International Open Access Journal Platform

1 引言

《个人信息保护法》（以下简称“个保法”）第三十八条第一款第三项中规定了标准合同规则，其后网信办依据授权制定颁布《个人信息出境标准合同办法》（以下简称“合同办法”）及附件《个人信息出境标准合同》（以下简称“合同条款”）实现对标准合同的具体落实。“合同办法”明确了标准合同的适用条件，“合同条款”对有关主体定义和权利义务进行了明晰，由此我国标准合同制度的具体落实。标准合同、安全评估、保护认证三种具体机制形成了我国层级分明制度完善的个人信息出境监管体系，形成了极具中国特色个人信息出境监管制度体系。[1]

标准合同制度作为全球商事实践的产物，在各国纳入法律体系之前，已经因其便捷的特点，在各种商事实践中实现大规模适用。在数据出境传输领域，合同机制更是主要手段之一。自20世纪80年代起，法国数据传输领域便开始广泛运用合同作为传输重要方式。到了20世纪90年代初，使用合同进行数据传输已经逐渐演变为全欧洲范围内的主要形式。特别是1998年德国铁路公司和花旗银行的“铁路卡（Bahn Card）案”，进一步提升合同作为数据传输形式的影响力。同多年商事实践，合同制度逐渐从国际组织规定的不具有法律效力的惯例软法，转变为法定形式。[2]1992年颁布的《欧洲理事会示范合同》（Council of Europe Model Contrac）影响极为深远，甚至使得其他国家或地区开始选择标准合同作为法定个人信息传输形式。

[1]1995年，欧盟颁布的《数据保护指令》第二十六条，首次把标准合同纳入法律规定，成为欧盟认可的法定数据传输形式。随着实践的增加，到了2018年的《通用数据保护条例》（即GDPR）时代，标准合同制度逐渐被绝大多数国家接受。[2]全球范围内有三大典型标准合同条款，《欧盟向第三国传输个人数据的标准合同条款》（SCCs）、《东盟跨境数据流动示范合同条款》(MCCs）和《英国国际数据跨境传输协议》（IDTA），[3]其他国家的标准合同条款都或多或少的受到这些典型范本的影响。[4]

我国虽然在2021年的“个保法”中最终确立了个人信息出境标准合同制度，但不论是立法模式还相关条文用语，都存在亟需解释的内容。首先，从立法模式上来看，“个保法”一开始编撰时规定的是“合同模式”，二审稿才改为“标准合同模式”并最终落实为法律规定。标准合同条款第二条、第三条对个人信息处理者（以下简称：出口方）、境外接收方（以下简称：进口方）的义务作出了细致规定，使得“个保法”等其他规范型文件中的有关责任义务在标准合同中实现了具体落实。[5]通过梳理作为我国个人信息出境监管工具的标准合同有利于理解“合同条款”中义务的来源和依据，并明晰对法定义务转化合同义务的立法逻辑，促进标准合同制度的实施，兼顾传输效率和监管效果。

2 标准合同的监管功能

标准合同与一般合同存在不同之处，首先在形式上标准合同中的义务虽表现为合同条款，但事实上义务内容先由国家预先决定并强制适用，双方主体只可在现有义务条款基础上协议增加但却不得约定排除，同时体现双重属性即个别规范和国家法规范。“个保法”规定了我国个人信息出境监管手段，[6]其中法律明确的具体措施中，只有标准合同无需国家相关机关进行事前审批，仅需进行备案审查。[7]可见，在适用标准合同制度进行个人信息出境时，国家希望通过标准合同中的义务条款来约束合同双方，发挥并实现类似审批的监管功能。

2.1 立法目的

根据“合同办法”和“标准合同条款”中的相关规定，不难看出我国标准合同制度期待实现的规范目的，“合同办法”第一条明晰了标准合同制度的立法目的。[8][3]而附件中的标准合同条款直接规制签订合同的双方主体，规制的行为涵盖个人信息出境传输的各方面和全过程。由此不难分析出我国标准合同制度的立法目的，一方面在于减少合同双方利用合同规避、减损个人信息出境的法定标准和要求的可能性，[4]是而事先对合同双方之间的义务进行了强制性规定，合同双方只可增加细化不可约定排除；另一方面在于防止进口方取得数据后滥用个人信息，避免监管机构难以对境外主体进行监管的尴尬情形。这样规定的原因归根结底在于个人信息出境传输的过程中存在着的特殊风险和特别法益，这同时也是我国最终选择将标准合同制度而不是合同制度的主要远影。

