数据处理协议决定由谁站上被告席

索赔到来时，第一个问题不是当时有哪些安全措施，而是谁负有采取这些措施的义务。回答这个问题的，不是您系统的实际状况，而是一份合同。

安全义务并非人人有份

《通用数据保护条例》（GDPR）第32条将安全措施义务施加于数据控制者与数据处理者，此外别无他人。不具备上述两种身份之一的主体，无论其手中曾经握有多少数据，都不可能违反第32条，因为这些义务本就不能归属于它。

这不是学理上的细枝末节。西班牙马德里省级法院正是依据这一理由判决一名被告免责，因为无法认定该被告系数据控制者或数据处理者。

请注意这段话的结尾。即便存储介质未加密是客观事实，也未能归责于被告。原因不在于做得对，而在于该义务本就不属于它。这正是角色划分的力量，而且它在两个方向上都起作用。

另一个方向：当义务确实属于您

如果您是数据控制者，那么发生在供应商系统中的泄露仍然是您的问题。数据主体会向您索赔，因为他认识的是您，签约的对象也是您。至于事后能否向供应商追偿您已经承担的部分，仍然取决于合同怎么写。

因此，数据处理协议（第28条）不是应付合规的文书工作。它是决定谁站上被告席、谁只是出庭作证的那份文件。签署只需一次，而其后发生的一切都由它来安排。

必须书面确定的内容

• 在每一项处理活动中，谁是数据控制者、谁是数据处理者，并使用这两个准确的表述。
• 委托处理的标的、期限与目的，以及所涉及的数据类别。
• 数据处理者承担哪些安全措施，以及应当如何向您举证证明这些措施。
• 发生任何泄露时的通知义务，以小时计的时限，以及具名的接收人。
• 向监管机构的通报与向受影响个人的告知，分别由谁决定、由谁执行。
• 是否允许次级数据处理者，需经何种事先授权，以及应承担哪些同等义务。
• 合作终止时如何处理：返还或删除数据，并留存书面记录。
• 您有权审计的范围、需要多久的事先通知，以及资料应在多长时间内交付。
• 对外责任的分担，以及双方之间的追偿机制。

这九点没有一点是技术问题。它们是九项经营决定，由签字的人来作。

不作书面约定会怎样

会有三件事，三件都不好。第一，您要为全部后果负责，因为在案卷中唯一得到证明的身份就是您的身份。第二，您无法要求供应商提供其安全措施的证据，而缺了这份证据，您自己的抗辩就站不稳。第三，当您终于向它追偿时，双方将围绕当初「各自的理解」争论，而这是可以想见的最糟糕的合同处境。

还有第四个后果，不那么显眼，却在关键时刻代价最高：没有书面的责任分担，您在第一个小时里不知道该给谁打电话。而通报期限自您知悉该事件之时起算，并非自您终于找到合适的对接人时起算。

先于合同的那张清单

如果您不知道自己需要多少份合同，任何一份合同都帮不了您。在逐条审阅条款之前，先列出清单：哪些供应商可以接触客户数据、接触到哪些数据、从何时开始、依据哪份已签署的文件。在多数中型企业中，这份清单并不存在；一旦真正列出来，就会冒出一些谁也记不起曾经授予过的访问权限。

这张清单同时发挥两项作用。它告诉您哪里缺合同，也让您在索赔到来的那一天，能够准确指出谁接触了什么。没有它，您唯一能给出的回答就是「我不知道」，而这在法院看来就是失控。其他因这种失控而付出代价的环节，见索赔到来时法院究竟看什么。

三处常见的需要修正之处

1. 合同确实存在，但用的是供应商的范本，把供应商不愿承担的一切都划给了您。
2. 合同划分了责任，却没有要求供应商向您交付证据；诉讼当天，您手中没有任何材料可以证明对方的勤勉。
3. 合同本身没有问题，却未经签署，或者由权限不足的人签署。就举证而言，等同于不存在。

如果您说不清自己的数据处理协议中有多少份经得起一次调取要求，泄露管理测评几分钟内就能给出答案。