1　范围

本文件提出了数据对外提供、委托处理、共同处理的判定规则和责任划分，给出了数据处理活动的通用指南和具体场景实施指南。

本文件适用于指导数据提供、委托处理、共同处理相关方开展数据处理活动，也可为主管监管部门、第三方评估机构等组织对数据安全进行监督、管理和评估提供参考。

2　规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T 25069—2022　信息安全技术　术语

GB/T 35273—2020　信息安全技术　个人信息安全规范

GB/T 43697—2024数据安全技术　数据分类分级规则

GB/T 45574—2025数据安全技术　敏感个人信息处理安全要求

GB/T 45577—2025数据安全技术　数据安全风险评估方法

GB/T 37964—2019  信息安全技术  个人信息去标识化指南

GB/T 41388—2022  信息安全技术  可信执行环境  基本安全规范

3　术语与定义

GB/T 25069—2022、GB/T 35273—2020界定的以及下列术语和定义适用于本文件。

3.1 数据　data

任何以电子或者其他方式对信息的记录。

3.2 个人信息　personal information

以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息。

[来源：GB/T 43697—2024，定义3.5]

3.3 数据安全　data security

通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。

3.4 数据处理活动　data processing activities

以数据为对象的操作活动，包括数据的收集、存储、使用、加工、传输、提供、公开、删除等处理活动。

3.5 数据处理者　data processor

在数据处理活动中自主决定处理目的、处理方式的组织、个人。

[来源：GB/T 43697—2024，定义3.11]

注：在数据提供场景，数据处理者作为提供方，接收数据的组织或个人作为接收方。在委托处理场景，数据处理者作为委托方，受托处理数据的组织或个人作为受托方。在共同处理场景，所有数据处理者均作为共同处理方。

3.6 数据提供data providing

数据处理者将数据跨主体传递给其他特定范围数据处理者，由其开展独立处理的活动。

注1：数据提供方式包括数据接收方从数据提供方获取数据的任何方式，如传输、查询、调取、下载、导出等。

注2：数据提供场景下的独立处理，指接收方作为处理者，在约定或授权范围内，自主开展并独立承担责任的数据处理活动。

3.7 委托处理commissioned processing

数据处理者委托个人、组织按照约定的目的和方式开展的数据处理活动。

3.8 共同处理joint processing

两个以上的数据处理者共同决定数据的处理目的和处理方式的数据处理活动。

4　总则

4.1场景划分

数据提供、委托处理及共同处理，是数据在不同数据处理者之间流动和协作的三种典型场景。其核心区别在于数据处理目的、方式的决定权归属不同，由此导致各方在数据处理活动中的责任承担机制存在差异。正确识别并区分上述场景，是数据处理者履行数据安全保护义务、合理配置数据安全资源、依法签订协议并明确责任的前提，也是有效实施安全措施和开展数据安全风险评估的基础。不同场景的判定规则如下：

a)数据提供场景的判定规则包括：

1)处理独立性：提供方与接收方均为独立数据处理者，且为不同法律主体；

2)处理自主性：接收方可基于自身需求的目的和方式处理所接收的数据。

b)数据委托处理场景的判定规则包括：

1)目的从属性：受托方仅根据委托方的授权处理数据，不决定数据的处理目的及方式；

2)范围限定性：处理活动仅限于委托协议约定的处理目的和处理方式。

c)数据共同处理场景的判定规则为共同决策，即两个以上的数据处理者共同决定数据的处理目的和处理方式，单一处理者无法单独决定。

4.2责任划分

不同场景下各方责任划分如下：

表1 不同场景下各方责任划分

4.3指南框架

数据提供、委托处理、共同处理实施指南框架如下，框架包括通用指南，并细化各场景细化实施要点。

a）开展数据提供、委托处理、共同处理活动前，数据处理者首先参照5.1进行数据分类分级。针对重要数据识别结果，参照5.2确定安全评估内容，进行接收方能力审查，涉及个人信息的开展个人信息保护影响评估，涉及重要数据的开展数据安全风险评估。参照5.3签署协议，约定处理数据的目的、范围、处理方式、处理时限、安全保护义务等；

b）开展数据提供、委托处理、共同处理活动中，数据提供、委托处理、共同处理各相关方参照5.4采取相关技术保障措施，参照5.5进行全流程应急处置；

c）提供、委托处理、共同处理活动结束后，数据接收方、受托方及共同处理者参照5.6对相关数据进行删除处理；

d）对于数据提供、委托处理、共同处理活动的其他细化实施要点，分别参照6、7、8章。

5　通用指南

5.1分类分级

数据处理者宜采取以下安全措施：

a)根据国家和行业主管监管部门数据分类分级相关要求，参照GB/T 43697—2024，对数据进行分类分级，明确数据类别（如公共数据、组织数据、个人信息）、级别（如重要数据、一般数据）及保护要求；

b)记录数据的分类分级依据、范围、存储方式及使用场景，定期更新以反映数据动态变化；

c)数据经过拆分、加工、聚集、融合等处理后，对结果进行重新分类分级评估；

d)依据数据分类分级结果，明确数据使用目的、处理方式与使用范围，保障数据用途符合对应的分级管控要求；

e)针对不同类别、级别数据制定差异化流通策略，核心数据原则上禁止跨主体流动，确需流动的需经严格审批。

5.2 安全评估

5.2.1一般数据

数据处理者宜采取以下安全措施：

a)明确数据提供、委托处理或共同处理的目的、方式、范围等合法、正当、必要性，确保数据提供、委托或共同处理行为与业务目标直接相关；

b)在数据提供、委托处理、共同处理前，开展接收方、受托方、共同处理者能力审查，对接收方、受托方、共同处理者开展尽职调查。评估其数据安全保护能力、信誉状况及合规记录，可要求提供数据安全相关资质、认证，核查数据安全管理及技术能力等，必要时可进行现场访谈和技术测试；

c)数据提供、委托处理、共同处理活动发生重大变化的，如法律法规要求变化、数据接收方变化、数据处理目的、方式、范围变化等，需对发生变化及其影响的部分重新评估；

d)委托处理、共同处理数据过程中产生衍生数据，涉及包括个人信息、重要数据的，委托方、共同处理者还应评估衍生数据被扩散转移后的风险；

注：衍生数据指在原始数据的基础上加工产生的新数据形态。

e)基于数据提供、委托处理、共同处理的事件记录清单，根据公开信息定期对其中的数据接收方、受托方、共同处理者的诚信守法情况、数据安全风险事件情况进行审查，发现存在隐瞒、欺诈、滥用、泄露等情况，应及时采取应对措施。