其中，特殊风险是指：一旦个人信息安全事件发生，无论有关主体是否及时采取有效措施，其产生的损害后果都不可逆转，必将对国家安全、公共利益、个人信息权益等产生严重危害。事实上，即使的单纯在境内进行个人信息传输也不可能规避此风险，但在主权范围内监管机构相对容易进行控制。而出境后，其风险将变得难以控制。我国“个保法”中虽授权网信办通过制定“黑名单”来限制和禁止对境外违法主体再次传输个人信息，[9]但此种手段属于事后限制，对已经产生的损害无法进行救济，同时事实上也难以实现对“下一次”损害的预防。[10]

其中，特别法益是指：个人信息出境传输过程中同时涉及个人信息处理者、境外接收方以及个人信息主体的权益。三方主体中个人信息主体非合同当事人，但属于合同涉及主体中的绝对弱势方，由于合同内容实际涉及个人信息主体，且个人信息主体相对进出口双方而言没有足够能力进行自我保护，导致其最易受到侵害。若进口方处理个人信息时，存在超出目的、范围、保存时限的界限对个人信息进行处理，或在境外发生安全事件时，个人信息主体若想维护自身合法权益，不论是寻求私力救济，还是寻求公力救济即借助行政命令、司法裁决介入都难度巨大。同时合同双方都没有动力主动增加超出标准合同条款规定的第三人保护条款，是以要实现对个人信息主体的保护只能依靠国家有关机关事先对个人信息主体权益保护进行细致规定。[5]

但各国之间对如何保护第三人存在分歧，以中欧为例进行分析，标淮合同是双方都认可的法定信息出境传输手段。但两者希望依靠标准合同实现的标准不同，我国此项制度旨在确保本国法律和标准能够落实到个人信息出境传输的各方面和全过程，SCCs则希望通过合同条款中的规定实现一致境内外保护水平。[11]由此可见，境外的保护标准我国并不认可，而是通过“合同条款”要求进口方以“以我为准”相关处理能满足我国“同等保护水平”的要求。[12]但“同等保护水平”这一概念具体内涵为何？我国相关法律法规中并未进行释明，直接适用存在困境。需要进行针对性解释，可以参考欧盟“施雷姆斯第二案”中对欧盟“实质等同”要求的解释路径，[13]以“个保法”中标准为基础结合标准合同立法目的对相关条款进行解释。在标准合同条款第九条第五款中规定了如何对合同进行解释，但该规定仅涉及解释方式，即要求有关部门在解释“合同条款”时不得同上位法抵触，却未明确具体直接可适用的解释标淮。可以考虑增加相关规定，如“经标准合同传输境外的个人信息，境外接收方应保障个人信息得到的保护在实质上符合我国法标准”。[14]

2.2 适用范围

我们可以对“合同办法”和标准合同条款从对人和对事两个角度进行分析，来明确其适用范围。对人，标准合同既拘束出口方也拘束进口方，但这并不代表作为标准合同制度法律依据的“个保法”也直接适用于进口方，只有进口方对传输的境内个人信息处理符合法定情形时，[15]“个保法”才有可能适用于进口方；对事，只对个人信息出境传输行为针对性适用。

从“合同办法”和标准合同条款来看，我国标准合同仅适用于个人信息出境传输，境内个人信息传输是否适用，并没有进行规定。理论上来说，境内外个人信息传输应当都可以适用标准合同。实践上，已有部分域外国家明确可以适用。[16]不论是个人信息出境还是境内传输，两者都是希望获取个人信息并进行处理，同时涉及控制方和处理方。只是境内传输重视合理配置处理者、分包处理者的处理风险。而个人信息出境传输注重对上述特殊风险进行预防，并对特殊法益提供必要保护。

