前几天一位做连锁美容的老板急匆匆找我：

“王律师，我平时挺规矩的，客户信息都是人家自愿留的、也没乱卖。可昨天发现，我们用的那家会员系统被黑客拖库了，好几万条客户电话、消费记录可能出去了。我这算不算‘泄露公民个人信息’？会不会坐牢？现在该怎么救？”

这个担心，这两年特别常见。去年“护网—2026”专项行动里，就有停车管理系统运营企业因为没落实个人信息保护义务、导致数据泄露被网警查处。不少老板以为“我没卖信息就没事”，真出事又慌得乱阵脚——要么捂着不报，要么手忙脚乱删记录，反而把小事故拖成大麻烦。

今天就把“客户信息万一泄露了，怎么补救”讲清楚。这篇是之前《收集客户信息、做会员营销，个保法这根红线别踩》的“下半场”：那篇讲事前怎么收才不越线，这篇讲万一被动泄露了，怎么把损失和处罚降到最低。

先给颗定心丸：泄露 ≠ 坐牢，分情况

很多老板一听“信息泄露”就想到“侵犯公民个人信息罪、要坐牢”。先把这个恐慌放一放。

法律上看，后果分三档，而且“出事后的处置”往往比“出了事”本身，更决定您最后承担什么：

• 最轻：行政整改。绝大多数中小企业只是“没保护好”，不是主动卖。这种情况主要是被监管责令改正、警告、没收违法所得；拒不改的，罚 100 万元以下，直接责任人罚 1 万—10 万。• 重：情节严重。泄露数量巨大、造成大量用户被诈骗、或拒不配合监管的，罚款幅度直接跳到 5000 万元以下，或者上一年度营业额的 5% 以下，直接责任人罚 10 万—100 万，还可能被禁止几年内当公司的董事、高管。• 刑事：主动出售/提供才容易碰。《刑法》第 253 条之一（侵犯公民个人信息罪），门槛是“出售或提供”达到数量：普通信息（姓名+电话之类）5000 条以上、住宿/健康/交易等 500 条以上、行踪轨迹/征信/财产信息 50 条以上，或者违法所得 5000 元以上，就达到“情节严重”，可判 3 年以下；10 倍以上是“情节特别严重”，3—7 年。这个标准（法释〔2017〕10号）到 2026 年仍是现行有效依据。

一句话：被动泄露、且事后补救到位，通常走行政整改；主动倒卖、或捂着不报把事闹大，才容易升级。所以出事后“怎么做”，比“出了事”更关键。

真泄露了，照着这 7 步走

下面这 7 步，建议各位老板现在就存进手机备忘录——等真出事，人一慌最容易漏。

第 1 步：先“止血”，别让洞继续漏。发现异常第一时间：改密码、封账号、下线有漏洞的接口或页面、撤回误发的邮件/群消息（能撤回尽量撤）、隔离受影响系统。目的就一个——让泄露停止，别扩大。这一步慢了，后面全是次生灾害。

第 2 步：查清“漏了什么、漏了多少、漏给谁”。是客户手机号？还是连身份证、消费记录一起出去了？大概多少条？从哪个环节漏的（员工误发、系统被攻、合作方跑路）？有没有迹象已经被拿去用了？先摸清家底，后面通知和上报才有依据，也别自己吓自己。

第 3 步：依法通知——这是法律硬要求，别省。《个人信息保护法》第 57 条写得很明确：发生或可能发生泄露，处理者要立即采取补救措施，并通知监管部门和受影响个人。通知里必须包含三样：① 泄露的信息种类、原因、可能造成的危害；② 您已采取、个人可采取的减损措施；③ 您的联系方式。

时限上，法律没给具体几小时，但明确要求“立即”，监管实操里一般按“尽快”对待（以小时、天计，不是月）。建议企业在内部预案里定死：比如发现后 24 小时内启动处置、72 小时内完成通知。有个细节：如果您采取的措施已经能完全避免危害，可以不通知个人；但监管部门认为有风险的，有权要求您通知——所以别自作主张“觉得没事就不说”。

第 4 步：主动上报、配合监管，态度决定后果。别删证据、别瞒报。发现后主动向网信、公安或行业主管部门报告，配合调查。实务里，“情节严重”的认定，往往和您事发后的处置态度直接相关——主动报告、积极补救的，和不配合、捂盖子被查出来的，结局天差地别。

第 5 步：对客户做“减损关怀”，并留好通知记录。给受影响客户发个提醒：注意防范诈骗、及时改密码、留意异常来电。必要时可以提供免费的身份信息监测。更重要的是——把您通知了谁、什么时候通知的、发了什么，全部留痕。因为个保法第 69 条是“过错推定”：客户告您侵害权益，您得自己证明“我已尽责”，证明不了就赔。那份通知记录，就是您最硬的自证。

第 6 步：内部查因、补漏洞、问责。是员工故意拷贝外传？是系统没加密被拖库？还是第三方合作方出的问题？找到根因，把漏洞补上（加密、权限、审计），涉事员工按制度和法律处理。这既是止血，也是给监管看“您真改了”的态度。

第 7 步：复盘留痕，做成“已尽责”的盾牌。写一份事件报告：经过、原因、影响、处置、整改。按个保法第 56 条，这类影响评估和处理记录要至少保存 3 年。日后万一被客户起诉、或被监管复查，这套完整记录就是证明“我们不是放任不管”的最有力证据。

给老板一张“应急小卡片”

把下面这行字贴在公司处理客户信息的电脑旁，比事后翻法条管用：

发现泄露 → 立刻止血（改密封号撤消息）→ 24h 内查清并上报 → 72h 内通知客户和监管 → 主动配合别瞒报 → 提醒客户防诈并留记录 → 补漏洞问责 → 写报告留痕满 3 年。

最后提醒一句：个保法第 51 条本来就要求企业“制定并组织实施个人信息安全事件应急预案”。这套 7 步，建议您趁没事的时候就写成预案、分好谁负责哪一步，别等真出事才现想。

一句提醒

这篇是《个保法红线》的下半场——红线那篇讲“事前怎么收才不越线”，这篇讲“万一被动泄露了怎么救”。最好的补救，永远是不出事：把那篇讲的“说一句再收、最小必要、敏感信息单独同意、名单不外传、信息上锁、定期清理”做成日常习惯，泄露的概率就小一大半。但真出了，别慌、别捂，按上面 7 步走，您把该做的都做了，后果通常可控——法律罚的是“放任不管”，不是“一时疏忽”。

※ 本文结合真实经营场景整理，为普法分享，不替代针对您具体业务的数据合规与危机应对意见。如果您正搭建会员系统、需要起草隐私政策与信息安全事件应急预案，或已经发生泄露需要处置方案，建议尽早请专业律师介入，把防线做在前面、把补救做在当下。

— 关注「龙王释法」，生意上的法律坑，提前看清 —