注：“公开信息”指公开新闻报道、国家征信平台、公开司法判决、行政执法等信息。

5.2.2个人信息

数据处理者在参照5.2.1的基础上，宜采取以下安全措施：

a)提供、委托处理、共同处理个人信息前，开展个人信息保护影响评估，评估内容需包括对个人权益的影响及安全风险；

b)评估结果为高风险的，采取有效措施消减风险至中、低风险后，方可开展提供、委托处理、共同处理活动。评估结果为中风险的，根据实际情况采取适当改进措施后可开展提供、委托处理、共同处理活动；

c)评估报告和处理情况记录至少保存3年。

5.2.3重要数据

数据处理者在参照5.2.1的基础上，宜采取以下安全措施：

a)提供、委托处理、共同处理重要数据前，需开展数据安全风险评估，评估结果为高风险的，采取安全措施消减风险至低风险：

b)如行业领域已发布风险评估相关规范，依据行业领域规范执行。如未发布行业规范，则依据GB/T 45577—2025开展；

c)重要数据安全状态发生重大变化可能对数据安全造成不利影响的，及时对发生变化及其影响的部分重新开展风险评估；

d)可以自行或者委托第三方评估机构（以下简称评估机构）开展风险评估，自行开展风险评估的，指定专人负责。委托评估机构开展的，优先选择通过认证的评估机构，并通过订立合同或者其他具有法律效力的文件等方式明确双方的权利、责任和保密义务等；

e)重要数据处理者在年度风险评估完成后的20个工作日内按照有关主管部门要求向其报送风险评估报告。主管部门不明确的，向省级网信部门或者国家网信部门报送；

f)履行法定职责或者法定义务提供、委托处理、共同处理重要数据的，可不进行事前风险评估，但要留存规定其法定职责或者法定义务的依据文件；

g)对接收方、受托方、其他共同处理者近3年内发生的较大及以上网络安全事件情况、处置情况、改进措施与风险现状进行评估。

注：“较大网络安全事件”指《国家网络安全事件报告管理办法》的附件《网络安全事件分级指

南》中的“较大网络安全事件”。

5.3 协议签署

数据处理者宜采取以下安全措施：

a)与数据接收方、数据受托方、共同处理方签订合同协议，约定处理数据的目的、范围、处理方式、处理时限、安全保护义务等；

b)协议中包含接收方对数据的安全保护承诺，包括但不限于数据存储安全、访问控制机制、人员管理、保密义务、日志审计、安全事件监测与响应等关键环节，保障数据全生命周期的安全可控；

c)如数据处理目的、处理方式或数据类型发生实质性变更，各方及时协商，并依法重新签订合同、签署补充协议或修订平台规则；若平台规则调整涉及用户权益或公共利益，依法履行公开征求意见、公示公告等程序，确保处理活动持续符合约定与合规要求。

5.4安全技术

数据提供、委托处理、共同处理相关方宜采取以下安全措施：

a)建立数据脱敏机制，提供不同的数据脱敏方式，具体见附录D.1；

b)具备接口防护能力，建立数据接口台账清单，具体见附录D.2；

c)对操作类型、时间、操作人员和操作方法等相关日志进行记录，具体见附录D.3；

d)具备数据溯源能力，保障日志完整、数据安全事件可溯源，具体见附录D.4；

e)采用可信数据空间、数据沙箱、隐私保护计算等技术，保障数据处理活动环境安全，具体见附录D.5；

f)采用数据加密、身份鉴别与访问控制、安全传输等技术，保障数据安全，具体见附录D.6。

5.5应急处置

数据提供、委托处理、共同处理相关方宜采取以下安全措施：

a)建立数据安全事件预案及分级响应机制，明确不同级别安全事件的处置流程、责任主体及响应时限；

b)当数据安全事件对个人、其他组织造成危害的，需要及时告知利害当事人，无法通知的需要采取公告等方式告知；

c)定期开展应急演练并完善处置记录，确保事件发生后能快速隔离风险、恢复业务并形成整改闭环；

d)涉及多方协作的，在协议中明确事件通报流程和协作处置责任。

5.6数据删除

数据接收方、受托方及共同处理者宜采取以下安全措施：

a)数据委托处理、共同处理目的完成后，依据合同约定，对相关数据进行删除处理；

b)对临时文件、缓存、备份等关联数据同步执行删除操作，防止数据碎片残留导致信息泄露；

c)针对敏感信息、重要数据或合同其他约定，可采用物理销毁、逻辑销毁或组合销毁方式，确保数据无法通过常规手段恢复；

d)记录如操作时间、操作者、处置方法等信息，验证删除操作的完整性与有效性，并定期对验证结果进行审查。

6　数据提供

6.1数据提供方

开展数据提供活动，数据提供方在参照第5章的基础上，宜采取以下措施：

a)确保提供的数据为自身合法收集或处理的数据，不存在非法获取、窃取等情形；

b)严格遵循最小必要原则，仅提供实现处理目的所需的最小数据类型和数量，不超出业务需求范围提供数据；

c)建立接收方动态监测机制，定期开展合规核查，重点核查数据使用是否符合约定、安全措施是否有效落实，核查记录留存备查；

d)向接收方提供个人信息的，提供方向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意；

e)向境外提供个人信息的，向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使个人权利的方式和程序等事项，并取得个人的单独同意；向境外提供重要数据或个人信息的，满足法律、行政法规或者国家网信部门规定的条件，遵照国家数据出境相关要求；

