场景
苏州工业园区一家做智能硬件的公司，去年上线了面向欧洲市场的 App。为了做用户画像和售后分析，公司把一部分用户数据交给了一家第三方技术服务商处理。合作初期还算顺畅，后来双方因为服务费起了争执，对方直接撂挑子，数据不交接、后台权限不归还，甚至把部分数据挪到了自己的服务器上。
公司负责人老周急了：这些数据里有大量用户的手机号、设备信息，还有一部分是境外用户的。他想让律师发函要求对方立即删除并返还数据，可对方回了一句“合同里没写这么细，你管不着”。老周跑来问：对方不配合，我到底能拿他怎么办？能不能直接去法院告？告什么？
这个场景在苏州并不少见。数据出境、数据委托处理一旦碰上合作破裂，最容易卡在“对方不配合”上。
法律规定
先厘清一个基础问题：交给第三方处理的数据，责任还在不在你身上？答案是肯定的。《个人信息保护法》第21条讲得很清楚，委托处理个人信息的，应当与受托人约定处理目的、期限、处理方式、信息种类、保护措施以及双方的权利义务，并对受托人的处理活动进行监督。受托人应当按照约定处理，不得超出约定目的、方式处理。
也就是说，即便数据在对方手里，你作为个人信息处理者的合规义务并没有转移。对方不配合，风险首先落在你头上。
再看数据出境这条线。《个人信息保护法》第38条规定，向境外提供个人信息要满足法定条件，比如通过安全评估、个人信息保护认证或者订立标准合同。第39条还要求向个人告知境外接收方的名称、联系方式、处理目的、方式、信息种类以及个人行使权利的方式，并取得单独同意。如果对方把数据挪到境外服务器，性质就变了，不再是简单的合同纠纷。
《数据安全法》第27条要求建立健全全流程数据安全管理制度，第29条要求发现数据安全缺陷、漏洞等风险时立即采取补救措施，发生安全事件要按规定告知和报告。对方不配合、数据失控，本身就构成需要处置的风险。
还有一条常被忽略：《个人信息保护法》第47条，处理目的已实现、无法实现或者为实现处理目的不再必要的，个人信息处理者应当主动删除。合作终止，处理目的基本落空，删除义务就浮上来了。对方不删，你可以依据第44条、第45条主张个人对其信息的查阅、复制、转移权利，以及第46条的更正、补充权利，通过用户主张或自己主张来推动。
法院实务怎么判
苏州法院审理这类纠纷，公开文书里常见的思路有几个层次。
第一层看合同。数据委托处理合同里有没有明确约定数据归属、返还方式、删除义务、违约责任。约定清楚的，法院通常会按约定判令对方返还、删除并承担违约责任。约定模糊的，法院会结合《个人信息保护法》第21条的法定监督义务，判断受托人是否超出约定处理。
第二层看数据性质。涉及个人信息尤其是敏感个人信息的，法院对处理者的注意义务要求更高。如果对方把数据用于约定之外的用途，或者拒绝说明数据去向，法院通常会倾向于认定其违反法定义务，而不只是违约。
第三层看是否涉及出境。一旦数据被转移到境外，法院会审查是否履行了第38条、第39条的程序。没履行的，相关处理行为的合法性基础就成问题。苏州有审理数据类纠纷的审判庭，对这类问题的审查相对细致，但个案差异很大，不能一概而论。
需要提醒的是，法院一般不会直接替你“抢回”数据，判决多是行为之诉——判令返还、删除、停止处理、赔偿损失。执行阶段对方仍不配合的，还得走强制执行程序。
边界与例外
不是所有“不配合”都能直接起诉。有几种边界要分清。
一是合同相对性。你只能向有合同关系的受托方主张，不能随便找对方的关联公司。二是数据里可能混有对方的合法商业信息，返还范围要界定清楚，不能一概要求“全部交出来”。三是如果对方主张数据已删除但无法证明，法院会结合技术手段和举证责任分配来判断，不是你说没删就没删。
例外情形也存在。比如对方因配合监管调查而暂时不能返还数据，或者数据涉及第三方权利需要先行处理，这些都可能构成合理抗辩。另外，如果出境程序本身没走完，你要求对方返还境外数据，操作上会更复杂，需要先解决合规路径问题。
普通人能怎么做
如果你是企业负责人，碰上对方不配合，可以按这个顺序走。
第一步，固定证据。合同、数据交接记录、后台权限截图、沟通记录，尤其是对方承认持有数据或拒绝返还的表述，全部留存。
第二步，发正式书面函件。明确要求返还、删除、停止处理，并设定合理期限。函件里把法律依据写清楚，比空喊“你不配合我就告你”有用得多。
第三步，同步做合规补救。评估数据是否涉及个人信息、是否出境、出境程序是否完备。该报告的报告，该通知用户的通知用户，别等监管找上门。
第四步，考虑诉讼或申请行为保全。诉讼请求要具体，比如判令返还特定范围数据、删除特定信息、赔偿损失。情况紧急的，可以研究行为保全的可行性。
第五步，如果涉及大量用户个人信息，可以引导用户依据第44条至第47条主张权利，形成合力。
律师温馨提示
董坤律师在苏州执业，处理过不少数据合规与数据出境相关的咨询和争议，包括委托处理合作破裂后的数据返还、删除谈判，以及出境路径的合规梳理。这类事情往往卡在“对方不配合”和“自己合规没做足”两头，越早把合同条款、处理记录和出境程序理清楚，后面越主动。具体个案怎么走，还得结合手头的材料和实际情况判断，不能照搬套路。