网站或 App 里的用户信息泄露了，马上补救，通知用户和主管部门，被人攻击的去公安报案

谁该做，谁先别做

收集了用户手机号、地址等信息的网站和 App 运营者。泄露了先补救、再通知用户和主管部门，捂着不报罚得更重。

花掉什么

换回什么

个人信息保护法原话是「发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人」。通知要写三样：泄露了哪类信息、原因和可能的危害；你做了什么补救、用户自己能做什么来减轻危害；你的联系方式。你的补救确实能避免危害的，可以不通知用户。但主管部门认为可能造成危害的，有权要求你通知。网络数据安全管理条例说，通知可以用「电话、短信、即时通信工具、电子邮件或者公告等方式」。处置时发现涉嫌犯罪线索的，要向公安机关、国家安全机关报案。不履行这些义务的，责令改正、警告、没收违法所得，违法的 App 可以被责令暂停或者终止服务。拒不改正的，罚 100 万元以下，直接负责的人罚 1 万到 10 万元。情节严重的，罚 5000 万元以下或者上一年营业额 5% 以下，负责人罚 10 万到 100 万元。民事上，用户因此受了损害，你「不能证明自己没有过错的，应当承担损害赔偿等侵权责任」。泄露规模大的还要按时报告。国家网信办的办法规定，泄露 100 万人以上个人信息算「较大网络安全事件」。这类事件，一般网站和 App 要向所在省的网信部门报告，「最迟不得超过4小时」，渠道之一是 12387 热线。处置结束后 30 日内还要交一份总结报告。迟报、漏报、谎报、瞒报造成重大危害后果的，从重处罚。反过来，已经采取合理必要的防护、按预案处置、并且及时报告的，「可视情从轻或不予追究」（全国，报告办法 2025 年 11 月起）

怎么做 · 三步

1. 先堵口子：改掉出问题的权限和密钥，把泄露范围查清
2. 写通知发给用户：泄露了哪类信息、可能有什么危害、他能做什么
3. 规模大的按时报告：最迟不超过 4 小时，处置完 30 日内交总结

关键数字

4小时

较大网络安全事件向省级网信部门报告的最迟时限

100万人

算较大网络安全事件的泄露人数门槛

6个月

日志要留够的时间，出事才查得清

常见坑

小站泄露几百、几千人也要补救和通知，只是达不到 4 小时报告那道门槛。

作者备注

小站泄露几百、几千人，也要按个人信息保护法补救和通知，只是达不到 4 小时报告那道门槛。通知用户时，把能做的事写具体：改哪个密码，提防冒充客服打来的电话。日志留够 6 个月，出事时才查得清是从哪里漏的，见第 11 节第 16 条（按等级保护要求留日志）。用户被泄露之后自己怎么防，见第 14 节

出处