f)针对提供数据的操作建立记录，提供个人信息和重要数据的处理情况记录，至少保存3年。

6.2数据接收方

开展数据提供活动，数据接收方在参照第5章的基础上，宜采取以下措施：

a)在协议约定的处理目的、处理方式和数据种类等范围内处理数据；

b)处理目的实现后或协议终止后，按约定及时删除或返还数据，同步清理缓存、备份等关联数据。

涉及个人信息及重要数据的，还宜采取以下措施：

a)如变更原先的处理目的、处理方式，及时告知提供方，提供方决定是否维持、变更或终止合同协议，涉及个人信息的，需要依照法律法规规定重新取得个人同意；

b)针对接收数据的操作建立记录，个人信息和重要数据的处理情况记录至少保存3年；

c)发生数据泄露、篡改等安全事件时，立即采取补救措施，按合同约定的时限内告知数据提供方，说明事件影响范围、已采取的补救措施，并按规定向监管部门报告，配合提供方开展溯源调查；

d)按合同约定配合提供方的合规审计和监督检查，提供相关处理记录和安全措施证明。

7　数据委托处理

7.1数据委托方

开展数据委托处理活动，数据委托方在参照第5章的基础上，宜采取以下措施：

a)优先选择具备相应数据安全资质、无违法违规记录的受托方，对受托方的安全保护能力进行全面评估；

b)在协议中明确委托处理的具体事项、数据类型、处理时限、输出结果要求，避免模糊表述；

c)为受托方配置仅满足委托事项的最小操作权限，权限范围与委托内容匹配；

d)协议中明确禁止受托方擅自转委托。确需转委托的，需经委托方书面同意，委托方有权对转委托方进行安全能力核验，转委托方的安全保护水平不低于原受托方，委托方与受托方、受托方与转委托方需签订连带责任协议；

e)对委托处理数据情况进行记录，委托处理个人信息和重要数据的处理情况记录，至少保存3年

f)对受托人的个人信息处理活动进行监督，定期进行合规审计，核查处理行为是否符合委托指示，审计结果作为受托方履约评价依据；

g)受托方处理个人信息，处理目的已实现、无法实现、为实现处理目的不再必要的，或达到合同协议规定的存储期限后，委托方根据约定及时回收数据，对回收数据进行完整性校验，或监督受托方对数据进行删除，核查数据删除的相关记录；

h)委托处理过程中产生衍生数据的，委托方、受托方宜协商决定委托结束后是否删除，并在合同协议中明确规定。

7.2数据受托方

开展数据委托处理活动，数据受托方在参照第5章的基础上，宜采取以下措施：

a)按照与委托方约定的处理目的、期限、处理方式等处理数据，范围不超过对委托方的授权范围；

b)委托合同不生效、无效、被撤销或者终止的，受托人将数据返还数据委托方或者予以删除。委托期限届满或委托事项完成后，按约定返还所有处理结果及过程数据，删除原始数据及副本，不擅自留存、备份或用于其他用途。委托方提出验证要求的，需配合完成数据销毁验证；

c)未经委托方同意，不将委托处理的部分或全部数据转委托给第三方；

d)对委托处理数据情况进行记录，委托处理个人信息和重要数据的处理情况记录，至少保存3年；

e)落实协议约定的安全保护措施，根据委托处理的具体类型部署专项技术措施，保障数据安全；

f)发现数据安全风险或事件时，立即采取补救措施，并及时告知委托方。因自身过错导致数据安全事件的，承担相应的赔偿责任；

g)配合委托方的监督检查和合规审计，提供相关处理记录和安全证明材料。

000018　数据共同处理

开展数据共同处理活动，数据处理各方在参照第5章的基础上，宜采取以下措施：

a)各共同处理方相互评估对方的数据安全保护能力、合规资质和信誉状况，确保合作方具备相应处理能力；

b)签订共同处理协议，约定各自的权利和义务，明确数据处理目的、方式的决策流程，在协议中明确各方的具体责任分工，对外承担连带责任，对内按分工分担责任，约定追责流程及赔偿机制；

c)数据处理目的、范围、方式等发生变更的，共同处理方重新开展风险评估和合规性审查，各方共同协商并修改数据处理协议和安全策略，明确变更后的权利义务关系和安全管理要求；

d)各方出具数据权属证明或合法授权文件，明确参与共同处理的数据范围及使用权限。涉及个人信息的，共同确认已获得个人同意或其他合法性基础；

e)共同制定数据安全保护方案，明确联合安全措施、应急处置流程和协作机制，各方共同制定统一的安全保护标准，明确技术接口、数据格式、加密算法、日志规范的一致性要求，确保不同参与方的安全措施兼容互通；

f)基于最小必要原则，为各参与方配置数据访问权限，建立统一的权限管理体系，所有参与方的操作人员权限由各方共同审批，权限范围与各自的处理分工匹配，权限变更需经相关参与方联合确认；

