第二十一条委托处理个人信息

      个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。​

      受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还个人信息处理者或者予以删除，不得保留。​

未经个人信息处理者同意，受托人不得转委托他人处理个人信息。​

 A personal information handler contracting the processing of personal information to another party shall agree with the contracted party on the purpose, period, and method of the contracted processing, the type of personal information to be processed, any protection measure to be taken, and the rights and obligations of both parties, etc., and supervise the activities of processing of personal information carried out by the contracted party.​

The contracted party shall process personal information as agreed, and shall not process personal information beyond the agreed purpose and method of the contracted processing; if the contract of the contracted processing fails to become effective, becomes null and void, or is cancelled or terminated, the contracted party shall return the personal information to the contracting personal information handler or delete it, and shall not retain such information.​

Without the approval of the contracting personal information handler, the contracted party shall not subcontract the contracted processing of personal information to any other person.​

📖

《网络数据安全管理条例》：

第十二条　网络数据处理者向其他网络数据处理者提供、委托处理个人信息和重要数据的，应当通过合同等与网络数据接收方约定处理目的、方式、范围以及安全保护义务等，并对网络数据接收方履行义务的情况进行监督。向其他网络数据处理者提供、委托处理个人信息和重要数据的处理情况记录，应当至少保存3年。​

网络数据接收方应当履行网络数据安全保护义务，并按照约定的目的、方式、范围等处理个人信息和重要数据。​

两个以上的网络数据处理者共同决定个人信息和重要数据的处理目的和处理方式的，应当约定各自的权利和义务。​

第十五条　国家机关委托他人建设、运行、维护电子政务系统，存储、加工政务数据，应当按照国家有关规定经过严格的批准程序，明确受托方的网络数据处理权限、保护责任等，监督受托方履行网络数据安全保护义务。​

条文重点

关于委托处理与共同处理的区分，详见前一条。

委托处理个人信息却未订立合同（或合同未包括第一款内容），受托人仍要履行法定义务；同时，该行为属于违法行为，可能受处罚。（from程啸：《个人信息保护法理解与适用》）​

受托人的义务有特殊规定，参见本知识库第59条。

与此同时，委托处理中双方订立的是委托合同，可以适用《民法典》919-927条规定。​

1.责任承担：

•
受托人因过错给委托人造成损害的 —— 《民法典》第929条​

•
受托人侵害个人信息权益​
◦
《民法典》第1193条定作人责任规则​
◦
若双方有共同意思，则归属共用加害行为（《民法典》第1168条）​

（from 杨合庆（法工委）：《个人信息保护法释义》）

2.委托处理的判断：

周光权，《委托处理个人信息与侵犯公民个人信息罪》

委托处理的侵权责任认定：

程啸、杨嘉祺，《类型化思维下委托处理个人信息的侵权责任认定》

i.
个人信息的侵权责任认定是保护个人信息权益的关键所在。委托处理个人信息涉及的法律关系复杂，产生侵权后的责任认定难度最大，需要类型化思维深入剖析。以“合法性”为标准和依据，可以将委托处理个人信息侵权责任的类型划分为“合法性委托实施的侵权责任”和“非法性委托实施的侵权责任”。《个人信息保护法》对“合法性委托实施的侵权责任”的认定已做详细规定，而较为复杂的“非法性委托实施的侵权责任”则需要深入探讨。按照合法性原则、诚信原则和公平原则，可将其进一步划分为“受托人违反约定处理个人信息时的侵权责任、委托事项非法时的侵权责任、受托人处理委托人非法取得的个人信息的侵权责任”三种类型。从主体间的法律关系和归责方式切入，分别确定委托人与受托人的侵权责任。​

4.
数据委托处理的合同文本​

参见国家数据局起草的数据委托处理合同（示范文本）

《数据委托处理服务合同（示范文本）》.docx

疑难争议

1.
【委托处理的同意】委托处理的情况下，受托方处理信息是否还需要取得个人信息主体的同意？是否还需要告知？​
◦
同意​
▪
不需要（from龙卫球：《个人信息保护法释义》）​
•
理由：在《个人信息安全规范》中，委托处理与共享、转让、公开披露并列，因此适用不同的规则；其次，委托处理没有增加新的处理者；再者，有授权递减原则，足以保护。​
◦
告知​
▪
不需要（from龙卫球：《个人信息保护法释义》）​

2.
【转委托】​

和《民法典》第923条的规则相比，本条转委托规定（1）省去了“追认”的选项，学者皆认为是立法者有意的排除；（2）省去了“紧急情况下受托人为了维护委托人的利益需要转委托”的除外条款。对于第（2）个省略的解释，学者有不同意见：​

•
允许​
◦
只要不损害个人的利益，显然是可以的。（from程啸：《个人信息保护法理解与适用》）​

第二十一条 委托处理个人信息​

第二十一条委托处理个人信息