学服律师在线

科技社团使用第三方SaaS平台存储会员信息，必须与平台签订数据安全协议。在发生数据泄露时，责任的划分遵循“法定主体责任不外包”与“过错推定”原则。具体分析如下：

一、为什么必须签订数据安全协议？

科技社团作为会员个人信息的收集者和管理者，在法律上属于“个人信息处理者”。将会员信息交由第三方SaaS平台存储，属于“委托处理”行为。根据相关法律法规要求，科技社团必须通过书面协议与SaaS平台（受托处理者）明确以下事项：

1.处理规范：明确委托处理的目的、期限、处理方式、个人信息种类以及安全保护措施。

2.权责边界：约定双方的权利与义务、违约责任以及发生数据安全事件时的告知与配合义务。

3.退出机制：明确合作终止后，SaaS平台返还或删除数据的方式与时限。

4.禁止转委托：未经科技社团同意，SaaS平台不得将会员信息转交其他第三方处理。

二、发生数据泄露时的责任划分

在数据泄露事件中，责任划分并非简单的“谁存数据谁负责”，而是依据法律角色和过错程度来界定：

1.科技社团（个人信息处理者）：承担首要法定责任

（1）主体责任不可转移：科技社团自主决定了收集会员信息的目的与方式，是法定的第一责任主体。即使数据存放在第三方平台，科技社团也必须对受托方的安全能力进行监督。发生泄露时，监管部门首先追责的往往是科技社团。

（2）过错推定原则：在个人信息侵权案件中适用“过错推定”和“举证责任倒置”。如果科技社团不能证明自己已经尽到了对SaaS平台的监督和安全保护义务，就应当承担损害赔偿等侵权责任。

2.第三方SaaS平台（受托处理者）：承担违约责任及自身过错责任

（1）依约担责：SaaS平台需按照协议约定履行安全保护义务。如果因平台技术漏洞、内部管理失当（如员工违规导出出售数据）或未按约定处理信息导致泄露，SaaS平台需承担相应的侵权赔偿责任及违约责任。

（2）越界独立担责：如果SaaS平台超出了科技社团的授权范围（例如私自对会员数据进行脱敏分析、生成画像或卖给广告商），其身份将转化为独立的“个人信息处理者”，需独立承担全部法律义务与责任。

3.共同处理者与第三方侵权者

（1）共同处理者：如果科技社团与SaaS平台共同决定了数据的处理目的和方式（如联合营销），双方构成“共同处理者”，需对会员承担连带赔偿责任。

（2）第三方侵权：如果泄露纯粹是因为黑客等第三方恶意攻击，且科技社团和SaaS平台均已采取了符合行业标准的安全防护措施（无过错），则由实施攻击的第三方承担侵权或刑事责任。

实务建议：科技社团在选择SaaS平台时，应严格审查其数据安全资质（如ISO27001认证），并在协议中明确安全事件通报时限与违约赔偿条款；日常应建立数据备份机制，切勿将SaaS平台视为唯一的数据存储地。