g)各共同处理方对共同处理活动的合规情况和安全保护措施开展审计，其他参与方予以配合，审计发现的问题及相关信息按协议约定处置；

h)制定联合应急预案，成立联合应急小组，在应急处理过程中，各方保持沟通，确保信息共享及时准确，协同开展事件调查，确定事件原因和影响范围；

i)共同处理目的实现后，按协议约定共同处置数据，包括删除、归档、返还等，处置方案需经各方签字确认，任何一方不单独处置数据；

j)如需归档数据，由各方共同指定存储方，建立联合访问控制机制，仅授权人员可访问归档数据，访问操作需经相关参与方联合审批；

k)收到个人信息主体的权利请求后，根据协议约定的相关方受理，各方协同提供必要支持，确保在法定期限内响应；

l)共同处理关系终止后，各方不擅自使用共同处理期间的原始数据，确需使用处理结果的，需经所有参与方书面同意，并遵守相关数据安全要求。

附  录  A

（资料性）

数据提供、委托处理、共同处理场景示例

A.1数据提供场景

数据提供典型场景：

a)APP和小程序场景：APP服务提供者为数据提供方，小程序服务提供者为数据接收方。如公共乘车服务，用户开通公共乘车小程序服务时，小程序在用户同意的情况下，从APP处获得姓名、证件号、手机号以进行实名开户和后续的乘车码服务；

b)电商平台支付场景：卖家发布的商品或者)服务信息符合要约条件的，买家(用户)选择该商品或者服务并成功提交订单，为实现买卖双方合同的订立与履行，电子商务平台经营者（即电商平台）需在履行合同所必需的范围内，在支付环节向支付服务提供者提供交易订单信息，以完成交易验证与资金结算；

c)某终端智能运动手表厂商在用户授权同意的前提下，将用户的运动表现数据（如心率、步数、卡路里消耗、运动轨迹等）通过加密接口传输至合作的第三方专业运动APP平台。用户可在终端设备上的第三方运动App的个人主页查看运动成果和趋势分析；App结合其专业算法模型，为用户提供更精准的运动表现评估、训练建议和健康风险预警；

d)用户使用手表的户外运动功能时，手表厂商向地图供应商提供用户的GNSS信息、IP地址、WLAN热点等能够用于定位的传感器信息，地图供应商返回用户位置信息后APP在地图图面上展示用户位置。

A.2数据委托处理场景

数据委托处理典型场景：

a)云服务提供商为客户提供分类分级服务的场景：用户为委托方，决定数据处理的目的、范围和方式，云服务提供商为受托方。用户根据自身需求开通数据分级分类功能，云服务提供商根据客户指示对用户指定的数据进行扫描及分类分级，用户需根据分级分类结果，针对不同安全级别的数据采用不同的安全保护措施；

b)数据分析外包：电商平台委托第三方公司处理其平台的用户咨询记录，分析客服对话中的用户需求；保险公司委托数据公司清洗业务产生的理赔数据，生成风险评估报告；

c)产品技术支持与服务：产品和服务采购方为委托方，产品技术支持与服务提供商为受托方。受托方按照委托方要求的数据处理目的、范围和方式结合合同履行，对委托方的数据进行分析处理，以提供咨询、规划设计与优化、集成、维护、辅助运营、培训等服务；

d)广告营销场景：广告主基于营销效果评估需求，委托其指定的第三方广告数据监测服务商进行广告投放效果追踪与分析。广告数据监测机构通过专业监测工具准确归因广告曝光、点击及转化数据，为广告主提供客观的投放效果评估依据；

e)账号基本信息展示：电视媒体作为内容展示平台，通过标准化接口接入第三方资源方的账号系统。资源方作为个人信息处理者，委托电视媒体展示用户账号基础信息（包括昵称、头像等），用于实现跨平台账号绑定及会员权益下发服务。

A.3数据共同处理场景

数据共同处理典型场景：

a)联合营销合作场景：银行与电商平台为推出“联名信用卡”产品，在用户授权同意的前提下，仅就联名卡授信审批、联合权益发放及定向优惠推送等明确约定的服务目的，共同决定相关个人信息的处理目的、方式和范围，包括收集用户的消费记录、信用信息并进行联合建模分析。在此范围内，双方构成《个人信息保护法》第二十条所指的共同个人信息处理者，依法对外承担连带责任；

b)医学科研合作场景：医院与高校为开展特定疾病研究项目，共同决定患者病历数据、基因检测结果等敏感个人信息的处理目的（如病因分析、疗效评估）、处理方式（如匿名化处理、统计建模）及数据使用边界。双方作为共同处理者，在取得个人单独同意（或符合科研豁免条件）的前提下开展合作，并通过合作协议约定数据最小化使用、安全保护措施及研究成果归属，对外承担连带责任；

c)公共数据授权运营场景：在公共数据开发利用中，多个公共数据部门、授权运营机构及外部数据开发服务方共同决定公共数据产品的开发目标、技术路径、数据融合范围及应用场景（如城市治理、普惠金融）。各方通过签订多方协议，共同设定数据处理目的与方式，采用隐私计算、区块链存证、数字合约、多方安全计算、可信执行环境等技术手段，在安全可控环境中实现公共数据与社会数据的融合处理。整个过程强调“可管、可控、可追溯、可计量”，各方作为共同处理者，依法对数据处理活动承担连带责任，并明确用户（或数据主体）权利保障机制。

附  录  B

（资料性）

不同场景下处理记录要点

为满足数据安全法律法规的合规性要求，并支撑数据处理活动的有效监督与审计，数据处理者在开展数据提供、委托处理及共同处理时，需对关键环节进行记录。表B.1至B.3针对三种典型场景，分别列出了提供方/接收方、委托方/受托方，以及共同处理各方需记录的核心要点。

