列在計算罰款時可能考慮的加重和減輕情節 （針對PDPC如何酌情考慮的討論，見新加坡數據合規深度解析：跨國企業應對PDPC執法的實踐指南）：
- 減輕情節包括：機構“立即采取措施通知受影響的個人”以及“在得知違規后立即自愿通知委員會”。
- 加重情節則包括：機構“未能以有效和迅速的方式積極采取合理步驟與個人解決問題”。
這一機制在PDPC的執法案例中得到了充分體現。例如，在對ShopBack的處罰決定中，PDPC特別指出，該公司在發現其AWS密鑰被泄露后，花費了15天才做出響應，這一延遲被視為一個加重因素。這種制度設計為企業提供了清晰的經濟激勵：迅速、透明的響應和通報可以直接轉化為更低的罰款金額。它促使企業不僅要投資于預防措施，更要大力投資于高效的事件響應和危機溝通能力。
此外，PDPA還規定了對個人通報的一項重要豁免：如果組織采取了及時的補救行動，并成功地使數據泄露“不太可能對受影響的個人造成重大損害”，則可以免除對個人的通知義務。因此雖然本次LV事件，并未看到PDPC對此有何公開調查行動，但對于可能遭遇此類事件的其他跨國企業，及時采取有效通知措施有助于其免受加重處罰。