1. 安全义务

程啸老师和张新宝老师均认为，受托方的义务内含个保法第51和52条，即（1）内部管理规则+（2）信息分类+（3）加密、去标识化等+（4）权限管理和人员培训+（5）安全事件应急预案+（6）个人信息保护负责人。

第五十一条个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失：

（一）制定内部管理制度和操作规程；

（二）对个人信息实行分类管理；

（三）采取相应的加密、去标识化等安全技术措施；

（四）合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训；

（五）制定并组织实施个人信息安全事件应急预案；

（六）法律、行政法规规定的其他措施。

第五十二条处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督。

个人信息处理者应当公开个人信息保护负责人的联系方式，并将个人信息保护负责人的姓名、联系方式等报送履行个人信息保护职责的部门。

此处有两点引发我的思考：

1. 受托方也可能需要任命个保负责人？

去年网信办首次要求报送个保负责人时，有一个常常被讨论的问题是：受托方处理超过100万人个人信息的，需要报送吗？彼时大家倾向于对《公告》做严格文义解释，认为《公告》要求报送的主体是“个人信息处理者”，当然不包括受托方。

但现在结合两位学者的观点，我对这个观点有了动摇。有没有可能是，不管是个人信息处理者还是受托方，只要处理的个人信息数量达到一定规模就都有任命&报送负责人的义务？

如果这种理解成立，那么去年网信办发布的报送公告或许并不是对全部义务主体范围作出的终局解释，而是分阶段推进的执法安排。不过这只能算是一种基于学者观点推导出的可能解释，推理也不太严密。我自己是希望理解错了，毕竟这个推理远超目前实务界对负责人报送义务的通常理解，也会增加大量实务工作。期待网信办能在某一期问答里解答一下。

2. 杨合庆老师对受托方法定义务作了限缩解释

在杨老师的书里，他并没有直接列举“安全义务”对应的任何法条编号，而是表述为“法律规定的采取必要组织措施和技术措施，保障所处理个人信息的完整性、保密性、可用性的义务”，并且强调不包括个人信息处理的合规保障义务。

对此，我个人理解并且赞同这一思路：安全义务应当是保障数据安全的，至于数据处理的合规性不该归受托方管，那是处理者的事儿。

但还是在同一本书里，我注意到杨老师对于第五十一条的释义为“本条是关于个人信息处理者合规保障义务的规定”（page130）。

如果采取较为严格的文义解释与体系解释，似乎可以推导出：杨老师认为第五十一条不是受托方的法定义务。这就和另外两位老师的观点完全对立了。

当然，这个结论需谨慎。首先，“合规保障义务”本身是一个概括性用语，抠字眼排除法对认识法律本质没好处；其次，第五十一条所列措施中，加密、权限管理、安全培训和应急预案等内容显然兼具安全保障属性，即使是在追求安全性的法定义务设定下受托方也不太可能避开。

不过考虑到第五十一条与第五十九条的条文位置相距不远，以及释义中对“安全保障”与“合规保障”的刻意区分，我倾向于认为，杨老师至少是在有意识地区分受托方的数据安全责任与个人信息处理者的全面合规责任，即不能将第五十一条整体平移至受托方。

再来看看程啸老师和张新宝老师对安全义务的解读分歧：程老师认为受托方负有五十三条境内指定代表法定义务，张老师认为受托方负有第五十四条合规审计法定义务。

第五十三条 本法第三条第二款规定的中华人民共和国境外的个人信息处理者，应当在中华人民共和国境内设立专门机构或者指定代表，负责处理个人信息保护相关事务，并将有关机构的名称或者代表的姓名、联系方式等报送履行个人信息保护职责的部门。

第五十四条个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。

我个人更认同杨老师强调安全义务、原则上不将全面合规义务施加给受托方的思路，因此倾向于对受托方适用第五十三和五十四条保持谨慎：

• 关于指定境内代表人，我理解这种解读方式是为了避免在境外掌握大量中国人个人信息的企业因为套了一层“受托方”的壳继而缺少监管抓手的尴尬。但有一个问题是，受托方和受托方的情况差异很大，一刀切地要求所有境外受托方一律在境内设立专门机构或者指定代表，会“误伤”大量仅提供有限、低风险服务的企业，显著提高他们的合规成本，也不利于中外企业做生意。

• 关于合规审计，现行《个人信息保护合规审计管理办法》已经要求委托方对受托方做合规审计了。也就是说，受托方的处理活动本身就会被审计到位。在这种情况下，如果再要求受托方就同一受托处理活动独立开展一套完整的个人信息保护合规审计，没必要。