表1 不同场景下各方责任划分

表B.2　数据委托处理场景下数据处理记录要点

表B.3　数据共同处理场景下数据处理记录要点

说明：

l留存时间：参照相关法律法规等要求保存安全事件日志时间。向其他网络数据处理者提供、委托处理个人信息和重要数据的处理情况记录至少保存3年。

l跨境数据：需额外记录境外数据接收方、法律依据（如标准合同）及安全评估编号。

附  录  C

（资料性）

数据处理协议模板

C.1 数据处理协议要点

C.1.1数据提供协议

数据提供协议相关要点如下：

a)提供方确保数据来源合法性；

b)如数据处理目的、处理方式或数据类型发生变更，且涉及个人信息的，数据处理者依法重新取得个人的单独同意，或基于其他符合《个人信息保护法》第十三条规定的合法性基础开展处理活动；

c)如所提供数据涉及重要数据，数据处理者组织开展数据安全风险评估，并根据评估结果及国家有关规定，及时履行报告或备案等义务；

d)任一方发现数据泄露、篡改、丢失等安全事件，立即采取补救措施。

C.1.2数据委托处理协议

数据委托处理协议相关要点如下：

a)数据受托方不超出委托合同或具有法律约束力的平台规则等所约定的处理目的、方式、范围及数据类型处理数据；

b)未经数据处理者事先书面同意，数据受托方不将全部或部分委托处理事项转委托给第三方。经同意进行转委托的，数据受托方仍需对第三方的处理行为承担全部责任；

c)数据受托方积极协助数据处理者履行法定义务，包括但不限于：

1）及时响应个人行使权利的请求（如查询、复制、更正、删除、撤回同意等）；

2）配合开展个人信息保护影响评估；

3）依法配合监管机构的监督检查、问询或行政调查；

4）在发生数据泄露、篡改、丢失等安全事件时，立即通知数据处理者，并采取必要且有效的补救措施，防止损害扩大；

d)委托关系终止或数据处理目的已实现后，数据受托方根据数据处理者的明确指示，在合理期限内删除或返还所处理的全部数据及其所有备份，并向数据处理者提供由授权人员签署的书面删除证明或返还证明；

e)数据处理者有权对数据受托方的数据处理活动进行监督、审计，或委托具备资质的第三方机构开展审计；数据受托方予以充分配合，并按要求及时提供与数据处理活动相关的日志记录、安全证明、技术文档等，确保处理过程可追溯、可验证、可问责。

C.1.3数据共同处理协议

数据共同处理协议相关要点如下：

a)共同处理方共同决定数据处理目的、处理方式；

b)共同处理方对个人信息主体依法承担连带责任。任何一方收到个人关于其个人信息权利的请求（如查询、复制、更正、删除、撤回同意等），均作为责任主体先行响应，不以内部分工为由拒绝或推诿；完成响应后，可依据内部约定向其他方追偿；

c)建议共同处理方通过书面协议或其他具有法律约束力的形式，明确约定以下事项：

1）共同决策的事项范围与议事机制；

2）各自的数据使用权限与处理边界；

3）安全事件的监测、通报与应急处置分工；

4）个人权利请求的接收、处理、反馈流程及协同机制；

5）对外履行告知义务的责任主体及方式；

6）数据安全保护职责划分与审计配合义务。

C.2 数据提供协议模板

数据提供协议宜包含以下内容：

一、基本信息

1.1协议双方

本项可包括甲方及乙方名称、地区、单位名称、地址等。

1.2生效日期及终止

本项可包括生效日期、终止时间等。

二、本协议的适用范围

本项可包含以下内容：

协议编号、协议名称。

明确甲方提供数据/个人信息给乙方，乙方独立决定数据/个人信息的处理方式和处理目的。

三、相关定义

本项可包含以下内容：

涉及的术语定义，如数据、个人信息、敏感个人信息、个人信息主体、个人信息保护影响评估等。

四、提供数据/个人信息的范围、目的及方式

本项可包含以下内容：

4.1数据/个人信息主体的类别

4.2涉及个人信息的类别

4.3涉及敏感个人信息的类别

4.4乙方处理数据/个人信息的目的及方式

4.5保留期限

4.6处理地点

4.7提供方式、时间、频率

明确以下内容：

（1）乙方作为独立的个人信息处理者，必须遵守乙方根据本协议处理相关个人信息的所有适用法律，就其相关个人信息处理活动独立承担责任。

（2）若乙方需要将相关个人信息用于约定目的之外的其他目的或处理方式发生变更，应当事先通知甲方并确保根据适用法律重新获得个人信息主体的同意或者具备其他的个人信息处理的法定条件。未经甲方书面同意，乙方不得以任何形式将甲方在本协议项下提供的相关个人信息提供、转让、共享、披露给其他方（取得个人信息主体同意或其他获得合法性基础的情形除外）。

五、双方的权利义务

本项可包含以下内容：

5.1双方应当遵守本协议、主服务合同及适用法律规定的适用于双方的各项数据安全及个人信息保护义务。

5.2双方应在法定期限内接收并响应其所收到的涉及相关个人信息的个人信息主体的权利请求或投诉。

5.3甲方独自享有本协议项下相关个人信息的一切相关权利（包括但不限于可能存在的知识产权、数据库权利、商业秘密权利、数据资产权益等），乙方仅有权为约定目的处理数据/个人信息。

5.4甲方有权针对本协议项下向乙方提供个人信息进行个人信息保护影响评估。

5.5乙方应保留有关本协议下相关个人信息处理活动的日志和记录，以便按甲方要求向甲方提供乙方以依法和遵守本协议的方式处理个人信息处理的相关证据。

5.6甲方有权就乙方依据本协议之约定目的进行的相关个人信息处理活动的合规性进行检查，定期就乙方处理个人信息遵守适用法律的情况进行合规审计。

六、安全措施

本项可包含以下内容：

6.1乙方数据安全/个人信息保护管理能力，包括数据安全管理制度、组织、人员、外包管理等。

6.2乙方数据安全/个人信息保护技术能力，包括数据全生命周期的技术保障措施等。

6.3乙方数据安全资质及能力认证。

七、跨境传输

本项可包含以下内容：

7.1乙方承诺仅在中华人民共和国境内处理本协议项下涉及的相关数据/个人信息，未经甲方事先书面同意，乙方不得向境外提供相关数据/个人信息。

7.2如经甲方同意，乙方向境外传输相关个人信息（包括境外人员远程访问存储于境内个人信息）的，乙方应确保该传输符合适用法律规定，包括但不限于告知个人、获得个人单独同意，签订个人信息出境标准合同，开展个人信息保护影响评估，通过国家网信部门组织的个人信息出境安全评估等。