我国个人信息出境具体监管方式一共三种，其中应当进行安全评估的具体情形在《数据出境安全评估办法》第四条一一列明，综合“合同办法”第四条，可见我国标准合同制度仅适用于小规模、数量少、非重要的个人信息出境，同时出口方应同时满足四项前提。[17]不过由于标准合同适用范围受到了严格限制，使得该项制度在我国可适用空间较小，传输内容较少，若想取得类欧盟标准合同促进个人信息流动的效果，日后有可能需要对数量阈值进行适度调整。

标准合同不可能适用于所有传输场景，一般适用于同类重复和关联性传输。明确标准合同适用的典型场景，有助于明晰典型风险，有针对性的实现对合同主体的权利义务进行公平分配。

第一种典型传输场景是同类重复传输，常见于跨国公司、企业等商业组织传输个人信息，由于这种行业的特殊性其往往需要多次获取同样性质的信息，同时由于行业敏感往往备受公众关注。[18]此种典型场景下，标准合同是兼顾效率和效果的共赢方案；合同双方可以通过多次反复适用标准合同条款实现降低成本、提高效率、获取数据等多种目的；个人信息主体可以通过合同条款实现保护自身权益；监管机构可以摆脱管辖权、企业垄断、关联公司等多方面限制，选择适用更简便高效的合同监管而不是难以执行、难以落实的行政监管。

第二种典型场景是关联性传输，在跨国公司的商事活动中较为常见，此种情况下合同双方之间存在关联或隶属关系。由于两者之间关系极为密切，此时基于双方之间的特殊地位，对于标准合同中有关责任承担规定应当适当进行重构。

对标准合同结构进行分析，明晰其传输模块的特殊结构，有助于理解进出口双方进行义务分配的依据。合同双方在对个人信息进行处理时有着不同角色，选择不同模块适配不同角色更有利于合理配置双方义务。其中合主体关系性质，双方主体身份，处理行为，传输和处理目的等因素会影响模块性质。欧盟标准合同将合同主体划分为：“控制者”及“处理者”，[19]这一概念实质上是对域外控制者的转化吸收，实际同时包含了控制者和处理者两大主体。在此概念上我国进一步区分对个人信息处理者、境外接收方，[20]但此种区分并不够细致，无法满足实践需求，可能使得我国标准合同不为域外国家虽承认，难以实现传输效果。虽然我国法律上并未对主体进行细致区分，也未制定对应模块，但实践中此种需求客观存在。[8]或可通过解释或制定专门标准合同来解决这一问题，回应实践需求。

3 标准合同的义务体系

利用标准合同制度来实现对个人信息出境传输的监管，主要是通过规定合同双方主体的权利义务来实现的。合同双方的个人信息保护义务，[9]既是标准合同的基础，也是个人信息出境中的典型义务。只是相对于其他义务，这一义务极为特殊。首先，从效果上看，该项义务对双方都具有约束力，双方既彼此之间承担此项义务，而且同时对不是合同主体的个人信息主体承担此项义务;其次，从来源上看，合同实质上是将法定的个人信息保护义务进行转化，体现出的是法定义务的合同化。

3.1 个人信息保护义务的性质明晰

但个人信息保护义务的性质是什么，是瑕疵担保、主给付义务还是从给付义务或附随义务，我国相关法律并未作出具体规定和解释。

根据我国相关法律法规，将其解释为主合同主给付义务更为符合我国立法目的。原因在于：首先，从产生方式来看。个此项义务实质上是将“个保法”中的法定义务转化为合同义务，合同双方主体之间以合意选择合同机制进行个人信息出境，是双方适用标准合同条款的前提。第二，类比其他合同。如：货运合同，这一典型合同标的为运输行为，主合同义务是货物对安全保障义务。[10]进行类比我们不难发现标准合同和货运合同有着异曲同工之妙。标准合同标的为传输（运输）无形的个人信息，以保护个人信息主体权益为主给付义务。第三点从合同性质来进行分析。主给付义务对于确定合同性质具有决定作用，但标准合同性质并不是个人信息安全义务一项可以决定的，在个人信息委托处理、保管合同中同样也存在这种义务。对于合同性质进行判断应当综合考量，不可能仅仅因为具有某种特殊合同义务就以此确定合同性质，这种标准是明显不合理的，因为同一义务可能回同时出现在不同合同之中。[11]例如，在买卖、中介、保管、仓储等有偿合同都有付款义务，但这种付款义务都不难决定合同性质和类型。同时从另一个角度来看，不管合同性质如何，在这些合同中的主给付义务都是买受人的付款义务。由此我们分析买卖合同的性质特征时，既要考量所有权移转，也要考量支付价款，是以对标准合同类型特征进行分析时也应当综合考量。只有同时考虑个人信息出境传输、个人信息权益保护义务，才能对标准合同类型特征进行明确界定。

