情景背景

某在线教育平台把客服与工单系统外包给一家服务商，由外包人员直接接触学员的姓名、手机号与学习记录。双方只签了一份简单的技术服务合同，没有约定信息处理的目的与范围，也未约定数据销毁与安全事件通知义务。外包商为完成自身的营销指标，把其中部分用户手机号导入自己的推广名单，向学员发送了课程推销短信。

争议与处理思路

处理思路分三层。第一层，法律关系定性：依《个人信息保护法》第 21 条，委托处理应当约定处理的目的、期限、方式、信息种类、保护措施及双方权利义务，并对受托人的处理活动进行监督（要旨，以官方文本为准）；委托处理与对外提供、共同处理是三种不同关系，责任分配也不同。第二层，责任归属：对外的责任主体通常是委托方，受托人则依约定与法律承担相应义务；受托方超出约定目的使用信息，可能同时构成违约与个人信息侵权。第三层，处置与举证：应立即要求停止使用、删除并出具书面说明，核查数据处理协议、访问日志与导出台账，评估是否需要向监管部门报告并通知个人；最终责任范围取决于协议约定与在案证据。本情景为脱敏改编，不指向任何真实案件与真实主体，不构成对结果的预测或承诺。

平台提示

对委托方：外包不等于甩责，先签数据处理协议，写明处理目的、范围、期限、安全措施、事件通知与数据销毁义务，并定期核查权限与日志。对受托方：只能按委托目的处理，不得自用、转委托或超范围使用；建立最小必要权限与操作留痕。对双方：把「谁在用、用到哪、用完怎么处理」写进合同，是把合规风险前移的最有效方式。此外，把委托方与受托方的角色在权限与流程中标注清楚，也能减少一线人员越权操作的空间。

相关阅读：案例情景库 ｜ 实务文章 ｜ 常见问答 ｜ 法条要旨速查