八、保密条款

本项可约定双方保密条款。

九、数据安全通知

发生数据安全事件，乙方应及时向甲方发送通知，内容包括事件影响、后果、建议、联系人等。

十、赔偿及责任

本项可包含以下内容：

10.1乙方违约时甲方可采取的措施。

10.2乙方违约时应承担的责任及赔偿。

十一、协议期限与终止

本项可包含协议期限及终止条件，例如：

（1）双方以书面形式同意终止本协议；

（2）双方签订了新的相同主题的协议以取代本协议,或；（3）主服务合同（定义如下）终止。

C.3 数据委托处理协议模板

数据委托处理协议宜包含以下内容：

一、基本信息

1.1协议双方

本项可包括甲方及乙方名称、地区、单位名称、地址等。

1.2生效日期及终止

本项可包括生效日期、终止时间等。

二、本协议的适用范围

本项可包含以下内容：

协议编号、协议名称。

明确乙方接受甲方委托，向甲方提供与数据/个人信息处理相关服务。

三、相关定义

本项可包含以下内容：

涉及的术语定义，如数据、个人信息、敏感个人信息、个人信息主体、个人信息保护影响评估等。

四、委托处理数据/个人信息的范围、目的及方式

本项可包含以下内容：

4.1数据/个人信息主体的类别

4.2涉及个人信息的类别

4.3涉及敏感个人信息的类别

4.4乙方处理数据/个人信息的目的及方式

4.5保留期限

4.6处理地点

4.7处理方式、时间和频率

4.8子处理者

明确以下内容：

（1）甲方作为个人信息处理者，委托乙方处理数据/个人信息类别。乙方仅可在甲方书面指示的委托范围内处理个人信息。除非获得甲方的事先书面授权，乙方应当按照协议约定进行处理，不能超出甲方指示以及本协议约定的目的、处理方式和范围。未经甲方明确指示，乙方不得以任何形式将甲方在本协议项下提供的个人信息处理、转让、共享、披露给其他方（取得个人信息主体同意或其他获得合法性基础的情形除外）。

（2）子处理者引入，为达成主服务合同以及本协议目的，乙方确需转委托子处理者进行数据/个人信息处理工作时，应事先征得甲方的书面授权；乙方和子处理者签订书面的数据处理协议并做尽职调查；乙方应向子处理者传递甲方要求，并对子处理者的数据处理行为负责；甲方有权按照根据本协议以及适用法律的要求监督乙方委托的子处理者。

五、双方的权利义务

本项可包含以下内容：

5.1双方应当遵守本协议、主服务合同及适用法律规定的适用于双方的各项数据安全及个人信息保护义务。

5.2双方应在法定期限内接收并响应其所收到的涉及相关个人信息的个人信息主体的权利请求或投诉。

5.3甲方独自享有本协议项下相关个人信息的一切相关权利（包括但不限于可能存在的知识产权、数据库权利、商业秘密权利、数据资产权益等），乙方仅有权为约定目的处理数据/个人信息。

5.4甲方有权针对本协议项下向乙方提供个人信息进行个人信息保护影响评估。

5.5乙方应保留有关本协议下相关个人信息处理活动的日志和记录，以便按甲方要求向甲方提供乙方以依法和遵守本协议的方式处理个人信息处理的相关证据。

5.6甲方有权就乙方依据本协议之约定目的进行的相关个人信息处理活动的合规性进行检查，定期就乙方处理个人信息遵守适用法律的情况进行合规审计。

5.7 向另一方在委托处理活动中履行适用法律中关于个人信息保护的义务（包括但不限于告知义务、响应个人信息主体权利请求、个人信息安全事件应急响应、应对监管机构的调查或询问、开展个人信息保护影响评估）提供必要协助。

六、安全措施

本项可包含以下内容：

6.1乙方数据安全管理能力，包括数据安全管理制度、组织、人员、外包管理等。

6.2乙方数据安全技术能力，包括数据全生命周期的技术保障措施等。

6.3乙方数据安全资质及能力认证。

七、跨境传输

本项可包含以下内容：

7.1乙方承诺仅在中华人民共和国境内处理本协议项下涉及的相关个人信息，未经甲方事先书面同意，乙方不得向境外提供相关个人信息。

7.2如经甲方同意，乙方向境外传输相关个人信息（包括境外人员远程访问存储于境内个人信息）的，乙方应确保该传输符合适用法律规定，包括但不限于告知个人、获得个人单独同意，签订个人信息出境标准合同，开展个人信息保护影响评估，通过国家网信部门组织的个人信息出境安全评估等。

八、保密条款

本项可约定双方保密条款。

九、数据安全通知

发生数据安全事件，乙方应及时向甲方发送通知，内容包括事件影响、后果、建议、联系人等。

十、赔偿及责任

本项可包含以下内容：

10.1乙方违约时甲方可采取的措施。

10.2乙方违约时应承担的责任及赔偿。

十一、协议期限与终止

本项可包含协议期限及终止条件，例如：

（1）双方以书面形式同意终止本协议；

（2）双方签订了新的相同主题的协议以取代本协议,或；（3）主服务合同（定义如下）终止。

C.4 数据共同处理协议模板

数据共同处理协议宜包含以下内容：

一、基本信息

1.1协议各方

本项可包括甲方及其他各方名称、地区、单位名称、地址等。

1.2生效日期及终止

本项可包括生效日期、终止时间等。

二、本协议的适用范围

本项可包含以下内容：

协议编号、协议名称。

明确甲方和乙方共同决定数据/个人信息的处理方式和处理目的，包括甲方基于共同处理目的自乙方获取相关数据/个人信息，也包括甲方向乙方提供相关数据/个人信息用于共同处理。