实际上，需要重点关注的是在明确个人信息保护义务是标准合同的主给付义务后，其上位法是如何被转化吸收为标准合同内容的。

标准合同条款中的个人信息保护义务其依据来源于“个保法”，是对原则性法律规定的细化。个人信息安全保护义务一般有两种模式，[21]我国采取的是单一模式。欧盟也适用单一模式，欧盟标准合同SCCs中则被规定为强制适用效力性条款，义务源于欧盟法律法规。而在我国，个人信息保护义务有着极为明确的法定义务根据，亦为单一模式。

此种义务必然需要遵循“原则—主体义务/权利—合同义务”的具体转化过程。我国“个保法”中确立的基本原则，构成了合同义务的法定依据，合同双方主体法定义务和个人的法定权利，作为直接来源限制着标准合同条款的规定。

“个保法”中规定了个人信息出境定义，[22]并对出境传输中应当遵守的个人信息处理基本原则作出了明确，[23]但这些基本原则相对抽象难以直接适用，只能称之为相关义务的法理依据。是以“个保法”对相关规定进行了细化，[24]规定更为明确可以直接适用，是以最终“合同办法”和标准合同条款中直接转述了相关规定。例如，告知义务、[25]准确度义务、[26]删除义务。[27]告知义务实质上是公开、透明原则的具体体现，要求合同双方应在传输中确保个人信息主体能够知悉处理目的、规制、方式和范围。

3.2 具体义务

另一方面，由于双方主体在个人信息出境传输过程中存在角色、利益格局、风险能力等多方面的差异，使得合同既规定的双方义务又规定了单方义务，两种义务之间既有交叉又有不同。具体类型如下。

（1）信息安全义务

该义务属于双方义务，是合同双方主体均应负担的主给付义务。[28]进口方则是获取后的安全保障义务，要求进口方定期检查，并长期持续保持稳定的安全水准，并对相关内容和处理情况保密。[29]必要时进口方可能被视为个人信息处理者，[30]根据“个保法”的要求进口方需要建立严密高效的内部管控体系和处理操作规范制度，实现处理系统的长期稳定，落实个人信息安全保障义务，确保仅有授权主体可以处理个人信息。

（2）安全事件通知义务

该项义务是典型单方义务，仅针对进口方，原则上由进口方承担，进口方发现泄露事件后，应立即采取必要措施并将情况告知出口方。SCCs中该义务作为子义务被规定在“处理安全性义务”之下，IDTA则在进口方义务单独规定了关于个人信息泄露的条款。[31]其实质属于信息安全义务的延伸义务。[32]单从法律规定来看，“个保法”和《数据安全法》仅对处理者施以通知义务，具体处理者为何者并未明确。但个人信息出境同境内传输不同，进口方必出口方更了解风险的可能性和现实紧迫性，由此将通知义务施加到进口方是十分必要的。从性质来看，此项义务属于真正义务，虽然“个保法”没有明确违法律后果，[33]但在后续关于法律责任的条文中明确“未履行个人信息保护义务”属于构成要件中必不可少的一项。[34]

对于何种事由需要通知，“个保法”仅明确指出了三类情形，[35]《数据出境安全评估办法》也仅仅模糊列举带过。[36]“个保法”中规定了“个人信息安全事件”，但对具体类型并未释明，直接适用存在较大困难，同时在实践中，随技术快速发展、迭代风险源在短时间内就可能会出现较大变化，个人信息泄露、篡改或丢失只称之为安全事件的典型情形，而无法涵盖所有安全事件。为实现对个人信息的全面保护，确有必要对“个保法”中安全事件的范围进行适当扩张，除法律列举的典型情形外还应当为未来对有关情况扩充留下空间。[37]如有必要或可对条款进行如下建构：在知悉风险或现实危险出现时，合同双方应立即通知各方主体，具体通知内容应涵盖安全事件的性质、危害、补救措施等。[14]

