2. 委托处理的法律与合规基线
委托处理不是一份合同就能解决的事。它同时落在三部法律和若干配套标准的交叉约束之下：《个人信息保护法》（PIPL）管的是个人信息在委托关系中的处理规则，《数据安全法》（DSL）管的是数据活动的安全义务与风险治理，《网络安全法》（CSL）管的是网络运营者的基础安全义务与日志留存。三者叠加，才构成委托处理的合规基线。理解这条基线，关键不是背条文，而是看清每部法律在委托链条上"卡"在哪个位置、要求谁做什么。
一、三部法律在委托链条上的分工
PIPL 的核心是"责任不转移"。第二十一条明确：个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。受托人应当按照约定处理，不得超出约定范围；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还处理者或者删除。这意味着：即便数据交出去了，合规责任仍留在委托方身上，受托方只是"按指令操作的手"。
DSL 的核心是"数据安全义务全覆盖"。它不区分数据是否属于个人信息，只要开展数据处理活动，就应建立健全全流程数据安全管理制度、组织开展教育培训、采取技术措施保障数据安全。第二十七条要求重要数据的处理者明确数据安全负责人和管理机构。对委托处理而言，这意味着受托方不能以"我只是代加工"为由免除自身的数据安全义务。
CSL 的核心是"网络运营者的底座义务"。第二十一条要求采取防范计算机病毒和网络攻击的技术措施、监测记录网络运行状态和网络安全事件、留存网络日志不少于六个月。委托处理中，受托方通常是实际承载系统运行的一方，日志留存、漏洞管理、入侵防范这些义务直接落在它身上。
二、PIPL 对委托处理的四项硬性要求
把第二十一条拆开看，委托处理在 PIPL 下必须同时满足四个条件，缺一不可。
第一，约定要"全"。委托合同必须覆盖处理目的、期限、处理方式、个人信息种类、保护措施、双方权利义务。实务中最常见的漏洞是只写了"乙方为甲方提供数据清洗服务"，却没有写清处理哪些字段、保存多久、能否用于模型训练。一旦发生争议，这种模糊约定会被认定为未履行告知同意链条上的必要环节。
第二，监督要"实"。委托方的监督义务不是签完合同就结束。合理做法包括：要求受托方定期提交处理活动记录、对受托方系统进行安全审计或渗透测试、在合同中约定受托方配合检查的义务。监督记录本身也是合规证据。
第三，转委托要"批"。受托方再委托他人处理的，必须事先取得委托方同意。这条在云服务、外包客服、数据标注等层层分包场景中极易被忽略。建议在合同中直接列明允许的分包方清单，并要求任何新增分包方须经书面确认。
第四，终止要"清"。委托关系结束后，受托方应返还或删除个人信息。注意"删除"在技术上要能验证——不是从界面隐藏，而是从存储介质、备份、日志中清除或匿名化。合同中应约定删除完成的书面确认和验证方式。
三、DSL 与 CSL 叠加后的安全义务
DSL 和 CSL 不专门针对"委托处理"立法，但它们的安全义务会穿透委托关系落到受托方身上。一个典型的委托处理场景——比如委托第三方做用户画像分析——受托方实际控制着数据存储和计算环境，因此必须：
- 建立数据分类分级制度，识别委托数据中是否含重要数据；
- 对处理环境做访问控制，做到账号实名、权限最小化、操作留痕；
- 网络日志留存不少于六个月，且日志本身要防篡改；
- 制定网络安全事件应急预案，明确向委托方通报的时限和路径。
这里有一个容易被低估的交叉点：PIPL 要求委托方监督，CSL 要求受托方留存日志。两者结合，意味着委托方可以、也应当把"日志可查、可导出、可审计"写进合同，作为监督的技术抓手。否则监督义务就只剩下一纸承诺。
四、配套标准提供的操作刻度
法律给的是底线，标准给的是刻度。GB/T 35273 对委托处理场景提出了更细的要求，例如受托方应在委托关系解除后及时删除数据、委托方应对受托方进行安全能力评估。GB/T 37964 则提示：如果委托方提供的是去标识化数据，受托方在无法重新识别的前提下，处理风险显著降低，但一旦受托方掌握重识别能力，就应回到个人信息处理的完整合规框架。GB/T 41479 进一步把数据处理安全要求落到具体能力项上，适合作为受托方安全能力评估的检查依据。
五、把基线落到合同与操作上
合规基线最终要转化为可执行的动作。建议在委托处理协议中至少固定以下条款：处理目的与禁止用途、数据字段清单与敏感级别、存储位置与跨境限制、安全措施最低要求（加密、访问控制、日志留存六个月）、转委托审批机制、安全事件通报时限（例如 24 小时内）、终止后返还或删除的验证方式、审计权条款。这些条款不是形式，而是把 PIPL 的监督义务、DSL 的安全义务、CSL 的日志义务同时"钉"进双方的操作流程。
需要强调的是，三部法律的责任分配并不对称：委托方始终是个人信息保护的第一责任人，受托方则对自身处理行为和安全措施负责。这种"责任不转移、义务双落地"的结构，正是委托处理合规管理中最需要被反复确认的基线。