📌 > - 泄露通知包含法律规定的项目。 必须注明泄露了什么、何时泄露以及举报受理渠道，否则可以要求补充。 > - “举报”有两种。 企业向保护委员会等机构举报，以及受害者向个人信息侵害举报中心举报，是不同的程序。 > - 不要仅仅举报就结束。 必须同时提出删除要求和停止处理要求，才能真正阻止短信。
目录 1. 一条短信引发的疑问 2. 泄露通知中缺失的三项内容 3. 区分两种“举报” 4. 名单是如何泄露的 5. 选择在举报表上填写什么 6. 为什么同时提出删除和停止处理要求 7. 延期四周的回应 8. 收到个人信息泄露通知后
我是位于仁川延秀区松道的行政书士（行政代理人）。介绍一起我工作中遇到的事例。
过去几年，与个人信息相关的咨询主要来自企业方。现在情况相反。现在，受害者更常问“应该在哪里向谁举报”。这既受制度变化的影响，也与人们开始感受到自己的信息流向何方有关。
这起事件也是这样开始的。收到一条广告短信。
1. 一条短信引发的疑问 委托人是一位30多岁，有两个小学生的母亲。最初的联系是通过电子邮件，并附上了四张屏幕截图。
其中三张是广告短信。辅导班、英语夏令营，以及她从未听说过的培训班的介绍会通知。这三条短信都准确地写上了孩子的名字。不是“○○妈妈”，而是“○○小朋友的妈妈，三年级课程”这种方式。连年级都对上了。
剩下的那张是问题文件。是四个月前倒闭的当地辅导班发出的通知照片。在宣布停业的两段文字下方，附加了一行字。内容是告知会员信息已外泄的状况。
仅仅这一行字而已。
她说她当时并没有太在意这份通知。因为首先映入眼帘的是辅导班倒闭的消息，而下面的这一行字看起来像一种形式化的语句。但大约两个月后，短信开始陆续到来。最初一个月来两三条，最近一周来四五条。
她也亲自尝试过。拨打短信上的号码，询问对方是从哪里知道自己的号码。咨询员只是回答说“通过合作方获得的名单”，并没有告知具体的合作方。虽然按下了拒收按钮，但还是从其他号码发来短信。在此期间，带有孩子名字的短信越来越多。
她在电子邮件结尾写下的句子是：“虽然我的号码泄露了，可以孩子们的名字和年级还在流传，这让我感到害怕。”
2. 泄露通知中缺失的三项内容 咨询预约定在了上周五下午。在预约之前，我先仔细查看了通知。
《个人信息保护法》规定，个人信息泄露时，个人信息处理者必须通知信息主体。并且，法律中也规定了必须包含在通知中的项目：泄露的项目、泄露的时间和经过、为了最大限度减少损失，信息主体可以采取的措施、处理者的应对措施和损害赔偿程序，以及可以举报和咨询损害的负责部门和联系方式。
委托人收到的通知中缺少了其中的三项内容。泄露了什么、何时如何泄露，以及应该向哪里举报。
之所以先进行这个确认，是因为接下来的所有文件都将以此为起点。泄露的项目仅仅是姓名和电话号码，还是包括地址和学校，将决定举报内容的差异。如果不知道泄露时间，就无法将后续收到的短信与事件联系起来。
因此，第一份文件是补正通知要求，而不是举报表。这是一份要求补充法律规定的项目的简短而正式的文件。注明了相关法律条款，列出了缺失的项目编号，并注明了回复期限。
先发送这份文件，也有实用性的原因。如果企业方回复，泄露经过就会以其口头为记录。如果企业方不回复，那么事实本身就会被记录下来。无论哪种情况，都可以用于下一步。
3. 区分两种“申告” 在周五的咨询中，我最先整理的是“ 申告”这个词。
他从网上找到的信息混在一起。有些文章说要向个人信息保护委员会 申告，有些文章说要到个人信息侵害 申告 中心，还有些文章说要申请争议调解。他觉得这三种情况是否相同，很困惑。
