dpa-drafting

数据处理协议起草

概述

GDPR 第 28 条第 3 款规定，处理者开展的处理活动应受对处理者具有约束力的合同或其他法律行为管辖。该合同必须列明具体的强制性条款，涵盖处理的标的和期限、性质和目的、个人数据类型、数据主体类别，以及控制者的义务和权利。EDPB 在《指南 07/2020》中强调，这些要求并非可选项，未纳入任何强制性要素都会导致 DPA 不合规。

欧盟委员会在实施决定 (EU) 2021/915 中通过了适用于控制者与处理者安排的标准合同条款，为组织采用或调整提供了参考框架。

第 28 条第 3 款规定的 DPA 强制性条款

条款 1：标的和期限

DPA 必须明确供应商将执行哪些处理活动，以及处理期限。

必需元素：

元素	说明	示例
标的	所提供的具体服务	“云托管的客户分析平台”
期限	处理期限	“主服务协议期限，加上 90 天的数据返还／删除期”
开始日期	处理开始时间	“自 MSA 生效日期起生效”
存续条款	终止后仍然有效的义务	“保密义务、删除证明和审计权在终止后继续有效 3 年”

条款 2：处理的性质和目的

必需元素：

元素	说明	示例
处理性质	对个人数据执行的操作	“通过 API 接入收集数据、存储在加密数据库中、自动分析、生成汇总报告、合同终止时删除”
处理目的	开展处理的原因	“为 Summit Cloud Partners 提供客户行为分析，以支持产品改进决策”
处理指示范围	处理的边界	“处理者仅可为附件 1 规定的目的处理个人数据，且仅可依据控制者的书面指示进行处理”

条款 3：个人数据类型

列明处理者将处理的所有个人数据类别。

Summit Cloud Partners — 附件示例：

数据类别	说明	敏感级别
联系信息	姓名、电子邮件地址、电话号码	普通
账户标识符	用户 ID、账户号码、租户 ID	普通
使用数据	功能使用日志、会话时长、点击路径	普通
设备信息	IP 地址、浏览器类型、OS 版本	普通
位置数据	根据 IP 地址推断的城市／地区（非精确 GPS）	较高
支付元数据	交易日期、套餐类型（不包括卡号）	较高

条款 4：数据主体类别

类别	说明	约略人数
企业客户	Summit Cloud Partners 平台的实名用户	50,000
试用用户	使用免费试用账户的用户	15,000
API 使用者	使用 Summit Cloud Partners API 的开发者	5,000

条款 5：控制者的义务与权利

DPA 必须说明控制者有权采取哪些行动，以及必须向处理者提供什么：

1. 发出指示的权利：控制者有权就处理活动发出有记录的书面指示
2. 审计权：控制者可以审计处理者的合规情况（第 28(3)(h) 条）
3. 确定合法依据的义务：控制者确认处理活动符合第 6 条规定的合法性要求
4. 回应数据主体的义务：控制者负责回应数据主体的请求，处理者应予以协助
5. 通知处理者相关变更的义务：处理指示、数据类别或监管要求发生变更时，控制者应通知处理者

条款 6：处理者的义务（第 28(3)(a)–(h) 条）

第 28(3) 条规定的八项处理者强制义务：

(a) 仅根据有记录的指示进行处理

“处理者仅可根据控制者有记录的指示处理个人数据，包括有关将个人数据传输至第三国或国际组织的指示；但处理者所受约束的欧盟或成员国法律要求其进行处理的除外。在此情况下，处理者应在处理前告知控制者该法律要求，但该法律基于重大公共利益禁止提供此类信息的除外。”

(b) 保密义务

“处理者应确保获授权处理个人数据的人员已承诺保密，或负有适当的法定保密义务。”

(c) 安全措施（第 32 条）

“处理者应实施第 32 条要求的所有措施，包括在适当情况下采取以下措施：(i) 对个人数据进行假名化和加密；(ii) 确保处理系统持续具备保密性、完整性、可用性和韧性的能力；(iii) 在发生物理或技术事件时，及时恢复个人数据的可用性和访问权限的能力；(iv) 定期测试、评估和衡量技术与组织措施有效性的流程。”