（3）补救、减损义务

该项义务只有在发生个人信息发生泄露后才会产生，是安全义务的衍生义务。“个保法”规定仅有在发生个人信息安全事件时，处理者才应履行补救、减损义务，[38]可见这一义务并非一直存续，《数据安全法》亦固定了类似的补救义务。[39]从实际实施角度来进行分析时，不难发现相对于出口方，进口方更能有效履行法定义务。为完善相关义务实现全方位保护，可将进口方的相关义务构造为：（1）发生或可能发生个人信息安全事件时，进口方应采取合理的措施降低损害。（2）合同履行终结前，任意一方若有合理理由且已无法履行合同，应及时告知他方，他方应收到或应当收到通知后应及时采取补救措施，并通知相关部门和个人信息主体。与通知事由类似，合同条款中的补救、减损义务，仅限于出现数据泄露情形时才会产生，导致这一义务无法包含所有类型安全事件，义务范围过窄。

（4）告知义务

又称透明度要求，其实际是“个保法”中规定的公开、透明原则及告知规则的具体化规定[40]另一方面应及时在传输主体经营变动时重新获取个人信息主体的同意，[41]并在个人信息主体要求查阅、复制个人信息等后及时回应。[42]告知应当采取一定手段使得个人信息主体及时知悉，如：提供合同等条款副本。我国普遍认为这项义务的承担主体仅限于出口方，但从实践来看，告知义务的承担主体为合同双方。该项义务的应当如何分配，既考虑承担能力，又有结合传输特征判断，故对告知义务分配时应当进行细致考量。在域外，不同传输模块下告知义务各有特色：或双方共同承担一般告知义务，进口方实际履行，出口方辅助履行；[43]或出口方实际履行，进口方辅助履行。[44]但在我国，并未细分实际处理方和实际控制方，所以合同中实际处理方和实际控制方的具体主体难以直接确定。当均为控制方时，都有能力履行告知义务，此时应当共同承担。当实际处理方是进口方时，出口方一直控制个人信息，告知义务自然应当归属于出口方。不过单从“个保法”来看，我国相对更偏好由出口方一直承担此义务，[45]进口方进行必要辅助方。从“合同办法”和“合同条款”来看标准合同进行了调整，但依然不够。[46]对告知义务条款应当进行适当调整:未传输出境的个人信息，应由出口方履行告知义务。已经传输出境的个人信息由进口方履行告知义务，出口方应当提供必要帮助，辅助进口方履行告知义务。

（5）目的限制义务

“个保法”将目的限制规定为个人信息处理的最基本原则，[47]处理者应当向个人信息主体表面收集和处理个人信息的目的，同时不得超出目的进行收集和处理。[48]

目的限制原则既转化为普通义务，又可以规定为特别义务。一般情况下，约定的处理目的将对进口方的处理行为产生全面约束。特别情况下，首先要进行处理必须获得个人信息主体的同意，[49]若想超出初始目的进行进一步处理则需获得“二次许可”。另一方面，为避免这一规定可能产生不利影响，故而规定了履行法定义务、法定制止时无需同意的豁免情形。[50]

（6）删除义务

此项义务是典型的进口方义务，“合同条款”中明确要求对传输的个人信息保存期限应当以最短期限为限，超出期限后应当及时删除从出口方处获取的个人信息，并及时向有关主体提供书面说明。[51]同时也规定了例外情形，指出在特殊情况下，若技术上难以删除，则可以不删除但不得采取除存储和必要安全维护措施以外的行为，更不能进行处理。但此时如何确定未删除的数据没有被使用，并没有作出具体规定。违反相关规定的法律后果，也并未直接释明。是以适当引入第三方独立主体，由双方选定并向双方提交有关应当删除数据的相关报告，证明进口方都遵守了合同义务不失为一个较好的解决方案。