这是不同的程序。按顺序整理如下：
- 经营者进行的 申告：如果信息泄露规模超过一定限度，或者包含敏感信息、高有识别信息等情况，个人信息处理者有义务向保护委员会或专业机构 申告。这是经营者的义务，不是受害者进行的程序。
- 受害者进行的 申告：如果认为自己的个人信息有关权利或利益受到侵犯，可以向个人信息侵害 申告 中心 申告。接收的案件会进行调查、纠正建议，必要时会进行处理。
- 争议调解: 是调整当事人之间的争端，例如损害赔偿的程序。对方是经营者这样的“人”，如果以金钱争端为中心，就会进入这个领域。
起草并提交给行政机关的 申告 书、请求书是我们的工作。本案的目的在于停止文字和删除名录，属于前者。
我再次询问他的目的。答案很明确。他不是为了得到钱，而是希望包含他孩子名字的名录消失。
目的明确，文件也就会明确。
4. 名单是如何流出的 上周二，经营者方回复了。比预期更快。
这是一封由负责学원 (学院) 运营的员工在停业时发出的简短邮件。内容是这样的：在停业整理过程中，使用了学员管理程序的账户，而该账户拥有访问权限的前员工下载了名录并转移到其他地方的情况。泄露的项目包括学生姓名、年级、监护人姓名、监护人手机号码。估计泄露的时间是停业前两周之间。
这里有一点引起了我的注意。与停业事实无关，个人信息在到期或处理目的达到后应立即销毁。如果学원 (学院) 停止营业，原则上就不应该继续持有学员信息。但是名录仍然存在于程序中。
也就是说，本案有两层。一层是未授权人员带走名录的泄露，另一层是管理上未按规定销毁信息的遗留问题。在 申告 书中，我们将这两者分开写。如果写成一团，就会被解读为“员工偷偷带走的事故”，经营者可以轻描淡写地承担管理责任。
而且，这封回复邮件本身也成为了重要的资料。泄露的经过、项目、时间都写在经营者的陈述中。这揭示了先前为什么先发送补充通知的原因。
5. 申告书上写什么 —— 取舍的过程 在 申告 书的撰写中，花费最多时间的部分不是润色语句，而是选择删除什么。
他有很多话想说。文字给他带来了多大的困扰，他对学원 (学院) 感到多么失望，孩子看到包含自己名字的文字时说了什么。这些都是事实，但如果全部放入 申告 书中，会使案件的轮廓变得模糊。调查方应该关注的是事实关系和违反之处，而不是感情。
因此，我将其整理为三个方面：
第一，什么、何时、如何泄露出去的。 将经营者回复中写明的项目、时间、经过原封不动地移录，并将该邮件作为资料附上。
第二，哪些义务没有遵守。 分别记录了信息泄露通知缺少法定项目、停业后信息未被销毁、访问权限管理未得到执行等情况。每个项目只需两三句话就足够了。
第三，泄露的结果是否实际发生。 这部分在本案中最有力量。孩子姓名和年级准确地写在广告文字中，从多家公司发出的事实，表明名录不仅泄露到一个地方，而是泄露到多个地方。我将他提供的文字，按照发号和接收日期制作成表格。八个月的记录有二十六封。
制作成表格的那一刻，性质就改变了。“文字一直到来”的呼吁，变成了“八家公司在八个月内发送了二十六封”的事实。
这时，他制造了一个小骚动。在整理资料时，不小心删除了三封文字。电话打来时，声音都变得僵硬了。幸好仍然保存在通信公司的文字保存功能中，得以恢复。此后，他每次收到新文字都会截图并单独保存。
6. 删除和停止处理一起放入的原因 仅仅提交申请表就能让短信停止吗？不是的。
提交申请会引发调查和纠正，但需要时间。在此期间，名录仍然存在于各家公司的发送系统之中。因此，除了申请之外，我们决定同时针对发送短信的公司采取两种措施。
