问题库/创业与副业
用户信息放到境外、或者泄露了怎么办
把境内用户的信息传到境外的机器上就叫出境，服务器放境外也一样；当年累计不满10万人、不含敏感信息的，安全评估、认证、标准合同三样都免，但要告诉用户境外谁收、干什么，并单独征得同意。真泄露了先改掉出问题的权限和密钥、查清范围，通知用户和主管部门，被人攻击的去公安报案。
这里不保证什么
人数按当年1月1日起累计算，不是往回数十二个月；小站泄露几百、几千人也要补救和通知，只是达不到4小时报告那道门槛；面向公众的生成式AI服务上线前还要做安全评估、办算法备案。
展开看依据3 条 · 点标题进原条目
用户信息不要随手放到境外，出境有法定条件和人数门槛
把境内用户的信息传到境外的机器上，就叫出境，服务器放在境外也一样。一般要过网信部门的安全评估，或者做认证、签标准合同。当年累计不满 10 万人、不含敏感信息的，这三样都免。还要告诉用户境外谁收、拿去做什么，并单独征得他同意。
- 先算人数：自当年 1 月 1 日起累计向境外提供了多少人的信息
- 不满 10 万人且不含敏感信息的，评估、认证、标准合同三样都免
- 要传的同时告诉用户境外谁收、干什么，并单独征得他同意
坑服务器放境外不等于数据没出境；人数按当年 1 月 1 日起累计算，不是从今天往回数十二个月。
成本：不花钱。最省事的办法是把用户数据留在境内。确实要传到境外的，走标准合同或者做认证第 26 节 · 做一个网站或平台：资质、备案和服务器
出处
全国人大常委会 (2021). 个人信息保护法（第三十八、三十九、四十条）. <https://www.spp.gov.cn/spp/fl/202108/t20210820_527244.shtml> ; 国家互联网信息办公室 (2024). 促进和规范数据跨境流动规定（网信办令第 16 号，第三、四、五、七、八条）. <https://www.gov.cn/gongbao/2024/issue_11366/202405/content_6954192.html> ; 国家互联网信息办公室 (2022). 数据出境安全评估办法（网信办令第 11 号，第四条）. <https://www.cac.gov.cn/2022-07/07/c_1658811536396503.htm>
网站或 App 里的用户信息泄露了，马上补救，通知用户和主管部门，被人攻击的去公安报案
用户信息泄露或者可能泄露，你要马上补救，通知主管部门和受影响的用户。捂着不报，先责令改正，不改罚 100 万元以下，严重的罚 5000 万元以下。用户因此受损，你证明不了自己没过错就要赔。做了防护、按预案处置并及时报告的，可以视情从轻或者不追究。
- 先堵口子：改掉出问题的权限和密钥，把泄露范围查清
- 写通知发给用户：泄露了哪类信息、可能有什么危害、他能做什么
- 规模大的按时报告：最迟不超过 4 小时，处置完 30 日内交总结
坑小站泄露几百、几千人也要补救和通知，只是达不到 4 小时报告那道门槛。
成本：不花钱。要提前写好一份出事时的处置预案：谁拍板，先堵哪个口子，通知用户的话怎么写。难在出事那一刻的本能是捂住，不想让用户知道第 26 节 · 做一个网站或平台：资质、备案和服务器
出处
全国人大常委会 (2021). 个人信息保护法（第五十七、六十六、六十九条）. <https://www.spp.gov.cn/spp/fl/202108/t20210820_527244.shtml> ; 全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十七、四十四、七十一条；2016 年文本为第二十五、四十二条）. <https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm> ; 国务院 (2024). 网络数据安全管理条例（国务院令第 790 号，第十一条）. <https://www.gov.cn/gongbao/2024/issue_11646/202410/content_6980863.html> ; 国家互联网信息办公室 (2025). 国家网络安全事件报告管理办法（第四、八、九、十、十一条，附件《网络安全事件分级指南》）. <https://www.cac.gov.cn/2025-09/15/c_1759583017717009.htm>
对公众提供生成式 AI 服务前先按规定做安全评估和算法备案，生成内容加标识
面向公众、能影响舆论或动员人的生成式 AI 服务，上线前要做安全评估、办算法备案，改了或停了还要办变更、注销。生成的图片和视频要加标识。自己用、不对公众开放的小工具不用管这些。违反了按网络安全法等法律处罚。
- 先判断服务是不是面向境内公众、有没有舆论属性或动员能力
- 上线前做安全评估，再按算法推荐规定办算法备案
- 生成的图片视频加标识，改了或停了就办变更、注销
坑这个办法自己没写罚多少钱，违反了要回到网络安全法、数据安全法、个人信息保护法里找处罚，所以定 B 级，别以为没有罚则。
成本：不花钱，但要走网信部门的流程，办下来要花些时间。做的工具只要不向境内公众提供服务，就不适用这个办法第 11 节 · 程序员和技术人容易踩的红线
出处
国家互联网信息办公室等七部门 (2023). 生成式人工智能服务管理暂行办法（第二、十二、十七、二十一条）. <https://www.gov.cn/zhengce/zhengceku/202307/content_6891752.htm>
同类问题
这条回答是给一个正在着急的人写的，不是法律意见或医嘱。 金额大、动到人身、或者已经进到程序里，去找律师、医生和办事窗口。