条款库

数据保护条款详解

数据保护条款记录个人数据如何处理；如果一方是 UK GDPR 下的处理者，Article 28(3) 要求写明处理者条款。

最后更新于 2026年10月28日

数据保护条款有什么作用？

当服务方为作为控制者的客户处理个人数据时，UK GDPR Article 28 规定，这种处理必须受合同约束。Article 28(3) 列出了该合同必须包含的处理者条款。同样的 UK GDPR 适用于苏格兰。美国各州的隐私法则是另一套制度。我们把这些条款放在同一个共享页面上。

Article 28 处理者合同必须包含什么？

合同必须具有约束力，并写明处理的标的、期限、性质和目的，个人数据和数据主体的类型，以及控制者的权利。然后，Article 28(3) 要求包含 (a) 至 (h) 中的处理者条款：书面指示、保密、安全、子处理者、协助、删除或归还，以及审计。

什么时候一方是处理者而不是控制者？

控制者决定处理的目的和方式。处理者代表控制者进行处理。一家工作室为了发送客户的电子邮件而存储客户的顾客名单，通常是处理者。一家工作室建立自己的营销名单，则是该名单的控制者。请为每个数据集写明角色，让 Article 28 只在应该适用的地方适用。

处理者可以指定子处理者吗？

只有取得控制者事先的特定或一般书面授权才行。在一般授权的情况下，处理者必须告知控制者拟增加或更换的子处理者，以便控制者提出异议。同样的数据保护义务必须向下传递。最初的处理者仍须就子处理者向控制者承担全部责任。请在条款中写明授权方式。

工作结束后，数据会怎样？

Article 28(3)(g) 规定，在服务结束后，按控制者的选择，处理者删除或归还个人数据，并删除副本，除非国内法要求存储。请将其与保密搭配，并为非个人的保密文件写上归还或销毁一句。如果法律要求保留日志，请写明可保留多长时间。

示例措辞

示例 · 我们自己的起草

如果服务方作为处理者为客户处理个人数据，服务方将：仅按客户的书面指示处理该数据；确保获授权处理该数据的人员受保密义务约束；采取 UK GDPR Article 32 要求的安全措施；未经客户事先书面授权不指定子处理者；协助客户处理数据主体请求以及 Articles 32 至 36 项下的事项；按客户的选择，在服务结束时删除或归还数据，除非国内法要求存储；并提供证明合规所需的信息，允许进行审计。

通俗易懂的语言

如果服务方为客户处理个人数据，它只做客户已书面记录的事，对数据保密，负责安全，并且未经书面许可不引入另一个处理者。它协助处理个人权利和安全方面的义务，在工作结束时删除或归还数据，除非法律规定必须保留副本，并允许客户检查。

需要注意什么？

要点留意争取
角色在双方都是控制者的交易上硬加一份处理者附表。一句话，为每个数据集写明角色。
指示“为服务所需而处理”，却没有书面指示。一份写明标的、期限、数据类型和数据主体的附表。
子处理者可以随意指定任何人，或者只字不提。事先书面授权、义务向下传递，以及持续承担责任。
工作结束没有删除或归还这一句。由控制者选择，并对合法保留设置例外。
上限在一笔小额费用上设置不设上限的数据赔偿，或者上限把数据泄露吞掉。对照责任上限和赔偿条款，写明一个明确的位置。

哪些合同包含它？

Lex 会在以下合同等中包含这一条款：

  • 服务协议（）
  • 网站建设协议
  • 咨询协议

法律是怎么规定的？

  • 处理者的处理活动必须受对处理者有约束力的合同规范，该合同须规定处理的标的和期限、处理的性质和目的、个人数据的类型和数据主体的类别，以及控制者的义务和权利，包括第 28(3)(a)–(h) 条所列的处理者条款。

    来源： UK GDPR, Article 28(3)核查于 2026年10月28日待律师审阅

用这一条款起草主服务协议

对方免费

Lex 用通俗易懂的语言起草，并与法律措辞并排呈现。分享一个链接，双方同意并签署。

常见问题

数据保护条款是什么意思？

它记录合同项下个人数据如何处理。如果一方作为 UK GDPR 下的处理者为另一方处理个人数据，Article 28 要求这种处理受包含明确处理者条款的合同约束。

UK GDPR Article 28 处理者合同必须包含什么？

处理的标的、期限、性质和目的，数据和数据主体的类型，以及 Article 28(3)(a)–(h) 中的处理者条款，包括书面指示、保密、安全、子处理者、协助、删除或归还，以及审计。

服务方什么时候是处理者？

当它代表客户处理个人数据，而不是自己决定目的和方式时。条款应当为每个数据集写明角色。Article 28 适用于处理者关系。

处理者可以使用子处理者吗？

只有取得控制者事先的特定或一般书面授权才行。同样的义务必须向下传递，最初的处理者仍须就子处理者向控制者承担全部责任。

合同结束时，个人数据会怎样？

由控制者选择，处理者删除或返还数据，并删除副本，除非国内法要求保存。请把这一选择写进条款。

来源

相关内容

以法律措辞为准最后审阅于 2026年10月28日待律师审阅