《个人信息保护法》（个人信息保护法）赋予信息主体要求查阅、更正·删除、停止处理其个人信息的权利。这项权利不仅可以用于最初提供信息的地方，还可以用于现在拥有并处理信息的机构。
- 查阅要求: 确认该公司从哪里接收了我的信息，以及哪些项目。
- 删除要求: 如果没有持有依据，要求删除。
- 停止处理要求: 即使在删除之前，也要求停止发送广告等处理。
之所以采取这种顺序，是有原因的。如果仅仅要求删除，公司会以“正在确认”为由拖延时间，短信会持续收到。如果同时加入停止处理，即使在那个期间也能产生停止发送的依据。将查阅要求放在前面，可以迫使公司回答从哪里获取名录，而这个回答将成为追踪流通途径的线索。
在八家公司中，确认了发信号码的六家公司，都发送了相同格式的要求函。内容相同，仅公司名称和接收短信记录不同。另外两家公司，由于发信号码是互联网发送代理号码，难以确定经营者，这一事实已如实记录在申请表上。
我们还额外告知了。这类要求有规定的回复期限，如果未回复或拒绝，必须说明理由。因此，请务必收集收到的回复，不要丢弃。如果存在未回复的情况，本身就是下一份资料。
7. 四周后收到的回复 在申请受理后收到的第一个联系是确认事实关系的询问。收到的短信期间、公司数量、经营者回复邮件的原始文件，都要求再次提供。由于整理成表格，因此当天下午就能回复。
各家公司的反应不一。六家公司中有四家告知已完成删除。其中两家还提供了名录的来源，都指向了同一名称的中介公司。一家公司仅回复“已合法从合作方处提供”。还有一家公司没有回复。
同一中介公司出现了两次，这一点作为补充资料提交了。这表明，名录不是各自从多个地方获得的，而是经过一个地方传播的可能性。
短信在申请后大约六周后明显减少了。并非完全停止。已经响应停止处理要求的公司的短信停止了，而没有回复的公司仍然存在。针对那一家公司，我们单独发送了再次的要求函。
那个人在最后通话中说的话，令人难忘。他说，短信虽然没有完全消失，但现在即使收到一条短信，也知道该怎么做，所以不那么害怕了。他表示，截图、记录日期、发送要求函就可以了。
行政程序的结果并非总是干净利落。但是，知道发生了什么，知道下一步该怎么做，与不知道的状态，两者之间存在着巨大的差异。
8. 如果收到个人信息泄露通知 ① 首先确认通知书上是否包含法定项目。 必须包含泄露项目、时间与经过、处理者的措施、损害救济程序、举报·咨询窗口。如果缺少了，可以要求补充，而这个回复将成为后续使用的资料。
② 区分‘申报’是哪种申报。 经营者向保护委员会等机构进行的申报，以及受害者向个人信息侵害举报中心进行的申报，是不同的程序。关于损害赔偿等金钱纠纷，属于争议调解或诉讼的范畴。
③ 将事实伤害整理成表格，而不是用情绪来表达。 将发信号码、接收日期、短信中包含的个人信息项目列成清单，就能将“令人烦恼”变成“在过去八个月里，来自八家公司收到二十六条短信”。
④ 在申报的同时，加入查阅·删除·停止处理的要求。 仅仅申报并不能立即停止已经传播的名录。同时使用这三种方法，可以在调查期间产生停止发送的依据。
⑤ 不要丢弃回复，而是收集起来。 未回复的事实，未能说明理由的事实，也是资料。
⑥ 即使是已经停业的公司，责任也不会消失。 处理目的结束后，必须立即销毁的原则，即使在停业之后也适用。
泄露规模或项目不同，适用的程序和申报对象也会不同，机构的判断也可能因案件而异。申请前需要向相关机构确认。
本文是根据实际咨询案例重新构建的，文中出现的人物·公司名称·地名·数字，与任何特定个人或事件无关。
