那是一个普通的周二早晨，平淡无奇。伯明翰一家中型物流公司的办公室行政人员萨拉·马利克刚喝完第二杯咖啡，她的经理大卫便从旁边的桌子探过身来。

"萨拉，你能把员工联系人名单发给人力资源部的普利亚吗？她需要用来发送团建活动邀请函。"

萨拉点了点头，打开邮箱，搜索她记得几个月前发过的那份名单的最新版本。她很快找到了——一份名为 Staff_Contacts_FULL_v3.xlsx 的电子表格。她没有打开文件核查内容，直接将其转发给了普利亚，然后继续处理早上的工作。

简单。搞定。她以为是这样。

二十分钟后，普利亚出现在萨拉的桌前，神情有些不安。

"萨拉……这份表格里的内容远不止姓名和邮箱。里面有员工的家庭住址、出生日期、国民保险号码、薪资级别，还有人力资源审查中的医疗记录。我只需要名字和工作邮箱。你是故意发这些内容的吗？"

萨拉心里一沉。她打开了那个文件，普利亚说得没错。不知何时，这份"联系人名单"在数月的更新中演变成了一份敏感得多的文件——一份完整的员工数据档案。萨拉将 47名员工 的个人信息发送给了一个实际上只需要两个数据字段的人。

这并非出于恶意，也不是遭到黑客攻击。这是一起悄无声息的意外违规，违反了《通用数据保护条例（GDPR）》——而这一切发生在短短六十秒之内。

萨拉立即告知了经理大卫，他的表情变得严肃起来。"我们需要向数据保护官报告此事，" 他说，"根据GDPR的规定，我们有72小时的时间来评估是否需要向信息专员办公室（ICO）上报。不要删除任何内容——我们需要详细记录事情的经过。"

公司的数据保护官珍妮特是一位沉稳、做事条理分明的女性，她耐心地向萨拉讲解了问题所在。核心问题并非出于恶意，而是未能遵循数据最小化原则：即仅共享特定合法目的所必需的最少量个人数据。

"GDPR不仅仅针对黑客攻击和数据泄露，"珍妮特耐心地解释道，"它适用于每一次处理他人个人信息的场景——无论是通过邮件发送、存储、打印还是共享。那份表格中涉及的每一位员工都享有相应的权利。他们有权了解自己的信息如何被使用，也有权期望这些信息得到妥善保护。"

萨拉了解到，个人数据所涵盖的范围远超大多数人的认知：姓名与地址的组合、健康信息、财务细节、身份证件号码——这些都在GDPR的保护范围之内。而保护数据的责任并不仅仅落在IT部门身上。每一位接触过