服务小型市场
外包业务不等于转移责任
企业将客户服务外包后，可能只知道直接签约方的名称，却不清楚最终由谁处理客户咨询。
明确谁在实际执行工作
假设有这样一种安排：一家位于欧洲某国的服务商，把业务分包给另一家服务商，后者再委托欧洲以外的一家公司。经过几层合同关系后，回答客户问题的人，可能就职于一家最初的委托方从未直接打过交道的机构。
这种安排未必违法，但会带来一些重要问题：处理咨询的人员由谁雇用？适用哪些劳动保障？谁监督他们的工作？谁能接触客户信息？一旦出问题，又会如何处理？
不同义务的适用范围各不相同
欧盟关于跨境派驻劳动者的规则包含分包责任规定，尤其涉及建筑业。冰岛的公共采购立法中，也有保护劳动者的分包链责任规则。这些规定各有特定的法律适用情境，并不是一条要求所有外包委托方对每个分包商的用工义务承担责任的通用规则。
数据保护还涉及另一层责任。在 GDPR 适用，且服务商代表客户处理个人数据的情况下，数据控制者必须选用能够提供充分保障的数据处理者。委托次级处理者，须事先取得特定或一般的书面授权。最初的数据处理者仍须就次级处理者的数据保护义务，向数据控制者承担责任。欧洲数据保护委员会的指引指出，数据控制者应能随时查到整个链条中数据处理者和次级处理者的身份信息。
让责任清晰可见
企业选择外包合作伙伴时，中间环节可能影响透明度、监督，以及证明合规的能力。较短的链条可能更容易理清，但链条长度本身，既不能证明用工合法，也不能证明数据保护措施妥当。
我们的实际建议是，记录清楚由谁完成工作、他们的聘用或合作关系、谁负责监督，以及他们能接触哪些信息。还应约定如何披露这些安排的变更，以及在客户咨询、用工问题或数据相关事件需要处理时，由谁承担责任。
实用要点
问题不仅在于谁在答复客户，更在于企业是否清楚这一答复背后由谁负责。
背景与局限
本文为一般性概述，不构成针对具体合同的建议。适用的义务取决于工作内容、司法管辖区以及实际的数据处理角色。跨境数据传输可能需要额外的保障措施；外包不会自动免除任何一方的义务。