“个人信息安全侵害通知”（以下简称为“侵害通知”）是指为防范个人信息安全侵害的后续风险而设置的法律条款，即个人信息控制者有责任在第一时间向主管机关备案，并向个人信息当事人及时“告知”其个人信息受到侵害的事实，以供个人和组织采取措施防范连带风险。这被国外有关管理部门视为是对个人信息安全进行积极保护的一种有效途径，其立法背景是考虑到当事人对于其个人信息遭到泄露有知悉的权利。美国是最早针对“侵害通知”立法的国家，已有47个州将“侵害通知”纳入有关法律，比如加州早在2003年就规定，任何在该州经营业务的个人信息控制者，若发生信息安全事件，都应向有关部门报告，同时如果认定涉及未加密的个人信息已经被侵害，就应该立刻通知当事人，否则检察机关将对相关信息控制者申请禁制令或起诉损害赔偿。澳大利亚《隐私保护法》（2013）和韩国《个人信息保护法》（2014）也均将“侵害通知”列为强制性规定。经合组织（OECD）和欧盟委员会分别将“侵害通知”纳入了《关于隐私保护和个人数据跨国流通指导原则》（2013）和新通过的《一般数据保护条例》，其中欧盟委员会还对“侵害通知”进行了具体细化，如要求个人信息控制者必须在24小时内向主管机关报告个人信息泄露情况。如果信息泄露会给当事人带来消极影响，则必须及时通知当事人，以便个人及时采取防范措施。

我国相关法律条款既没有对“可能损失”进行明确界定，也没有对“补救措施”和违反有关条款的责任进行详细说明，为增强我国个人信息保护的力度，建议可把引进“侵害通知”概念作为扭转当前尴尬局面的抓手，通过具体条款形式明确“侵害通知”的条件、对象、内容、方式、时间和违反这些条款的责任等内容，比如要求涉事机构在一定时间期限内（24小时或者3天）采用电子邮件、短信息、电话等形式及时通知主管部门和当事人有关个人信息安全侵害事件的概况、初步估计的危害程度、已经采取的补救措施以及就当事人如何防范后续个人信息安全侵害风险提供具体建议。当通知当事人的成本高于一定金额或者有待通知的当事人人数超过一定数量或者没有足够的当事人联系信息时，才在能在涉事机构的官方网站或传统新闻媒体或者其他网络媒体上加以披露。如果涉事机构违反有关条款，则要承担诉讼和损害赔偿等责任，具体可参照《中华人民共和国消费者权益保护法》中处以五十万元以下的罚款，情节严重的，责令停业整顿、吊销营业执照。上海正在编制《上海市公共信息系统个人信息保护管理办法》，建议以上海为试点，取得经验后，再把“侵害通知”概念逐步融入我国各级个人信息保护立法进程中。

有些国家法律规定，并非只要发生个人信息泄露事件，都必须通知当事人，比如澳大利亚规定必须是会导致当事人面临受到严重损失的真实风险，美国路易斯安那州、密苏里州、北卡罗来纳州等都规定必须是存在有对当事人造成损害的合理可能性，才通知当事人。相关法律还允许经过信息控制者采用加密技术保护信息的情况，则可以不用通知当事人，这个回旋之地被称为“安全港条款”。“安全港条款”对我国个人信息保护立法很有借鉴意义，还会促进个人信息控制者主动采取更多的个人信息安全维护措施，刺激我国信息安全产业的发展。因此现阶段可将涉事机构的信息安全管理技术（比如信息加密技术）和能力（比如国际公认的信息安全管理认证）、个人信息泄露数量以及当事人的人数等指标作为是否进行个人信息安全侵害通知的条件在《上海市公共信息系统个人信息保护管理办法》中先行先试。(www.daowen.com)

“侵害通知”的对象既包括当事人，也包括主管部门。从国外实践经验看，“侵害通知”的第一对象应该是个人信息安全主管部门，如美国的联邦贸易委员会、欧盟的数据保护专员等。目前我国尚未有专门的个人信息安全保护监管机构，现阶段可向各个行业的主管部门、公安机关、消费者权益保护委员会报告，比如作为个人信息安全侵害重灾区的互联网行业，应该向工业和信息化部、通信保障局及相关通信管理局报告，抄送国家计算机网络应急技术处理协调中心、公安机关和消费者权益保护委员会。但从优化执法程序考虑，建议择机建立专门的个人信息保护委员会，进一步完善个人信息保护的体制机制。