先说三句：第一，加拿大法律里没有”72小时通报”的硬性时限——那是欧盟 GDPR 的规则；加拿大《个人信息保护与电子文件法》（PIPEDA）要求的是在确认存在”重大伤害真实风险”后”尽快、无不合理拖延”向联邦隐私专员办公室（Office of the Privacy Commissioner of Canada，OPC）报告并通知受影响的个人。第二，勒索病毒一旦导致客户或员工个人信息外泄且风险达标，通报是法定义务，不是可选项，知情不报本身可能违法。第三，应对记住4步：遏制扩散 → 评估风险 → 通报OPC与个人 → 补救并留存24个月记录。本文仅为信息整理，不构成法律意见。
先讲一个虚构但典型的场景：大多伦多一家20人规模的进出口贸易公司，周一早上财务发现电脑桌面多了一个勒索信文件，所有报价单和客户资料都被加密，黑客索要2个比特币。老板第一反应是”赶紧把系统重装了，别让客户知道”。这个反应里藏着两个要命的误区：第一，勒索病毒今天多为”双重勒索”——加密前先窃取数据，你的客户名单可能已经在黑客手里；第二，在加拿大，”别让客户知道”恰恰可能是违法的。下面把中小企业主必须知道的规则和4步应对一次讲透。
先澄清：72小时通报是欧盟规则，不是加拿大法律
中文网络上流传的”数据泄露72小时内必须通报”，源头是欧盟《通用数据保护条例》（GDPR）第33条：数据控制者须在发现泄露后72小时内向监管机构通报。这是欧盟的规则，不直接适用于加拿大企业。
加拿大联邦层面适用的是 PIPEDA（《个人信息保护与电子文件法》）第10.1条，2018年11月1日生效的强制泄露报告制度。它的时限表述是 “as soon as feasible”（在切实可行范围内尽快）——没有写死多少小时，但 OPC 的期待是”prompt”（迅速）。实务含义很清楚：不要掐着72小时倒计时，也不要拖延；一旦完成”是否构成重大伤害真实风险”的评估、确认需要通报，就应立即行动，拖延本身会引来监管审视。本文仅为信息整理，不构成法律意见，具体时限判断请以 OPC 官网指引和律师意见为准。
勒索病毒为什么专挑中小企业下手
加拿大反欺诈中心与网络安全中心历年提醒里，中小企业是勒索病毒的重灾区，原因很现实：
- 防御薄弱：没有专职IT，系统补丁几个月不打，远程桌面（RDP）直接暴露在公网、还用弱密码。
- 付赎意愿高：业务全靠几台电脑，停摆一天损失几千加元，侥幸心理下更容易付钱。
- 备份形同虚设：备份盘长期插在同一台电脑上，病毒一来连备份一起加密；或者从没验证过备份能不能恢复。
- 钓鱼邮件得手率高：财务、人事岗位每天处理外部附件，一封伪装成”CRA退税通知”的邮件就可能中招。
对中小企业主来说，勒索病毒不只是”电脑坏了”的技术问题——一旦客户姓名、电话、邮箱、信用卡信息、员工SIN（社会保险号）等个人信息被窃取，就触发了 PIPEDA 下的法律义务链。
第1步：遏制扩散，先做这3件事
发现勒索信、文件被加密或系统异常的第一时间，顺序很重要：
- 断网不断电：拔掉网线、断开Wi-Fi，把受感染机器从网络隔离；但不要关机——内存中的取证痕迹对判断数据是否外泄很关键。
- 保护证据：拍照留存勒索信原文、被加密文件的扩展名、异常时间点；不要立即重装系统或删除日志，否则后续”有没有个人信息外泄”的评估就失去依据。
- 启动内部响应：指定一个人统一对接（老板或最懂IT的人），暂停对外发送含客户信息的邮件，通知员工不要再碰可疑设备。规模再小的公司，这一步也要有人牵头。
这一步的目标只有一个：在几小时内把”还在扩散”变成”已经控制住”。技术上搞不定就找外部IT应急服务商——费用通常几千加元起，按紧急程度和时长计费，以服务商报价为准。
第2步：评估是否触及”重大伤害真实风险”
PIPEDA 第10.1条的通报义务有个触发门槛：有理由相信泄露造成了 “real risk of significant harm”（重大伤害的真实风险，简称RROSH）。这是整套规则里最需要认真评估的一环，本文仅为信息整理，不构成法律意见。
