作者：周军律师.
咨询请关注，私信必复。
数字化经营之下，大量企业会把数据处理、客户信息运维、客服、信息系统开发等业务外包给第三方服务商。
很多企业以为，数据是外包公司员工泄露的，责任就该由外包方独自承担。但《个人信息保护法》《数据安全法》明确了数据处理者的主体责任：如果企业和外包服务商没有签署完备的数据合规协议，一旦发生数据泄露，企业很难免责，监管处罚、民事赔偿责任会直接落到企业头上。
一、企业是数据处理的第一责任人，不能通过外包转嫁法定责任
企业将业务外包，不等于把数据安全义务一并转移。企业作为数据的控制者，对个人信息、业务数据的安全负有主体责任。外包服务商属于“受托处理者”，二者是委托关系。
即便泄露行为是外包人员操作、黑客窃取、外包公司内部倒卖，监管机关首先追责的是数据控制方（也就是委托企业）。企业不能简单以“是外包商干的”作为抗辩理由。 企业对外承担赔偿、行政处罚之后，才可以依据合同约定，向内向外包服务商追偿。没有合规协议，后续追偿基本无从谈起。
二、缺少数据合规协议，会带来哪些法律风险
1. 无法证明已经尽到安全管理义务，面临行政处罚
根据《个人信息保护法》，委托处理个人信息，数据控制者应当对受托方的数据处理活动进行监督，并且签订委托处理协议，明确双方权利义务。
如果没有书面协议，监管部门调查时，企业很难举证自己对外包服务商进行过数据安全约束、安全审计。一旦发生泄露，监管机关会直接认定企业未尽到数据安全管理义务，可责令整改、警告，并处高额罚款；情节严重的，还可以责令暂停相关业务、停业整顿。
2. 民事赔偿中，难以向内包服务商追偿
一份合格的数据外包协议，需要明确：数据使用范围、禁止二次转委托、数据保密义务、数据泄露的违约责任、损失赔偿范围、数据销毁返还义务。
如果仅签了简单的服务合同，没有专门的数据保密、数据安全条款。外包服务商泄露客户信息造成大量用户索赔，企业先行赔付用户之后，想要起诉外包公司追偿损失，会面临举证难、赔偿范围约定不清的问题，很可能无法全额追回损失。
3. 难以约束外包人员，扩大泄露风险
没有协议约束，外包服务商可以随意把数据用于合同以外用途，甚至转包给其他第三方。外包人员下载、拷贝、倒卖客户手机号、地址等信息，企业缺少合同依据去制止、追责。一旦发生大规模数据泄露，会引发批量用户投诉、集体诉讼，企业商誉也会遭受重创。
三、一份合格外包数据协议，必须包含哪些核心条款
1.明确数据处理范围：服务商仅可基于委托业务目的处理数据，不得超出业务范围使用；
2.禁止转委托：未经企业书面同意，不得将数据处理工作再转包给其他主体；
3.安全保障义务：服务商必须落实访问权限、日志留存、加密、人员保密管理；
4.泄露事件应急与通知义务：一旦发生泄露，服务商必须在约定时限内向企业报告；
5.服务终止后的数据处理：合同到期或解除，服务商必须删除、返还全部数据，不得留存副本；
6.违约责任与赔偿：约定数据泄露对应的违约金、损失赔偿，包含用户赔偿金、罚款、律师费等；
7.审计权：企业有权定期对外包服务商的数据安全情况开展审计。
周军律师提醒，数据外包不是责任外包。企业把数据交给第三方服务商处理，一定要配套签署专门的数据委托处理、保密合规协议。缺少合规协议，一旦发生数据泄露，企业既要面对监管处罚、用户索赔，后续向外包服务商追偿也会困难重重。完善外包数据协议，是企业防控第三方数据泄露风险最基础，也是最关键的一步。遇到相关问题，建议及时咨询专业律师，寻求有效的法律帮助，以免错失维权良机。
普及法律常识，帮您维护权益。
点赞关注分享，让亲友都得到法律保护！