（7）合规审计义务

此项义务实为审计权限。要求出口方关注进口方是否遵守了“个保法”和“合同条款”，但从文意来看，处理者应定期考察审计处理行为，此为自律性对己义务。[52]但我国并未具体规定审计对象、审计主体以及审计方式。若合同双方无条件无能力履行合规审计义务，将使得“个保法”的个人信息保护目标成为空中楼阁。未避免出现这一情况，域外转向合同合规审计即由出口方对进口方是否遵守“合同条款”予以审计。[53]就合规审计义务，“合同条款”第三条第十一项仅规定合同合规审计，并未纳入法律合规审计义务。[54]或可规定由出口方直接审计进口方，但这真的是一个最优方案吗？尽管域外一些标准合同中确有资此类规定，即要求进口方允许出口方访问有关数据处理设施，向出口方开放个人信息传输过程中涉及设备的访问权限，但这很容易导致侵犯进口方知识产权、商业秘密等。同时实践中，出口方传输的个人信息可能来源于数个控制者，出口方实质仅是传输代理人。若单纯为落实合规审计义务而放开访问权限，可能在出现纠纷后难以确定责任。相较之下，由双方事先选定引入第三方独立主体，并进行第三方独立审计提交审计报告，证明双方都遵守了合同义务不失为另一条道路。

4 标准合同的特殊功能

在个人信息收集、使用、处理实践中，数据处理外包是降低成本的有效手段。同时为来降低成本，外包方往往进行二次甚至三次外包使得处理链变得极为复杂，一些处理者之间的商业关系更是频繁更迭，部分外包处理者甚至并非合法商事主体。正是因为这些种种原因，个人信息主体作为弱势一方确有必要进行特殊保护，在合同中规定第三人权益行驶和保护相关规定，可以有效保护弱势主体。标准合同中最特殊对涉他条款就是受益第三人条款。[17]

4.1 受益第三人条款

该条款的主旨是保护个人信息权益。[55]出境传输中由于存在特殊风险和特别法益，个人信息主体易受损害，一旦出现个人信息安全事件短时间内无法确定过错方，受害人通过主张救济实现保障自身权利的目的。在标准合同中规定受益第三人事项，突破了合同相对性原则，给予第三人直接请求权。标准合同条款第五条明确规定了个人信息主体的权利，明晰“第三方受益人”概念，明确享有“第三方受益人”身份的主体，表面在立法层面上，认可“合同条款”具有第三人保护功能。此项条款下会产生两类请求权：一是访问、查询、更正、删除等权利，[56]二是违约损害赔偿请求权。[57]

个人信息主体得以主张查询权、复制权、更正权、补充权和删除权，这实际上是“个保法”中法定权利的合同化，主要体现的是消极权能。[18]例如，告知义务的主要承担者是出口方，进口方为辅助方履行方，但若出现出口方变更、合并等情形时，出口方恐无法履行义务，为保护个人信息主体权益给予其一定权利，使其在特殊情况下可适当介入合同，故标准合同条款中第五条规定了“双方约定个人信息主体作为本合同第三人享有以下权利：……”

违约损害赔偿请求权是实现对个人信息主体权益救济的最后“防线”，也是最关键的权利。根据民法典中的规定，对于合同违约，违约方承担无过错责任，但这仅仅涉及合同双方之间。对于由违约产生的对合同外第三方主体造成的损害，合同主体如何分配责任，并没有具体规定，但这却关系到如何落实对个人信息主体的保护。此时，若适用连带责任，优点是可以消除损害赔偿的不确定性，但也存在一定缺陷：（1）合同双方因为法律责任过重不愿使用标准合同制度，致使标准合同制度成为一纸空文；（2）连带责任并非对风险进行分配的最优方案。出口方将个人信息传至境外，创造了新的风险源，此时，出口方就进口方造成的损害承担连带责任尚属公平；但若进口方对出口方造成的损害也需承担连带责任，此时个人信息仍处于出口方控制下，此时基于连带责任要求进口方负责，明显违背公平原则。

标准合同条款中规定个人信息主体权利，确立违约损害赔偿请求权的目的，首要是为个人信息主体提供简便有效的损害赔偿路径，基于这一立法目的考量连带责任的确更有可能实现这一立法目的。但不可否认连带责任，在特殊情况下易使得合同双方负担不合理的增加，故适用连带责任应以法律规定或双方约定为适用前提，否则将会违反法律创设之一责任规则的初衷。[58]“个保法”个人信息侵权适用过错推定，共同处理者适用连带责任。[59]是以“合同条款”中延续了这些规定，但若要扩张连带责任适用情形，要求不论何种情况下合同双方都对个人信息主体承担连带责任，明显不符合法律有关规定。是以在最终的标准合同条款第八条第三款中规定：“双方依法承担连带责任的，个人信息主体有权请求任何一方或者双方承担责任。一方承担的责任超过其应当承担的责任份额时，有权向另一方追偿。”一方面规定适用连带责任以实现对个人信息主体权益的全面保障，另一方面又通过规定承担责任超出范围可以追偿避免出现合同中一方主体责任过重的问题。