OPC 指引中”重大伤害”包括：人身伤害、羞辱、名誉或人际关系损害、失业或失去商业机会、经济损失、身份盗用、信用记录受损等。评估时看两个维度：
- 信息的敏感度：客户名单+电话邮箱、员工SIN、银行账号、健康信息，几乎都够得上敏感；只有公司内部公开资料则可能不达标。
- 被滥用的可能性：勒索团伙是否声称已窃取数据（双重勒索）、数据是否出现在暗网、有无异常登录或诈骗电话指向你的客户。
实务建议：宁可按”达标”来准备。勒索病毒案件里，”只加密、没外泄”的举证责任在你这边，而现代勒索软件多数自带数据窃取功能。评估过程本身要形成书面记录——哪天评估的、依据什么、结论是什么，这份记录 OPC 日后可能调阅。
第3步：通报——向谁、说什么、什么节奏
一旦评估结论是存在重大伤害真实风险，PIPEDA 第10.1条要求同时做两件事，节奏都是”尽快”：
1. 向 OPC 提交书面报告
通过 OPC 官网的泄露报告渠道提交，报告须包含以下内容（缺一不可）：
- 泄露发生的情况描述，已知原因也一并说明；
- 泄露发生的日期或时间段；
- 涉及的个人信息描述；
- 受影响的人数；
- 已采取的降低伤害风险/补救措施；
- 是否已通知受影响的个人；
- 可回答 OPC 后续询问的联系人姓名与联系方式。
2. 通知受影响的个人
通知必须醒目、直接送达本人（邮件、信函等），内容包括：泄露情况描述、涉及的个人信息、你已采取的措施、个人可采取的自我保护步骤、进一步咨询的联系方式。只有在直接通知会造成进一步伤害、或你没有联系方式等特殊情况下，才允许间接通知。
3. 考虑通知第三方
PIPEDA 第10.2条：如果通知其他组织（如警方、银行、信用局 Equifax/TransUnion）有助于降低伤害风险，也应当通知。勒索病毒案件里，向当地警方报案既是固定证据，也是后续保险理赔的常见要求。
再次强调：加拿大没有72小时死线，但”尽快”是硬要求。从发现到完成评估再到发出通报，整个链条的拖延都需要能解释得通。本文仅为信息整理，不构成法律意见。
第4步：补救、留存记录、复盘
- 系统恢复：用离线干净备份重建系统，重装前确认备份时间点早于感染时间；全员强制更换密码、开启多因素认证（MFA）。
- 客户关系修复：通报个人时附上信用监控建议（如建议受影响客户留意信用报告），态度决定后续集体诉讼风险的高低。
- 24个月记录留存：PIPEDA 第10.3条要求，所有涉及个人信息的泄露事件都要留存记录至少24个月——包括那些评估后认为不达标、没有通报的。OPC 有权随时调阅这些记录。
- 复盘堵漏：补丁管理、离线备份（3-2-1原则：3份拷贝、2种介质、1份离线）、员工钓鱼演练，这三件是中小企业性价比最高的投入。
关键数字与时间线一览
| 事项 | 数字/时限 | 来源 |
|---|---|---|
| 欧盟 GDPR 通报时限 | 发现后72小时内向监管机构通报 | GDPR 第33条（不适用于加拿大） |
| 加拿大 PIPEDA 通报时限 | “as soon as feasible”尽快，无固定小时数 | PIPEDA 第10.1条 |
| 泄露记录保存期 | 自确认泄露之日起至少24个月 | PIPEDA 第10.3条 |
| 联邦层面最高罚款 | 特定违法行为最高约10万加元；OPC 本身不开罚单，知情违反通报义务可被转交检控 | PIPEDA 相关罚则，以官网为准 |
| 魁省 Law 25 行政罚款上限 | 1000万加元或全球营业额2%（取高者） | 魁北克 Law 25，以官网为准 |
| 魁省 Law 25 刑事罚款上限 | 2500万加元或全球营业额4%（取高者） | 魁北克 Law 25，以官网为准 |
| 强制泄露报告制度生效日 | 2018年11月1日 | PIPEDA 第10.1–10.3条 |
费用参考：OPC 接受泄露报告不收费；外部IT应急取证通常几千加元起，信用监控服务按人头订阅计费，具体以服务商报价为准。
魁省企业特别注意：Law 25 是另一套规则