三、相关定义

本项可包含以下内容：

涉及的术语定义，如数据、个人信息、敏感个人信息、个人信息主体、个人信息保护影响评估等。

四、共同处理数据/个人信息的范围、目的及方式

本项可包含以下内容：

4.1数据/个人信息主体的类别

4.2涉及个人信息的类别

4.3涉及敏感个人信息的类别

4.4甲方、乙方处理数据/个人信息的目的及方式

4.5保留期限

4.6处理地点

4.7处理方式、时间和频率

4.8受托方引入

明确以下内容：

（1）如果任意一方（以下简称“委托方”）将相关个人信息的部分或全部委托第三方处理，则委托方应当与受托第三方单独签署委托处理协议，确保第三方的数据处理活动符合本协议的约定及适用法律的要求。其中，另一方并非委托处理协议的主体，与第三方受托方无关。

（2）若委托方将相关个人信息的部分或全部委托第三方处理，不影响该委托方在本协议项下的义务。对于任何因第三方处理导致的违约或对另一方造成的任何损失，委托方应当承担全部责任，并视为对本协议的违反。

（3）若存在委托处理的情况，任意方应当在签订本协议时告知对方，并提供第三方信息。如在本协议生效后，任意方委托处理情况有任何变化，包括但不限于新增第三方受托方、变更委托处理个人信息的范围，任意方应当及时告知对方。

五、双方的权利义务

本项可包含以下内容：

5.1仅处理实现约定目的所需的最小类型和数量的个人信息。

5.2未经另一方事先书面同意，任何一方不得向任何第三方提供、转让、共享、披露相关个人信息，或以任何形式向特定或不特定的第三方公开相关个人信息。

5.3向另一方在共同处理活动中履行适用法律中关于个人信息保护的义务（包括但不限于告知义务、响应个人信息主体权利请求、个人信息安全事件应急响应、应对监管机构的调查或询问、开展个人信息保护影响评估）提供必要协助。

5.4在收集相关个人信息之前向个人信息主体告知同意。

5.5对个人信息主体提出的权利请求进行响应。

5.6双方不得在可以事先咨询而未咨询另一方的情况下，即根据个人信息主体的访问请求向其披露或公开任何双方共同处理的个人信息。

5.7双方保留有关相关个人信息处理活动的日志和记录。

5.8 责任分担条款。

六、安全措施

本项可包含以下内容：

6.1乙方数据安全管理能力，包括数据安全管理制度、组织、人员、外包管理等。

6.2乙方数据安全技术能力，包括数据全生命周期的技术保障措施等。

6.3乙方数据安全资质及能力认证。

七、跨境传输

本项可包含以下内容：

（1）任意方承诺仅在中华人民共和国境内处理本协议项下涉及的相关个人信息，未经对方事先书面同意，任意方不得向境外提供相关个人信息。

（2）如经对方同意，另一方方向境外传输相关个人信息（包括境外人员远程访问存储于境内个人信息）的，另一方应确保该传输符合适用法律规定，包括但不限于告知个人、获得个人单独同意，签订个人信息出境标准合同，开展个人信息保护影响评估，通过国家网信部门组织的个人信息出境安全评估等。

八、保密条款

本项可约定双方保密条款。

九、数据安全通知

发生数据安全事件，任意方应及时向对方发送通知，内容包括事件影响、后果、建议、联系人等。

十、赔偿及责任

本项可包含以下内容：

10.1乙方违约时甲方可采取的措施。

10.2乙方违约时应承担的责任及赔偿。

十一、协议期限与终止

本项可包含协议期限及终止条件，例如：

（1）双方以书面形式同意终止本协议；

（2）双方签订了新的相同主题的协议以取代本协议,或；（3）主服务合同（定义如下）终止。

附录  D

（资料性）

通用安全技术

D.1数据脱敏

数据提供、委托处理、共同处理相关方宜采取以下安全措施：

a)建立数据脱敏机制，支持针对场景配置脱敏规则、策略、算法等，针对操作人员的访问权限的数据动态脱敏；

b)提供屏蔽、泛化、抑制等不同数据脱敏方式；

c)对于个人信息，遵循GB/T 37964—2019进行去标识化处理；

d)对于重要数据，在开展数据提供、委托处理、共同处理前，按照约定脱敏策略、算法处理敏感信息。

D.2接口防护

数据提供、委托处理、共同处理相关方宜采取以下安全措施：

a)建立数据接口清单，定期核对实际开放接口与清单一致性，受托方在数据处理过程中形成的数据接口需完整、及时告知委托方；

b)实施基于角色、属性的接口访问控制，支持身份鉴别（如口令、生物特征、短信验证码等），并启用访问频率限制、来源限制、源IP白名单等安全措施；

c)对接口输入输出参数执行校验与过滤，对重要数据传输，采用加密、安全通道、时间戳与接口签名等措施，并明确传输接口的审批机制（关注使用方式、内容、频率、技术措施等）；

d)利用安全通道、时间戳与接口签名等安全措施的结合使用，并对时间有效性进行验证，防止数据包被截获后重复提交；

e)采用GB/T 46796-2025标准进行接口安全监测，制定分类分级的风险识别与处置策略，实现高风险预警人工二次确认闭环管理，记录运行日志（含调用者身份、IP地址、调用频率、数据量、数据类型等），基于统计形成异常事件判定规则，开展实时监测与定期审计；

f)针对重要数据传输接口，明确信息采集方式（如镜像流量、日志）、接口信息（协议类型、标识符、请求/响应参数等）、安全监测内容，形成实施方案，包括信息采集、接口识别、监测范围、目标、内容及质量管理。