明确受益第三人条款的规范要点，对我们理解适用该条款有着重要意义。

第一，明确权利范围，这是该条款的核心关键，范围既不能过于宽泛也不能过于狭隘。过窄将无法难以全面保护个人信息主体权益;过宽严重现在合同双方主体的合法权益，打破责任范围限制。[60]若可主张的权利过多，会大幅提升合同双方所面临的责任风险。[61]是以SCCs作出了例外规定，在责任分配上偏向进口方。[62]但由于个人信息主体处于弱势地位，故对权利进行限制时，需要考虑境外出口对主体可能带来对各种影响。故“合同条款”第五条第五项作出了妥协，对受益人的权利范围进行了一定限制。

第二，赔偿范围的确定。在侵权损害赔偿请求权外给予个人信息主体违约损害赔偿请求权，其目的就是为实现对弱势的个人信息主体进行必要救济。个人信息安全事件发生后，一般不仅又人格权益损害，还涉及因第三人介入造成的个人信息侵权的“下游损害”。[63]相较之下，侵权损害赔偿标准更为客观合理，赔偿额更易确定明显更具优势。但各国侵权责任规定各有不同，境外可能不认可我国规定导致无法落实，而合同一般不存在是否认可的问题，这将使得违约救济更为顺畅。

关于违约损害赔偿的范围，该种赔偿不同于合同双方违约产生的损害赔偿。合同双方之间的标的是出境传输行为，出口方基于传输个人信息出境获得进口方给予的利于，进口方获得使用、处理个人信息的利益。若出现不履行或不恰当履行产生损失的，包括守约方的所受损失和可得利益损失，对于这些损失以完全赔偿为原则，但以可得利益为限。[64]我国一般将违约损害赔偿请求权基础分为两种模式：（1）合意模式，此种模式要求事先取得第三人的同意；（2）修正模式，此种模式下只要第三人未明确表示拒绝则适用于第三人。[65]

第三，法理依据明晰。我国法律对利益第三人合同进行了规定，要适用利益第三人合同并无障碍。[66]但域外国际利益第三人合同结构是否一致，或是否承认利益第三人合同，都有可能影响合同效力。若想要实现我国法语境下利益第三人条款的法律效果，可以在“合同条款”中规定类似于“发生纠纷时，若无约定，中国法优先适用。”的条款，以减少可能出现的纠纷。

4.2 委托处理条款

外包实际就是委托处理的一种特殊情况，在此情形中。“个保法”第二十一条作为规定委托处理的条文，对其中的委托内涵应作广义解释，不仅仅指典型的委托合同，还应当包含服务、承揽等特殊类型。从现有的处理实际情况来看，各个公司、企业对个人信息的处理日益外部化。

委托处理的关键是委托方对受托方提出指示或要求。受托方据此对个人信息进行处理。委托人不得未实施处理行为进行抗辩，其不能因此免除责任，这涉及民法中履行辅助人原理。[67]但责任如何分配并不是其中最主要的问题，而是外包链条复杂难以厘清。委托方和具体受托方间的个别型委托处理合同相对滞后于数据处理实践，对相关链条进行探究时目光应当主要聚焦与复杂处理链和合同链。[68]

4.3 禁止再传输条款

是否应当这样规定一直存在争议。[69]禁止条款的目的在于对进口方对权限进行一定限制，避免可能滥用风险。即通过对进口方处理个人信息范围进行限制，同时让出口方对域外处理行为可能引发的损害承担责任。合同对进口方限制越多，出口方就越能控制传输出境的个人信息，限制越少，进口方自由度就越大。

