委托处理是什么
委托处理指处理者委托他人代表自己处理个人信息，例如外包客服、云服务、短信通道等。要求是签订协议约定处理目的、期限、方式、信息种类、保护措施与双方权责，并对受托人的处理活动进行监督；合同终止时受托人应返还或删除数据，未经同意不得转委托。
基本信息
| 法律依据 | 个人信息保护法关于委托处理的规定 |
|---|---|
| 协议必备 | 目的、期限、方式、信息种类、保护措施、双方权利义务 |
| 监督义务 | 委托方需对受托处理活动进行监督并留存记录 |
| 转委托限制 | 未经委托方同意，受托人不得转委托 |
| 终止处理 | 合同终止后返还或删除，不能留存用于其他目的 |
| 常见场景 | 外包客服、云服务、短信与邮件通道、数据分析服务商 |
典型使用场景
- 引入外包客服团队时签订委托协议并限定可访问字段
- 云服务采购时明确数据归属、删除方式与日志提供义务
- 短信与邮件通道商接入前核验其安全能力与数据使用约定
- 受托方需转包时要求事先取得书面同意
- 合作终止时取得数据删除或返还的书面确认
委托协议必备条款
委托协议必备条款
1 委托处理的目的、期限、处理方式、个人信息种类
2 保护措施与安全事件通报义务
3 双方权利义务与违约责任
4 转委托限制（未经同意不得转委托）
5 合同终止后的返还或删除义务
6 审计与监督的配合方式环节与动作
| 环节 | 关键动作 | 常见缺口 |
|---|---|---|
| 准入 | 评估受托方安全能力与资质 | 只看报价不看安全措施 |
| 协议 | 写明目的、种类、措施与责任 | 使用通用采购合同无个人信息条款 |
| 运行 | 访问控制、审计与监督记录 | 受托方权限范围不清 |
| 变更 | 用途或范围变更需重新约定 | 口头扩大处理范围 |
| 终止 | 返还或删除并要求书面确认 | 合作结束后数据仍在对方留存 |
受托人只能在约定范围内处理；超出约定范围或变更目的，应由委托方重新履行告知同意等义务。
监督记录的实际形态：定期索取访问日志、开展现场或远程检查、要求提交安全自评报告，三者任选并留档即可。