D.3日志管理

数据提供、委托处理、共同处理相关方宜采取以下安全措施：

a)对操作类型、时间、操作人员和操作方法等相关日志进行记录；

b)对数据传输、存储、加工、删除、事后审计等全生命周期进行存证；

c)日志记录至少保存6个月，向其他网络数据处理者提供、委托处理个人信息和重要数据的处理情况记录，至少保存3年；

d)使用数据接口的，可完整记录包括请求/响应内容、调用方身份、时间戳等审计日志。

D.4数据溯源

数据提供、委托处理、共同处理相关方宜采取以下安全措施：

a)遵循GB/T 45909—2025要求，根据数据分类分级结果采用数字水印保障数据可溯源，通过水印提取快速定位数据来源；

b)记录水印生成、嵌入及数据传输等全流程信息，一旦发生数据泄露，通过水印提取快速定位数据泄露源头；

c)采用区块链等技术保障记录日志完整、数据安全事件可溯源。

D.5环境安全

D.5.1可信数据空间

数据提供、委托处理、共同处理相关方宜采取以下安全措施：

a)明确可信数据空间中各参与方的边界与责任；

b)对数据提供、委托处理、共同处理的环境进行安全性验证，保障环境内涉及的模型、应用、插件等进行校验和验证，保障其来源可信、内容未篡改；

c)采用多因素认证、数字证书、生物识别等多种身份认证技术和机制相结合，对参与主体进行严格的身份验证；

d)在数据提供、委托处理、共同处理过程中严格管控数据处理活动，采用哈希算法等技术保障数据的完整性和未被篡改；

e)数据处理过程中，运用完整性校验机制，保障数据的一致性与可靠性；

f)不同主体的数据操作权限进行精细化的分配和管理，对数据处理活动进行全程记录与监控，留存相关日志，并保证日志的完整性、保密性与可用性；

g)采用数字合约，约定数据使用控制策略和算法，保障数据合同协议中数据使用目的、方式、时限等条款正确履行；

h)结合区块链、隐私保护计算、数据脱敏、数据沙箱等技术，确保空间内数据交付的安全可靠；

i)对数字合约管理和履行、数据处理生命周期、接入连接器交付等过程进行记录，并根据记录信息进行审计清算。

D.5.2数据沙箱

数据提供、委托处理、共同处理相关方宜采取以下安全措施：

a)采用可信执行环境等技术，建立安全环境，确保调试环境与运行环境以及不同用户空间之间等相互隔离；

b)不同用户间相互隔离，不可相互窥探计算代码、结果等用户数据；

c)在建模任务执行过程中参与数据流通的原始数据不以非授权的明文形式被带出数据沙箱平台；

d)仅支持授权方访问模型训练或计算分析产生的中间结果、日志文件、计算结果文件、模型评估数据等；

e)授权方可对模型训练或计算分析产生的中间结果、日志文件、计算结果文件进行审计；

f)采用访问控制、加密、脱敏等方式，保护沙箱内落盘敏感数据安全；

g)采用代码审计、任务监控等方式，保障计算任务的正确执行。

D.5.3隐私保护计算

数据提供、委托处理、共同处理相关方宜采取以下安全措施：

a)计算中的参与方、原始数据、数据源信息等在不同计算环境间隔离，防止跨环境访问；

b)验证计算过程中参与方数据请求访问的合法性，对申请方、访问范围进行细粒度权限控制；

c)建立安全和透明的密钥保护机制和信任体系流程；

d)支持参与方的数据输入过程、结果输出过程等关键环节进行存证，存证中包含计算过程产生的相关结果和信息；

e)存证采用密码技术保证其防篡改要求，且支持根据预设的最少保留时间进行存储；

f)采用联邦学习技术进行联合模型训练、推理时，确保原始数据不共享，中间数据采用加密、差分隐私等技术保护；

g)采用可信执行环境技术进行数据融合时，遵循GB/T 41388—2022中安全要求。

D.6其他措施

D.6.1数据加密

数据提供、委托处理、共同处理相关方宜采取以下安全措施：

a)提供数据在存储、传输等环节中的加密能力，保证敏感个人信息、重要数据安全；

b)支持统一密钥管理，可包括密钥创建、查询、启用和禁用等；

c)所使用密码算法、技术产品符合国家标准和行业标准要求。

D.6.2身份鉴别与访问控制

数据提供、委托处理、共同处理相关方宜采取以下安全措施：

a)支持对用户访问数据权限进行统一验证，可实现人员身份与数据访问权限的关联管控；

b)支持数据资源访问权限的集中分配、动态调整及权限使用行为的全程追溯；

c)支持对敏感数据的最小权限配置，访问控制精度可达到文件、数据库表、字段层级。

D.6.3安全传输

数据提供、委托处理、共同处理相关方宜采取以下安全措施：

a)采用关键字、正则表达式、机器学习、语义分析等敏感数据识别技术，防止对外传输环节敏感数据未授权外发；

b)通过网络监控、泄露阻断等技术措施，在网络边界处识别并阻断流出流量中的敏感数据；

c)采用安全通道传输个人信息、重要数据，可支持SSL/TLS、IPsec等技术；

d)对外接口具备对安全输入参数的限制或过滤，可采用加密、时间戳、访问控制等安全措施。

参　考　文　献

[1]GB/T 35273—2020　信息安全技术　个人信息安全规范

[2]GB/T 43697—2024数据安全技术　数据分类分级规则

[3]GB/T 45577—2025数据安全技术　数据安全风险评估方法

[4]GB/T 39335—2020信息安全技术个人信息安全影响评估指南

[5]GB/T 37988—2019信息安全技术数据安全能力成熟度模型