规定禁止再传输条款的目的，是希望限制进口方权限，使其处理个人信息时受到出口方的约束和限制。这一条款可以对进口方独立决策权产生影响，使其不得不考虑出口方要求，使得我国主体对已传至境外的个人信息仍然能产生一定影响。即便出现再传输，第一要务应当是确保相关主体知情权的实现，其后才是考虑是否应当撤回同意或提出反对进行维权，实现保护个人信息主体权益的基本立场。但信息的价值要通过流动才能体现，禁止性条款凸显维护个人信息安全的价值立场，却人为的排除了交易机会，有违现有实践，是以我国标准合同条款中并未采纳，而是准予特殊情况下的在传输，并进行了细致规定。[70]

5 结语

标准合同制度并非我国首创，其实际来源于国际商事实践。通过十数年实践，因可以提高传输效率的同时实现对个人信息权益的保护而逐渐被一些国家所接受。我国最终确立了这一制度，使其成为我国三大个人信息出境具体监管工具。

我国通过“合同办法”及“合同条款”实现了对标准合同整体制度的初步构建。同时授权各地在“合同办法”的基础上制定切合各地实际的标准合同具体备案指南，使得标准合同制度开始逐渐在我国落实。但我国对于这一制度认识还相对不足，其中相关条款规定略显粗糙。结合域外标准合同条款进行分析，指出我国“合同条款”中的不足和缺陷，有助于完善我国标准合同制度，促进我国个人信息出境传输体制机制完善。明晰标准合同制度立法目的及上位依据，阐明其立法逻辑，结合实际情况，考虑国际商事相关原则和规制，提出相关完善意见，促使我国标准合同制度完善落实。

参考文献

1. 张金平．论个人信息出境认证与安全评估、标准合同的关系［J］．中国信息安全，2022（12）．
2. 张继红，蔡雨倩．敏感个人信息跨境流动的国际规制［J］．广西社会科学，2023（7）．
3. 赵精武．论数据出境评估、合同与认证规则的体系化［J］．行政法学研究，2023（1）．
4. 宋伟锋．限缩与扩张：个人信息跨境流动中的标准合同［J］．西华大学学报(哲学社会科学版)，2023（5）.
5. 王锡锌．个人信息国家保护义务及展开［J］．中国法学，2021（1）．
6. 金晶．个人数据跨境传输的欧盟标准——规则建构、司法推动与范式扩张［J］．欧洲研究，2021（4）．
7. 王轶，张浩，唐琦．欧盟数据传输标准合同为我国数据安全监管提供新思路［J］．数字经济，2022（3）．
8. 王怡．个人信息跨境传输标准合同的比较研究［D］．华东政法大学，2022．
9. 姚佳．论个人信息处理者的民事责任［J］．清华法学，2021（3）．
10. 王松．不真正连带债务诉讼实证探析——正宇公司诉袁庆春、富民公司货运合同案［J］．法律适用，2005（10）．
11. 周江洪．典型合同与合同法分则的完善［J］．交大法学，2017（1）．
12. 高富平．论个人信息保护的目的——以个人信息保护法益区分为核心［J］．法商研究，2019（1）．
13. 王玎．论个人信息安全事件通知义务［J］．行政法学研究，2023（2）．
14. 金晶．作为个人信息跨境传输监管工具的标准合同条款［J］．法学研究，2022（5）．
15. 王利明．敏感个人信息保护的基本问题——以《民法典》和《个人信息保护法》的解释为背景［J］．当代法学，2022（1）．
16. 程啸．个人信息保护法理解与适用［D］．中国法制出版社，2021：85．
17. 尹田．论涉他契约——兼评合同法第64条、第65条之规定［J］．法学研究，2001（1）．
18. 申卫星．论个人信息权的构建及其体系化［J］．比较法研究，2021（5）．
19. 谢鸿飞．个人信息处理者对信息侵权下游损害的侵权责任［J］．法律适用，2022（1）．
20. 姚明斌．《合同法》第一百一十三条第一款(违约损害的赔偿范围)评注［J］．法学家，2020（3）．
21. 葛云松．意思自治原则的理论限度：评《论利他法律行为涉他效力的制度建构》［J］．北大法律评论，2011，12（2）．
22. 解亘．再论《合同法》第121条的存废——以履行辅助人责任论为视角［J］．现代法学，2014（6）．