gdpr-dpa-art28

签订数据处理协议

概述

第 28 条第 3 款要求，处理者进行的数据处理须受具有约束力的合同或其他法律文件管辖，并且该合同或文件须列明特定的强制性要素。本节详细介绍全部八项强制性条款，提供合规检查清单，并参考 2021 年欧盟《控制者向处理者传输标准合同条款》。

第 28 条第 3 款：强制性要素

要素 1：处理事项和期限

DPA 必须明确处理事项（开展何种处理）、期限（与服务合同期限一致）、处理性质（收集、存储、分析、删除）以及处理目的。

要素 2：个人数据类型

DPA 必须列出正在处理的个人数据的具体类别（姓名、电子邮件地址、财务数据、健康数据等）。

要素 3：数据主体类别

DPA 必须明确受影响的数据主体（员工、客户、网站访客、患者等）。

要素 4：控制者的义务和权利

DPA 必须载明控制者向处理者提供的书面指示，说明授权处理者如何处理数据。

要素 5：处理者的义务（第 28 条第 3 款 (a)-(h)）

(a) 书面指示：处理者只能根据控制者的书面指示处理个人数据，包括涉及向第三国传输的指示；但欧盟或成员国法律要求处理者这样做的情况除外。在这种情况下，处理者必须在处理前告知控制者（法律禁止此类通知的除外）。

(b) 保密：处理者须确保获授权处理个人数据的人员已承诺承担保密义务，或受适当的法定保密义务约束。

(c) 安全措施：处理者须采取第 32 条（处理安全）规定的所有措施。

(d) 子处理者：未经控制者事先给予具体或一般书面授权，处理者不得聘用其他处理者。若获得一般书面授权，处理者必须将拟对增加或更换子处理者作出的任何变更告知控制者，使控制者有机会提出异议（第 28 条第 2 款和第 4 款）。

(e) 协助行使数据主体权利：在可行范围内，处理者须通过适当的技术和组织措施协助控制者履行其回应数据主体请求的义务（第 15 至 22 条）。

(f) 协助履行 GDPR 义务：处理者须结合处理的性质及其掌握的信息，协助控制者确保遵守第 32 至 36 条（安全、违规通知、DPIA、事先咨询）。

(g) 返还或删除数据：处理服务结束后，处理者须根据控制者的选择删除或返还所有个人数据，并删除现有副本，但欧盟或成员国法律要求存储的除外。

(h) 审计和检查：处理者须向控制者提供证明其遵守第 28 条义务所需的所有信息，并允许和配合由控制者或控制者委托的其他审计员开展的审计，包括检查。

要素 6：国际传输

如果处理者或任何子处理者将个人数据传输至 EEA 以外，必须采取适当的保障措施（SCC、BCR、充分性决定或减损）。

要素 7：子处理链

处理者必须在子处理合同中规定相同的数据保护义务。初始处理者仍须就子处理者的履约情况对控制者承担全部责任（第 28 条第 4 款）。

要素 8：书面形式

合同必须采用书面形式，包括电子形式（第 28 条第 9 款）。

DPA 合规检查清单

#	要求	条款引用	是否具备？
1	明确规定处理事项和期限	第 28 条第 3 款
2	明确界定处理性质和目的	第 28 条第 3 款
3	列出个人数据类型	第 28 条第 3 款
4	明确数据主体类别	第 28 条第 3 款
5	处理者仅按照有据可查的指示行事	第 28 条第 3 款第 (a) 项
6	法律要求处理超出指示范围时须予以通知	第 28 条第 3 款第 (a) 项
7	对获授权人员作出保密承诺	第 28 条第 3 款第 (b) 项
8	实施第 32 条规定的安全措施	第 28 条第 3 款第 (c) 项
9	明确规定子处理者授权机制	第 28 条第 3 款第 (d) 项、第 28 条第 2 款
10	子处理者变更通知程序	第 28 条第 4 款
11	控制者对新增子处理者提出异议的权利	第 28 条第 2 款
12	对子处理者施加相同义务	第 28 条第 4 款
13	协助处理数据主体权利请求	第 28 条第 3 款第 (e) 项
14	协助履行第 32 至 36 条规定的义务	第 28 条第 3 款第 (f) 项
15	合同终止时返还或删除数据	第 28 条第 3 款第 (g) 项
16	控制者享有审计和检查权	第 28 条第 3 款第 (h) 项
17	提供证明合规的信息	第 28 条第 3 款第 (h) 项
18	国际传输保障措施（如适用）	第 28 条第 3 款、第 V 章
19	采用书面形式（包括电子形式）	第 28 条第 9 款
20	处理者向控制者通知数据泄露	第 33 条第 2 款

2021 年标准合同条款参考

欧盟委员会 2021 年 6 月 4 日第 2021/914 号实施决定制定了新的 SCC，其中包括模块二（控制者向处理者传输）和模块三（处理者向处理者传输）。这些 SCC 可作为 DPA 使用，也可补充现有 DPA，用于国际传输。控制者向处理者模块中的关键条款：

• 第 7 条：加入条款（其他方可加入）
• 第 8 条：数据保护保障措施，包括第 28 条第 3 款的要求
• 第 9 条：子处理者条款，规定特定授权或一般授权
• 第 10 条：数据主体权利
• 第 13 条：监管机构的监督
• 第 14 条：传输影响评估义务
• 第 15 条：政府访问请求情况下的义务

实务考量

谈判优先事项

1. 审计权：确保审计权具有实质意义，而非仅接受 SOC 2 报告来替代现场审计。
2. 子处理者透明度：要求提供最新的子处理者名单，并在变更前及时通知（至少提前 30 天）。
3. 数据泄露通知时限：第 33 条第 2 款要求“不得无故拖延”——应明确具体时限（例如 24 至 48 小时）。
4. 数据删除证明：要求按照特定格式和时限提供书面删除证明。
5. 责任：第 82 条第 2 款规定，处理者须对因未遵守处理者特定义务，或在控制者指示范围之外或违背其指示行事而造成的损害承担责任。