Anthropic 按自己的时间线也赶不上韩国 72 小时

韩国个人信息保护委员会 11 月 10 日把 Anthropic 的 Claude 企业账户数据事件从预审转成正式调查，这件事要回答的问题，从通知写得体不体面，变成了申报有没有超时。

韩国条文给的时限是 72 小时。按 Anthropic 自己对外给出的日期，它 10 月 10 日察觉越权访问，10 月 31 日才向委员会申报，中间隔了 21 天，约 504 小时，是法定时限的 7 倍。沈规把条文读到原文，判断很直接：这件事里找不到一个能让 Anthropic 守住 72 小时的起算点。

从 10 月 8 日到正式调查的六个日期

把几家韩国媒体和 Chip Dispatch 的报道排在一起：

• 10 月 8 日：外部安全公司进入 Anthropic 部分内部系统，iNews24 报道这是 Anthropic 给出的日期；
• 10 月 10 日：Anthropic 察觉，当天切断访问，出处同上；
• 10 月 26 日：《华盛顿邮报》报道 Cathedral 一案，Chip Dispatch 转述，Anthropic 当时已承认这些系统里有部分客户的业务联系人和账户记录；
• 10 月 31 日：Anthropic 向个人信息保护委员会申报；
• 11 月 7 日：企业客户收到通知邮件；
• 11 月 10 日：委员会结束预审、正式调查，韩联社报道。

据 Financial News 转载的 News1 报道，委员会说申报涉及的韩国企业账户共 112 个，调查会看是否违反个人信息保护法。Money Today 提醒，112 是账户数，不等于 112 家公司或 112 个人。

条文的 72 小时从知道泄露那一刻起算

据国家法令信息中心公布的施行令第 40 条，处理者知道个人信息泄露后，须在 72 小时内向委员会或韩国互联网振兴院申报。触发情形有三种，其中一种是外部对处理系统的非法访问，这一种不看人数。

同一条第 2 款规定，细节查不清时，先把已确认的内容报上去，查到新情况再补报。

第 39 条对通知本人同样写了 72 小时。正在切断访问、修补漏洞、回收删除数据的，可以在这些措施完成后再通知，但条文写的是事由消除后立即通知。

委员会官网的申报说明写明，不申报最高罚款 3000 万韩元。

从最晚的 10 月 26 日算，申报也晚了两天

有人会说，知道泄露应从确认个人信息确实外泄算起，不该从察觉访问算起。Anthropic 至今称无法确认任何一个人的信息被看过，还拿到了对方删除数据、不再使用的书面承诺。

这个说法站不住。Anthropic 自己把这次访问定性为未经授权，第 40 条第三种情形要的正是外部非法访问。第 2 款也专门堵住了「还没查清」这条路：查不清，先报。

就算把起算点推到最晚，10 月 26 日它已经能对媒体说出客户记录在哪几个系统里，到 10 月 31 日申报是 5 天，比 72 小时多出两天；到 11 月 7 日通知客户是 12 天。

删除承诺也救不了这段时间。第 40 条允许在数据已回收删除、风险明显降低时不申报，可 Anthropic 最后还是报了，说明它自己没把这次事件当作可以不报的情形，这是分析推断，依据是它 10 月 31 日的申报本身。

还有两件事公开报道没有交代：书面删除承诺是哪一天拿到的；10 月 31 日之前，它有没有先向韩国互联网振兴院报过。这两点会影响罚不罚，罚不罚由委员会定，但改变不了 21 天这个数。

条文还留了一个口子：天灾或其他不得已的事由，可以在事由消除后立即申报。到目前为止，Anthropic 没有公开说过它遇到了什么不得已的事由。

Anthropic 做对的部分照样记上：当天封堵，修了漏洞，主动申报。据 Money Today，Anthropic 技术研究员 Lydia Hallie 在 X 上说，对方没有碰到用户输入的提示词、模型回答和支付信息。这些能说明它处理得快，说明不了它报得及时。

该解释这 21 天的是 Anthropic

72 小时这个时限，本来就是给还没查清的公司准备的，所以才有先报后补。Anthropic 封堵用了不到一天，申报用了 21 天，通知客户用了 28 天。

这 21 天该由谁来解释，条文已经写清了：是 Anthropic，不是那 112 个账户背后的客户。