文丨天元律师事务所 刘瑛 李晓华（郭云鹤律师对本文亦有贡献）
摘
要
作为新的生产要素，数据，在商业交易中不可或缺。体现在合同等交易文件中，交易各方通过合同对交易涉及的数据的处理作出安排，明确各自在数据处理中的权利义务。尽管法律法规、技术标准等规范对数据处理的规则有相应的要求或指引，但是，如同商业交易中的合同/条款不能照搬法律条文、硬套合同模板一样，作为较新的领域，数据处理合同/条款更是需要法律人员在正确理解交易意图和安排的基础上，找到数据流、业务流与法律规则之间的对应关系，确保相应的合同/条款既能够作为法律文件明确各方权利义务，也能够作为商业文件为业务的落地和后续执行提供清晰的“说明”。本文分享法律人员在起草和审查商业交易中数据处理合同/条款的工作要点。
本文内容要点
一、 甄别交易主体及其角色
二、识别数据处理情形、甄别企业在数据处理活动中的权责
三、梳理各交易文件的关系
四、 总结
一、甄别交易主体及其角色
合同是法律文件，也是商业文件。法律人员在起草和审查交易合同/条款时，首先需要搞清楚合同对应的商业交易。其中，重要、也是基础性的一个事项是，甄别该交易中的当事人，识别交易当事人在交易中角色。
交易方或者合同当事人是谁，看似不是问题，但在实践中，特别是在涉及多方主体、商业关系相互交织的交易中，这个问题可能未必那么一目了然。
法律人员需要理解交易关系，确定交易各方在合同中的角色，进而结合对应的法律规则，考虑通过哪些合同对各交易方之间的权利义务作出约定，以落实商业安排并满足法律监管要求。
当一项交易由同一企业集团下的多个（法人）主体参与时，需要特别关注各主体的交易角色。如下示例展示：
实务中，某项交易由集团内的若干（法人）主体参与，各主体按照集团总体部署在集团内部各司其职。商务（业务）人员在考虑业务安排、进行商业谈判或准备商业文件时，以集团的商号代表参与交易的本方当事人，对于各（法人）主体在交易中的角色不加区分，当需要合同等交易文件中落实合同当事人时，可能会出现合同载明的当事人不是有权进行数据交易的数据处理者。例如，某《精准营销大数据服务销售合同》载明的服务提供方是C集团中的B公司，但提供数据服务所使用的数据为C集团中A公司运营中获取的数据。因此，法律人员需要协助商务（业务）人员区分和厘清集团内部的业务管理关系与企业的外部法律关系，结合不同法律主体的角色、对应的法律责任，在合同文件加以落实。
二、甄别数据处理情形、识别企业在数据处理活动中的权责
在甄别交易涉及的主体及其角色后，还需要识别交易中涉及的数据处理情形，甄别交易主体在数据处理活动中角色及相应的权利和责任。
下面列举商业交易中几个常见的数据处理场景，说明在合同中如何确定交易方的权责：
“
（一）委托处理数据
企业可能出于各种原因或考量将个人信息等数据委托其他方处理。例如金融机构将客户服务热线交由外包方提供，相应地，金融机构将客户相关个人信息处理委托提供电话支持服务的外包方。
委托处理数据场景下，法律对委托方、受托方的数据合规义务有明确规定。其中，委托方是决定个人信息和数据的处理目的、处理方式的主体，应当依法作为承担数据处理者的责任。受托方按照委托方的指示处理数据，应当按照法律要求和合同约定，承担作为受托方的合规义务。
基于不同的角色立场，法律人员起草/审查委托合同中的数据处理条款有所不同。例如：
“
（二）共同处理数据
共同处理，是指两个以上数据处理者决定数据处理的目的和处理方式，但是，不必是该等数据处理者全程参与数据处理的各个环节、实施所有处理行为。
数据共同处理者之间需要通过合同约定数据处理活动中各自的权利和义务并予以遵守。当共同处理的数据为个人信息的，无论数据共同处理者之间如何约定，均不影响个人向其中任一个人信息处理者主张其个人信息的权利。共同处理个人信息侵害个人信息权益造成损害的，共同处理者应当依法承担连带责任。因此，法律人员在审查、起草相关交易合同时，需要关注合同中有关共同处理者之间的权利和义务和责任界限的约定。
“
（三）特殊情形下的数据转移
企业发生合并、分立、解散、被宣告破产时，可能涉及数据处理者的变化。例如，数据处理者发生吸收合并时，合并后存续的主体将承接被吸收的主体的数据的处理活动。在企业解散时，解散前企业所掌握的数据，可能作为剩余资产分配给其股东，由其股东处理。
因合并、分立、解散、被宣告破产等原因需要转移个人信息等数据的，虽然数据处理主体发生变更，但是存在数据处理行为的承继关系，可能不会发生个人信息等数据处理目的、方式的实质性改变[1]。对该等原因导致个人信息等从一个主体转移至另一主体的，《个人信息保护法》对提供方、接收方分别提出了明确的要求，法律人员在起草/审查合同时需要对照考虑。
“
（四）向其他数据处理者提供数据
在一个数据处理者向其他数据处理者提供数据的场景下，提供方和接收方分别作为自主决定数据处理目的、处理方式的数据处理者，应当分别遵守法律相应的合规义务。法律人员在起草/审查相应的合同或条款时，需要关注并回应法律的要求。下面以某数据提供方向其他数据处理者提供个人信息的场景为例说明。
三、梳理各交易文件的关系
一项商业交易可能需要通过若干交易文件来明确交易安排、约定交易各方的权利和义务。这些交易文件有的侧重于交易安排，例如产品销售/许可合同、订单，约定交易标的、交易价格、产品服务内容及标准、各方的权利义务等；有的则侧重于产品交付/运营中的业务规范和服务流程，例如工作说明书等；有的通过线下签字盖章方式签订；有的通过互联网线上方式签署。
对同一交易（项目）下的不同交易文件，法律人员需要关注其间的匹配性、关联性，特别是关注不同文本中对同一事项的约定是否有冲突。
下面以某云计算服务平台起草的用户协议和产品协议为例，说明法律人员协助平台拟定专门的适用条款，明确约定平台内各合同、文本、规则等的关系。
实践中，有的企业与机构客户（即非个人客户）线下签订销售合同，通过互联网平台线上交付产品，客户通过经办人（用户）登录使用互联网平台，登录时用户线上签订用户协议、隐私政策等平台文件。这些线下合同、平台文件共同组成完整的交易规则，但适用场景不同、签约方不同，法律人员起草审查该等文件时需要关注其间的匹配性和关联性。
四、总结
对于法律人员来说，起草审查和修改合同，是再常见不过的一项工作。数字经济时代，起草和审查涉及数据处理的交易合同，是一项全方位考验法律人员专业水平的工作，在聚焦数据合规相关法律和监管要求的同时，还需要扎实的民商事法律基本功；不仅需要谙熟法律规则，更要了解业务，读懂“法律壳”下包含的“商业芯”，进而发挥专业价值，为企业业务赋能。更多有关法律人员如何起草审查商业交易中的数据处理合同条款的心得分享，可以参阅法律出版社出版的《数据合规实务：尽职调查及解决方案》；《重新定义合同：从商业意图到法律文件》。
