情景背景

某云服务企业与客户签订的合同中写有一条：客户对存放在云平台上的数据安全自行负责，服务方不承担任何责任。服务实际上由服务方统一运维，客户无法自行配置权限与加密。发生数据泄露后，客户主张服务方未履行安全保护义务，服务方援引该条款抗辩。

争议与处理思路

《中华人民共和国数据安全法》第二十七条设定的安全保护义务属于处理者自身应当履行的法定要求。实务中通常认为，双方之间的责任划分约定一般难以免除服务方自身的法定义务；若实际运维由服务方掌控、客户无从自行保障，条款与实际安排之间的错位会让这一抗辩更难成立。合同的效力判断还可能涉及格式条款规则条款与实际安排保持一致，是减少此类事后争议的常见做法。

平台提示

合同中如实反映各方的实际角色与可控范围，把安全措施逐项写明由谁落实，而不是用一句笼统的免责表述带过。服务方统一运维的，明确其安全义务内容与告知机制；客户有自管需求的，提供可配置的权限与加密选项。条款与实际安排保持一致，才能减少事后争议。

相关阅读：案例情景库 ｜ 实务文章 ｜ 常见问答 ｜ 法条要旨速查