场景
苏州工业园区一家做智能硬件的公司，去年把一部分客服系统外包给了外地一家服务商，服务商又把数据处理环节转包给了境外团队。今年年初，公司想核查境外团队到底存了哪些个人信息、有没有按要求删除，于是发邮件要求对方配合提供数据处理记录和删除证明。结果对方先是拖，说“要走内部流程”；再催，就回一句“合同里没写这么细”；最后干脆不回邮件了。
公司负责人老周很头疼：数据是自己的，可东西在别人手里，对方不配合，难道只能干瞪眼？他找到律师时问得很直接——“我能不能直接去法院告他，让他把数据交出来、把该删的删掉？”这个问题，其实牵涉到跨境传输场景下“配合义务”的边界，也牵涉到个人信息保护法给个人信息处理者设定的那套责任链条。
法律规定
先看几条基础规则。《个人信息保护法》第4条界定了“个人信息处理”的范围，收集、存储、使用、加工、传输、提供、公开、删除都算。第6条要求处理个人信息有明确、合理的目的，并且限于实现处理目的的最小范围。第13条列了处理的合法性基础，第14条讲同意应当由个人在充分知情的前提下自愿、明确作出。
跨境场景最关键的几条：第38条规定，向境外提供个人信息，应当具备法定条件之一，比如通过安全评估、认证、订立标准合同等；第39条要求向境外提供前，应当向个人告知境外接收方的名称、联系方式、处理目的、处理方式、个人信息种类以及个人行使权利的方式和程序，并取得单独同意。第21条讲委托处理，受托人应当按照约定处理，不得超出约定；委托方应当监督受托人的处理活动。第23条讲向第三方提供，要向个人告知接收方信息并取得单独同意。
再看“对方不配合”能落到哪些义务上。第44条到第47条给了个人知情、决定、查阅复制、更正补充、删除等权利；第50条要求个人信息处理者建立便捷的个人行使权利的申请受理和处理机制，个人要求查阅、复制、更正、删除的，应当及时处理。第51条要求处理者采取安全措施，包括制定内部管理制度、分类管理、加密去标识化等。第55条、第66条则涉及风险评估和法律责任。
《数据安全法》第27条要求建立健全全流程数据安全管理制度，第29条要求发现安全缺陷、漏洞等风险时立即采取补救措施，第30条涉及重要数据处理者的风险评估。《网络安全法》第21条、第41条、第42条则从网络安全等级保护、收集使用规则、不得泄露篡改毁损等角度作了规定。
把这些串起来看：对方不配合，不是“合同没写就没事”，而是可能同时踩到委托处理监督义务、个人权利响应义务、安全保护义务这几条线。
法院实务怎么判
从苏州法院公开裁判文书的常见审理思路看，这类纠纷法院通常不会一上来就判“必须把数据交出来”，而是先看几个层次。
第一层，看双方是什么法律关系。是委托处理，还是各自独立的处理者？如果是委托处理，受托人超出约定处理、或者委托方要求收回数据，法院通常会结合合同约定、实际控制情况判断返还或删除义务是否成立。如果合同里对数据返还、删除、审计配合写得含糊，法院往往会结合《个人信息保护法》第21条的监督义务，看委托方有没有尽到合理监督，受托方有没有明显违反约定。
第二层，看请求的权利基础。个人依据第45条要求查阅复制，或者依据第47条要求删除，法院通常会审查请求是否具体、是否属于法定情形、处理者是否已建立第50条要求的申请受理机制。企业之间因合作终止要求对方配合删除或提供记录，法院更多从合同履行和数据处理者义务角度切入，而不是简单套用个人权利条款。
第三层，看有没有实际损害或风险。法院通常会结合数据敏感程度、是否涉及第28条规定的敏感个人信息、是否已完成第38条要求的跨境条件、对方不配合是否导致风险扩大等因素综合判断。个案差异很大，有的案子法院倾向于先判继续履行配合义务，有的则更关注停止侵害和补救措施。
总体倾向是：法院不太支持“空对空”的配合请求，请求越具体、合同依据越清楚、风险越可证明，越容易被支持。但具体到每个案子，证据和合同文本的差别会直接影响结果。
边界与例外
配合义务不是没有边界的。第6条的最小必要原则同样适用于“要求对方配合”这件事——你不能要求对方把与处理目的无关的全部数据一股脑交出来。第13条、第14条、第23条、第39条涉及的同意规则，也意味着有些数据涉及第三方个人同意，对方以“需要征得个人同意”为由暂缓提供，未必完全没有道理，关键看是否属于法定或约定的例外。
另外，第38条要求的跨境条件本身就是一个门槛。如果境外接收方所在国家或地区的法律环境、安全评估结论存在不确定性，对方以合规审查未完成为由拖延，法院通常会看这种拖延是否合理、是否在合理期限内。
还有一层是“技术不能”。有些数据分散在多个系统、多个转包环节，对方确实需要时间梳理。法院一般不会要求客观上做不到的事，但会看对方有没有积极采取补救措施，这跟《数据安全法》第29条要求的“立即采取补救措施”是一个逻辑。
普通人能怎么做
如果你是企业方，第一步不是急着发律师函，而是把合同翻出来，看数据返还、删除、审计、配合义务写没写清楚。没写清楚的，尽快通过补充协议或书面确认固定下来。第二步，把要求具体化：要哪些字段、什么时间范围、以什么形式提供、删除后怎么证明。第三步，保留沟通记录，邮件、微信、会议纪要都算，证明你提过、对方拖过。第四步，如果涉及个人权利请求，走第50条要求的申请受理渠道，留下书面痕迹。
如果你是个人，发现自己的信息被跨境传输后对方不配合查阅或删除，可以先向处理者提出书面申请，要求说明境外接收方情况和处理目的；处理者不回应或回应不合理的，可以向网信部门投诉，也可以考虑诉讼，但要把请求写具体，别只写“要求删除全部数据”。
律师温馨提示
董坤律师在苏州执业，处理过涉及跨境数据传输、委托处理争议和个人信息权利响应的案件，对这类“对方不配合”的僵局比较熟悉——从合同条款梳理、配合义务的边界判断，到证据固定和请求设计，都有实操层面的经验。需要提醒的是，每个案子的合同文本、数据种类、跨境路径都不一样，能不能推动对方配合、走到哪一步，要结合具体材料看，没法一概而论。