(d) 分处理者条件

“未经控制者事先给予特定或一般书面授权，处理者不得聘用其他处理者。若获得一般书面授权，处理者应将拟新增或替换其他处理者的任何变更告知控制者，从而使控制者有机会对此类变更提出异议。”

(e) 协助行使数据主体权利

“考虑到处理活动的性质，在可能的范围内，处理者应通过适当的技术和组织措施协助控制者履行其回应数据主体行使第三章规定权利的请求的义务。”

(f) 协助履行合规义务

“处理者应考虑处理活动的性质及其掌握的信息，协助控制者确保遵守第 32 至 36 条。”

(g) 终止后删除或返还

“在提供与处理活动有关的服务结束后，处理者应根据控制者的选择，删除或向控制者返还所有个人数据，并删除现有副本；但欧盟或成员国法律要求存储个人数据的除外。”

(h) 审计权

“处理者应向控制者提供证明其遵守第 28 条规定义务所需的所有信息，并允许控制者或控制者指定的其他审计人员开展审计（包括检查），并予以配合。”

条款 7：次级处理者的级联义务

当处理者聘用次级处理者时，第 28 条第 4 款要求通过合同向次级处理者施加与控制者—处理者 DPA 中相同的数据保护义务。次级处理者 DPA 必须包含实质等同的条款。

次级处理者管理条款：

条款	说明
授权机制	提供一般书面授权，并通知变更
通知期限	聘用新的次级处理者前至少 30 个日历日
异议权	控制者可在通知期内提出异议
异议后果	如果异议未能解决，任一方均可终止受影响的服务
义务传递	次级处理者合同必须施加与第 28 条第 3 款等同的义务
责任	处理者仍对次级处理者的合规情况负全部责任

条款 8：国际传输

如果个人数据将传输至 EEA 以外地区，DPA 必须说明传输机制：

传输情形	所需机制
从 EEA 传输至具有充分性认定的国家（依据第 45 条）	引用充分性决定
从 EEA 传输至未获充分性认定的国家	标准合同条款（欧盟委员会决定 2021/914）
从 EEA 传输至未获充分性认定的国家，并采取补充措施	SCC，加上依据 EDPB 建议 01/2020 采取的技术、组织和合同补充措施

DPA 起草检查清单

#	要求	条款	状态
1	明确处理标的和期限	28(3)	[ ]
2	界定处理性质和目的	28(3)	[ ]
3	列出个人数据类型	28(3)	[ ]
4	列出数据主体类别	28(3)	[ ]
5	明确控制者的义务和权利	28(3)	[ ]
6	处理者仅依据书面指示进行处理	28(3)(a)	[ ]
7	对获授权人员规定保密义务	28(3)(b)	[ ]
8	实施第 32 条规定的安全措施	28(3)(c)	[ ]
9	规定次级处理者的条件和授权	28(3)(d)	[ ]
10	协助处理数据主体权利请求	28(3)(e)	[ ]
11	协助遵守第 32–36 条	28(3)(f)	[ ]
12	合同终止时删除或返还数据	28(3)(g)	[ ]
13	审计权和信息访问权	28(3)(h)	[ ]
14	依据第 28 条第 4 款向次级处理者传递义务	28(4)	[ ]
15	国际传输机制（如适用）	28(3), Ch. V	[ ]
16	依据第 33 条第 2 款规定违规通知义务	33(2)	[ ]
17	DPA 采用书面形式（包括电子形式）	28(9)	[ ]

重要监管参考

• GDPR 第 28 条第 3 款 — DPA 必须包含的条款
• GDPR 第 28 条第 4 款 — 向次级处理者传递义务
• GDPR 第 28 条第 9 款 — 书面形式要求
• GDPR 第 32 条 — 处理安全
• GDPR 第 33 条第 2 款 — 处理者向控制者通知数据泄露
• 欧盟委员会实施决定 (EU) 2021/915 — 控制者与处理者之间的标准合同条款
• EDPB 指南 07/2020 — 控制者和处理者的概念
• EDPB 建议 01/2020 — 国际传输的补充措施