多法人为什么容易出事
集团统一建制度、统一建平台是最经济的做法，但合规义务是按法人主体分配的：备案、测评、事件报告、个人信息处理的责任都落在系统与数据的归属法人身上，不会因为集团发了统一制度而转移。容易出问题的场景有两类：一是集团 IT 或共享服务中心直接运维子公司系统，权限与责任边界没写清；二是集团内互相调取数据，被当成「自家的事」，忽略了共同处理与对外提供规则的适用。
划分要点
划分要点
1 责任主体：备案、测评与整改以系统所属法人为单位，材料按主体分别归档
2 共享服务：集团 IT 运维子公司系统时按委托处理约定，明确权限范围、操作留痕与审计权
3 数据流动：集团内共享个人信息同样适用告知同意、单独同意与共同处理规则，不因同属集团而豁免
4 跨境场景：涉及境外主体或境外存储时，评估数据出境义务并留存评估与合同材料
5 证据归属：制度可以统一发布，记录必须按法人分别留存并注明适用主体
6 采购与外包：以签约主体为单位管理供应商安全要求，避免出现无主体的合同场景与责任归属
| 场景 | 责任落点 | 要准备的材料 |
|---|---|---|
| 集团统建平台、子公司使用 | 系统所属法人承担系统安全与数据合规义务 | 系统清单与归属表、备案与测评材料、权限清单 |
| 集团 IT 代运维子公司系统 | 按委托处理关系：子公司是决定者，集团 IT 是受托方 | 委托处理协议、运维操作日志与审计记录 |
| 集团内共享客户信息用于交叉营销 | 共同处理或对外提供，需明确告知同意基础 | 个人信息处理规则、同意记录、共享清单 |
| 总部与境外机构共用系统 | 按出境规则评估并履行相应手续 | 出境评估材料、合同条款、境外接收方清单 |
| 子公司自建系统不进集团台账 | 该法人独立承担全部义务 | 独立台账与证据，避免集团材料被当作其证明 |
委托处理协议要点
- 处理目的、处理方式与处理期限：明确受托方只能按约定处理，不得超范围使用
- 安全措施要求：加密、访问控制、日志留存、人员保密与培训要求写进附件
- 审计权与配合义务：委托方有权检查与审计，受托方应配合并提供记录
- 事件通报时限：发生安全事件后的通报渠道与时限（如 24 小时内）
- 转委托限制：需事先书面同意，并同步约定再委托方的责任
- 合同终止后的数据处置：返还或删除的时限、方式与证明形式
- 年度复核：协议与实际情况同步更新，避免实际处理范围超出协议
判断口径：先问「谁是个人信息处理者、谁决定处理目的和方式」，再谈技术由谁运维。技术运维方通常不是决定者，因此不能因为系统由集团统一运维就把责任归到集团。