4. 委托方与受托方的角色责任划分

在数据委托处理关系中，委托方与受托方并不是简单的“甲方乙方”关系，而是由法律义务、合同责任、安全责任三条线交织而成的责任结构。很多企业在签署数据处理协议时，只关注“谁赔钱”，却忽略了“谁在什么场景下承担什么义务、义务违反后如何传导、对外如何承担连带风险”。本节围绕这一结构展开，帮助你把角色责任落到可执行的分配方案上。

一、三层责任的基本定位

法律义务是底线，来源于《个人信息保护法》《数据安全法》等法律法规，不能通过合同约定排除或转移。委托方作为个人信息处理者，对受托方的处理活动负有监督责任，并需对处理目的、方式、范围作出决定；受托方则须按照委托方的指示处理数据，不得超出约定目的和方式，并在处理结束后删除或返还数据。合同责任是双方在协议中约定的义务与违约后果，例如安全措施标准、审计配合、事件通知时限、赔偿计算方式等。安全责任则是技术与管理层面的落地要求，包括访问控制、加密、日志留存、人员保密、漏洞管理等。

三层责任的关系可以概括为：法律义务划定不可逾越的边界，合同责任把边界转化为可执行、可追责的条款，安全责任则是履行前两者的具体手段。任何一层缺失，都会导致责任分配在争议中变得模糊。

二、角色责任划分的核心维度

实务中，建议从以下五个维度逐项划分责任，而不是笼统写“双方共同负责安全”：

• 处理目的与方式的决定权：委托方决定处理目的、处理方式、数据范围与保存期限；受托方仅按指示执行，不得自行改变用途或转委托。
• 安全措施的实施主体：明确哪些措施由委托方提供（如加密密钥管理、账号体系），哪些由受托方落实（如服务器加固、访问日志、人员权限回收）。
• 事件发现与通知：受托方通常是数据泄露的第一发现方，应约定发现后多长时间内通知委托方（例如24小时内），以及通知应包含哪些要素。
• 审计与监督：委托方有权对受托方进行安全审计，受托方应配合提供日志、制度文件、人员记录等；审计频率、范围和费用承担需提前约定。
• 转委托与再委托：未经委托方书面同意，受托方不得将数据处理事项转委托给第三方；经同意的转委托，受托方仍对委托方承担全部责任。

三、对外连带风险的实务分配

对外连带风险是本节最容易被低估的部分。当数据主体或监管机构追责时，委托方往往首当其冲，因为委托方是个人信息处理者。但受托方若存在超范围处理、未按指示处理、安全措施缺失等过错，也可能被要求承担相应责任。实务中，委托方与受托方之间的连带风险分配，通常通过以下方式处理：

第一，在合同中明确“因受托方过错导致的处罚或赔偿，由受托方承担”；第二，约定委托方先行对外承担责任后，有权向受托方追偿，并明确追偿范围包括罚款、诉讼费、律师费、和解金等；第三，设置责任上限或赔偿计算方式，但需注意，故意或重大过失、违反法律强制性规定的情形，责任上限条款可能被认定无效。

四、责任分配的可视化结构

下图把委托方与受托方在“法律义务—合同责任—安全责任—对外连带”四个层面的责任流向与传导关系集中呈现，便于在协议评审时逐项对照。

五、协议评审中的关键检查点

在具体评审数据处理协议时，建议逐项核对以下内容，避免责任分配停留在原则层面：

最后需要强调，角色责任划分不是一次性工作。随着处理活动变化、系统架构调整、监管要求更新，责任分配条款也应同步复核。委托方应保留对受托方的持续监督记录，受托方应保留按指示处理的证据链，双方才能在对外连带风险发生时，清晰界定内部责任边界。