2026-09-02

共享和委托处理

【导读】 数据共享与委托处理是GDPR数据外部流转的核心合规场景，法定依据为GDPR第28条委托处理规则、第29条处理者义务、第44至50条跨境第三方流转规则，是企业内部数据合规闭环后，对外数据交互的刚性监管重点。GDPR将企业外部数据流转严格划分为

数据共享与委托处理是GDPR数据外部流转的核心合规场景，法定依据为GDPR第28条委托处理规则、第29条处理者义务、第44至50条跨境第三方流转规则，是企业内部数据合规闭环后，对外数据交互的刚性监管重点。GDPR将企业外部数据流转严格划分为**数据共享（第三方控制者）**与**委托处理（第三方处理者）**两类完全不同的法律模型，二者的合规门槛、协议要求、权责归属、跨境规则、追责机制完全不同，也是跨境企业最容易混淆、错配、漏合规的高频风险点。数据共享是将个人数据提供给外部独立主体，由对方自主决定处理目的与方式，属于**二次数据披露行为**；委托处理是企业委托服务商、外包机构代为处理数据，处理目的、方式完全由我方控制，外部机构仅执行运维、存储、技术支撑，属于**代执行技术行为**。针对元征云服务商、系统开发商、运维外包、渠道合作、母子公司数据互通、第三方插件对接等场景，必须精准区分两类流转模式，落实差异化合规管控，杜绝外部数据流转无协议、无约束、无兜底、无审计的合规漏洞。

GDPR对**委托处理（处理者模式）**设置标准化强制合规体系，适用于元征绝大多数外包、技术服务、系统运维场景，包括云端服务器托管、NetSuite系统运维、技术外包开发、日志分析、系统安全防护、备份容灾服务等。此类场景中，元征作为**数据控制者**全权决定数据处理目的与方式，第三方服务商仅作为**数据处理者**被动执行指令，无自主处置、二次使用、私自披露数据的权利。依据GDPR第28条，所有委托处理行为必须前置签订**标准DPA数据处理协议**，无DPA协议的委托处理一律判定为非法数据流转。DPA必须完整锁定八大法定核心条款：仅依据我方书面指令处理数据、全员保密约束、落实GDPR安全防护措施、禁止私自转包次级处理、协助响应用户行权请求、配合数据泄露通知、服务到期彻底删除数据、全程留存审计台账。同时企业作为控制者承担**最终合规全责**，无论第三方是否违规操作，监管追责优先归属元征，不得通过外包、委托转移法定合规责任。

GDPR对**数据共享（第三方控制者模式）**设置更高门槛合规要求，适用于对外商业合作、渠道对接、供应链交互、联合业务服务、跨企业业务协同等场景。数据共享指向外部独立控制者提供个人数据，对方可自主决定数据处理用途与方式，属于**重大数据披露行为**，合规约束远严于普通委托处理。该场景下，企业必须满足三重刚性前提：一是具备合法共享基础，依托用户单独同意、合同履约刚需、法定合规义务或合规LIA评估兜底，禁止无依据随意共享欧盟个人数据；二是落实透明告知，在隐私政策中精准公示共享对象、共享字段、共享目的、留存周期、第三方合规资质，禁止笼统模糊告知；三是严控最小必要范围，仅共享业务刚需最小字段，禁止全量数据、冗余隐私数据批量共享。同时，接收方必须具备等效GDPR保护能力，若共享至中国等非充分第三国，必须同步完成SCC签约与TIA跨境评估，实现共享链路实质合规闭环。

两类外部数据流转模式的**核心合规边界与权责差异**需严格区分，彻底规避模式错配风险。委托处理不改变数据处理目的，仅为技术代执行，无需用户单独授权、无需新增公示，核心依靠DPA协议管控，风险集中在数据泄露、越权操作、私自转包；数据共享属于目的延伸、主体变更，必须有独立合法基础、专项公示、用户知情，部分场景需单独授权，核心风险为第三方滥用、二次披露、违规复用、跨境保护失效。元征高频错配漏洞为：将渠道商业数据共享、合作方客户信息互通错误归类为委托处理，仅签署普通服务协议、未落实共享合规要件，被监管认定为无依据违规披露个人数据；或将纯技术运维委托归类为数据共享，过度增加授权与公示成本，造成合规冗余。企业必须逐场景判定流转属性，做到一场景一定性、一模式一合规。

针对**次级处理、转包分包**场景，GDPR设置严格禁止与授权规则，封堵第三方层层转包的合规盲区。委托处理模式下，服务商如需委托次级外包机构参与数据处理，**必须提前获得我方书面授权**，禁止私自转包、默认分包、多层流转。获批的次级处理必须同样签订合规DPA协议，向下穿透落实全部GDPR约束，且主服务商对次级机构的违规行为承担全部连带兜底责任。数据共享模式下，**完全禁止二次共享、二次披露**，接收第三方不得以任何形式将获取的欧盟个人数据再次流转、分享、售卖或提供给其他主体，必须在共享协议中明确二次流转违约责任与追责机制。元征系统运维、云端服务、技术开发外包场景，需严格审核服务商转包权限，杜绝数据多层无管控流转，防止合规风险逐级放大、无法溯源。

结合元征**跨境流转、母子公司互通、多系统外包运维**的专属场景，落实差异化合规落地标准。母子公司之间的数据互通，属于关联主体受控流转，优先适用委托处理管控逻辑，签订集团内部DPA，明确处理边界、权限范围、保密义务，无需对外公示共享；海外子公司向国内总部传输数据、国内技术团队远程运维处理欧盟数据，属于跨境委托处理，必须匹配SCC跨境合同与TIA评估结论，确保境外处理等效合规。各大系统服务商、云端平台、插件工具、运维外包全部纳入DPA管控清单，定期核验服务商安全资质、保密机制、审计台账、到期数据清理记录。对外商业渠道、供应链合作的有限数据互通，严格按照数据共享标准执行，补齐合法基础、公示告知、最小范围管控，杜绝关联主体与外部主体合规标准混同。

数据共享与委托处理必须与全域GDPR合规体系联动闭环，形成外部流转全链路风控。高风险、自动化、批量数据对外流转场景，必须前置完成DPIA风险评估，排查第三方处理风险、泄露隐患、越权操作风险；所有跨境共享、跨境委托处理，必须依托SCC+TIA完成实质合规兜底；常规低风险委托运维场景依托DPA固化合规，日常运维流转依托LIA补足合法基础。同时建立**第三方专项台账**，完整留存DPA协议、授权记录、转包审批、服务商安全审计、到期数据清理凭证、跨境流转评估报告，实现每一笔外部数据流转均可溯源、可审计、可追责。通过精准区分共享与委托边界、落实分层管控，彻底封堵外部数据流转的隐性合规漏洞，完善企业全域数据全生命周期合规闭环。