一句话回答：把客户信息交给外包客服、云服务商、SaaS服务商处理，本身不违法，但必须按《个人信息保护法》第二十一条与受托人签订委托处理协议，约定处理目的、期限、方式、信息种类、保护措施和双方的权利义务，并对受托人的处理活动进行监督；委托处理个人信息属于应当事前开展个人信息保护影响评估的法定情形，评估报告和处理情况记录要至少保存三年。

一、法律依据：个保法的三条关键条文

《个人信息保护法》第二十一条规定：个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还个人信息处理者或者予以删除，不得保留。未经个人信息处理者同意，受托人不得转委托他人处理个人信息。

第五十九条规定：接受委托处理个人信息的受托人，应当依照本法和有关法律、行政法规的规定，采取必要措施保障所处理的个人信息的安全，并协助个人信息处理者履行本法规定的义务。

第五十五条明确：委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息，以及处理敏感个人信息、利用个人信息进行自动化决策等情形，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录；第五十六条规定，影响评估报告和处理情况记录应当至少保存三年。

二、委托处理、对外提供、共同处理，别混为一谈

这是企业最容易踩的坑。委托处理（第二十一条）是“我请人替我干、按我的指令干”，委托场景本身不需要再单独取得个人同意；对外提供（第二十三条）是“我把信息给了另一个独立的处理者，它按自己的目的处理”，这时必须向个人告知接收方名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意；共同处理（第二十条）是双方共同决定处理目的和处理方式，侵害个人信息权益造成损害的，应当依法承担连带责任。定性错了，整套合规义务都会做错。

三、实务中要注意什么：协议里必须写清的几件事

第一，协议必备条款缺一不可：处理目的、期限、处理方式、个人信息种类、保护措施、双方权利义务，以及“不得超范围处理”“未经同意不得转委托”“合同终止后返还或者删除”。

第二，监督不能只写在协议里，要留下痕迹：定期安全检查、访问日志抽查、人员保密协议、数据回传与销毁记录，这些文件在检查时就是证据。

第三，把委托场景盘清楚：外包客服与呼叫中心、云主机与对象存储、SaaS 版 CRM、短信与邮件营销服务商、数据标注服务商，都属于受托人。

第四，涉及敏感个人信息，或者涉及自动化决策的委托，事前要做个人信息保护影响评估，并留存评估报告和处理情况记录至少三年。

第五，违规成本要算清楚：违反个人信息保护法处理个人信息，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

四、案例分析

（示意情景）某电商公司把订单、收货地址和手机号交给一家外包客服公司处理，双方只签了一份普通的《服务外包合同》，既没有数据条款，也没有约定合同终止后的返还或删除义务。后来外包公司的离职员工把数据倒卖出去，造成批量信息泄露。监管介入后认定该电商公司未履行委托处理场景下的约定与监督义务，责令改正并处罚款；因涉及个人信息权益的重大风险，相关赔偿责任也相应加重。这个情景的要点是：委托不等于免责，个人信息处理者的责任始终在自己身上。（本案为示意情景，不是真实案件。）

五、常见问题（FAQ）

问：委托处理个人信息需要取得个人同意吗？

答：委托处理本身不需要就这一次委托再单独取得同意，但要取得个人同意的前提是你自己的处理行为本身有合法性基础；如果委托的是向独立的第三方提供个人信息（对外提供），那就必须取得个人的单独同意。

问：委托处理协议必须写哪些内容？

答：应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督，同时写明未经同意不得转委托、合同终止后返还或删除。

问：受托人有什么义务？

答：受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式；委托合同不生效、无效、被撤销或者终止的，应当将个人信息返还个人信息处理者或者予以删除，不得保留；未经个人信息处理者同意，不得转委托他人处理个人信息；同时应当采取必要措施保障所处理的个人信息的安全，并协助个人信息处理者履行法定义务。

问：委托处理要做个人信息保护影响评估吗？

答：要。委托处理个人信息属于应当事前进行个人信息保护影响评估的法定情形，评估报告和处理情况记录应当至少保存三年。

问：把客户名单交给外包客服，常见哪些违规？

答：常见的是不签数据条款、约定不完整、不监督、允许转委托不限制、合同结束后不要求返还或删除。这些都会直接构成未履行委托处理场景下的法定义务。

问：违规处理个人信息最高罚多少？

答：情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。

相关阅读

王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512