结论先行：一家境外业务外包上市公司的数据泄露案本周提出和解：约六千二百二十万人的个人身份与健康信息被窃，和解金八千万美元。值得企业法务与 IT 负责人细看的不是金额，是三个事实——入侵者在系统里活动了近三个月才被发现；公司向监管机构通报后，隔了约九个月才开始通知受影响个人；八千万美元里，能拿到现金赔偿的只有能举证实际损失的人，上限每人三千五百美元。把数据处理交给服务商，外包出去的是活，不是责。协议里没写清的部分，出事那天都会算回委托方头上。

本文只谈委托处理场景下的责任划分与协议口径，不谈事件涉及的攻击技术细节，也不评价境外集体诉讼制度本身。

三组数字，各说明一个问题

六千二百二十万——这是受影响人数，拆成两类：约两千两百万人的数据存放在可被直接读取的文件里，约四千万人的数据在结构复杂、第三方难以直接读取的备份文件中。同一起事件，数据存放形态直接决定了风险等级。

近三个月——这是入侵者在系统内活动而未被发现的时间。对一个承接政务与医疗后台处理的服务商来说，这段时间足以把数据分批搬走。

约九个月——这是从通报监管机构到开始通知受影响个人的间隔。这九个月里，受影响的人不知道自己的信息已经泄露，也就无法采取任何自我保护动作。

和解不等于认错，但钱是真的

该公司在提交给证券监管机构的文件中强调：和解不构成对过错或责任的承认，公司持有网络保险，预计和解不会对财务状况产生重大影响。这句话的潜台词值得读两遍——对服务商是「无重大影响」，对委托它的机构呢？

和解金的分配结构更说明问题：只有能举证自己因泄露遭受实际欺诈或身份盗用损失的人，才能申请现金赔偿，上限三千五百美元；其余绝大多数受影响者得到的只是信用监控服务。也就是说，泄露带来的长期风险，主要由受影响者自己消化。

责任为什么落回委托方

这家公司处理的是政务健康项目、收费系统、福利发放的后台业务。受影响的大多数人可能从没听说过这家公司——他们把资料交给了某个机构，那个机构又把处理环节交给了它。

这正是委托处理的结构性特征：数据经手方可以很多层，但公众与监管问责时，先找的永远是直接面对用户的那一方。委托方与服务商之间的协议怎么写，决定了损失最终在谁那里停下。协议没写清发现时限、通报时限、赔偿结构的，默认就是委托方兜底。

协议里该写清的四件事

一是发现与通报时限：服务商发现异常后多久必须通知委托方，委托方多久内必须向监管与受影响方通报，按小时或按天写死。二是数据存放形态：哪些数据以可直接读取的形态存放、哪些必须加密或分拆存放，定期核验。三是赔偿结构与保险口径：服务商的网络保险额度、免责条款、赔付顺序，出事之前要看过保单。四是退出处置：合作终止时数据怎么交还、怎么销毁、拿什么证明。

还有一条动作在协议之外：把「服务商出事」写进自己的应急预案并实际演练。多数企业的预案只覆盖自己机房出事的场景。深圳市奇摩计算机有限公司在帮客户梳理运维与数据管理边界时，会把服务商侧的发现时限与演练触发条件一并写进运维协议，避免出事那天才翻合同。预约咨询，可以先核一遍现有委托处理协议的这四条。

边界与前提

三点说明。其一，本文事件信息来自公开报道与法院公开文件，和解方案尚待法院最终批准，具体数字以批准文件为准；相关企业与组织名称按惯例不作展开。其二，文中四条协议要点为一般性建议，具体条款应由法务结合实际业务审定。其三，境内企业的数据处理活动还须符合个人信息保护与数据安全相关法规，本文不构成法律意见。