如果你的客户或业务在魁北克，除了联邦 PIPEDA，还要看魁省《第25号法案》（Law 25）。它对”保密事件”（confidentiality incident）有独立的登记与通报要求，时限表述同样是”迅速”而非72小时，但罚款量级完全不同：行政罚款最高1000万加元或全球营业额2%，刑事罚款最高2500万加元或4%。魁省企业发生勒索病毒事件后，保密事件登记册（register）必须同步更新，并按要求通知魁省信息获取委员会（Commission d’accès à l’information）。两地经营的企业，两套义务都要履行。本文仅为信息整理，不构成法律意见。
常见坑与红线：这6条别踩
- 把”72小时”当加拿大法定期限：要么掐点拖延、要么误以为”过了72小时就不用报了”——两种理解都错，加拿大标准是”尽快”。
- 为了息事宁人隐瞒不报：知情违反通报、通知和记录保存义务是违法行为，OPC 可将线索转交联邦总检察长，进入检控程序。
- 事发后第一时间重装系统：日志和内存痕迹是判断”数据是否外泄”的关键证据，删了就没法自证，评估只能往最坏的方向做。
- 付了赎金就以为万事大吉：付赎金不等于数据没外泄，更不等于通报义务消失；是否通报看的是个人信息是否处于风险中。
- OPC 报告里编造”已通知所有人”：报告必须如实填写是否已通知个人，虚假陈述会让小事变大。
- 只有联邦法意识、忘了省法：魁省、阿尔伯塔、BC 等省有自己的隐私立法或实质相似规则，跨省经营的企业要逐一核对，以各官网为准。
中小企业主行动清单
- ☐ 确认公司是否收集客户/员工个人信息（只要有，就在 PIPEDA 射程内）
- ☐ 建立离线备份并每季度做一次恢复演练
- ☐ 给所有对外服务的账号开启多因素认证（MFA）
- ☐ 指定一名”泄露事件负责人”，把 OPC 报告渠道网址存进应急文档
- ☐ 准备一份通报模板（含泄露描述、个人信息类型、补救措施、联系方式四要素）
- ☐ 事发后按”遏制→评估→通报→留存24个月”四步走，全程书面留痕
- ☐ 魁省有业务的，同步准备 Law 25 保密事件登记册
常见问题 FAQ
Q1：我们只有10个人的小公司，PIPEDA 也管吗？
A：规模不是豁免理由。PIPEDA 适用于在商业活动中收集、使用、披露个人信息的组织，无论大小。联邦管辖行业（银行、电信、航空等）直接适用；部分省份有被认定为”实质相似”的省法律，具体适用以官网为准。本文仅为信息整理，不构成法律意见。
Q2：勒索病毒只加密了文件，没有证据显示数据被偷走，还要通报吗？
A：关键看评估结论是否构成”重大伤害真实风险”。现在多数勒索软件是双重勒索（先窃取再加密），”没证据外泄”不等于”证据证明没外泄”。拿不准时请咨询律师做风险评估，不要自行赌一把。
Q3：向 OPC 报告要收费吗？报告后会发生什么？
A：提交报告本身不收费。OPC 收到后可能要求补充信息、给出合规建议；OPC 本身不开罚单，但可将涉嫌违法的线索转交联邦总检察长。具体流程以 OPC 官网为准。
Q4：付了赎金、拿回了解密密钥，是不是就不用通报了？
A：不是。通报义务看的是个人信息是否曾处于重大伤害的真实风险中，而不是你最终有没有拿回数据。是否曾外泄、黑客是否保留副本，这些都要如实评估和记录。
Q5：客户在魁省和安省都有，通报要做几套？
A：联邦 PIPEDA 的 OPC 报告是一套；魁省客户还触发 Law 25 下向魁省信息获取委员会的义务与保密事件登记。两套都要做，内容可以复用事实部分，但收件方和表格不同，以两地官网要求为准。本文仅为信息整理，不构成法律意见。
相关阅读
官方来源：Office of the Privacy Commissioner of Canada (OPC)、Government of Canada – PIPEDA 官网页面、Commission d’accès à l’information du Québec。核验于 2026年10月11日。
关键政策以 OPC / Canada.ca / 各省官网为准。本文仅为信息整理，不构成法律意见；涉及具体案件请咨询持牌律师。
📱 更多加拿大生活干货，欢迎加微信交流：UUUMGT
