3. 第三方合作中的数据类型识别

第三方合作场景下，数据一旦离开自有系统边界，其合规义务就不再由“数据在谁手里”单独决定，而由“数据是什么类型、达到什么级别”决定。同一份用户行为日志，可能同时包含个人信息、商业秘密和重要数据成分；同一份行业统计报表，可能既是公共数据又涉及商业秘密。因此，分类与定级不是贴标签，而是把一份数据拆解到“可判定、可举证、可执行”的粒度。

一、五类数据的判定锚点

五类数据的识别标准并不在同一维度上：个人信息、重要数据、核心数据主要来自法定监管维度，商业秘密来自民事权利维度，公共数据来自公共管理与开放利用维度。识别时应先判断“是否属于某一法定类型”，再判断“是否同时构成另一类型”，而不是二选一。

需要特别注意的是，个人信息中的敏感个人信息（如生物识别、医疗健康、金融账户、行踪轨迹、不满十四周岁未成年人信息）在对外提供时通常需要单独同意与个人信息保护影响评估；重要数据对外提供往往需要履行安全评估；核心数据原则上禁止出境或严格限制。这些义务的触发点，正是分类与定级的结果。

二、从字段到级别的定级方法

实务中推荐采用“字段级识别—数据集聚合—级别判定—义务映射”的四步法。第一步不是给整张表定级，而是逐字段标注类型；第二步按数据集聚合，判断聚合后是否产生新的风险；第三步对照目录与标准确定级别；第四步把级别映射到具体义务。

以某电商平台与第三方物流服务商共享“订单履约数据”为例，示例字段与判定如下（以下为教学示例，非真实企业数据）：

字段名            示例值                    类型标注
order_id          SO20240517001             非个人信息
receiver_name     张*                       个人信息（直接标识）
receiver_phone    138****6721               个人信息（直接标识）
receiver_addr     某市某区某路某号           个人信息（直接标识）
gps_track         轨迹点序列                 敏感个人信息（行踪轨迹）
goods_name        某型号工业传感器           可能涉及重要数据/商业秘密
logistics_cost    12.50                     商业秘密（成本价）

聚合后，该数据集同时包含敏感个人信息、商业秘密，且“某型号工业传感器”的批量流向若涉及关键行业，可能触及重要数据目录。此时级别判定不能取“最高单项”简单了事，而应形成复合结论：敏感个人信息 + 商业秘密 + 疑似重要数据，并分别触发单独同意、保密措施、安全评估三类义务。

三、定级中的三个关键判断

第一，去标识化不等于匿名化。手机号中间四位打码、姓名用“张*”替代，仍属于去标识化，结合订单号、地址、时间戳仍可能重新识别到个人。只有经过技术处理且无法复原、不能识别特定自然人且不能复原的，才可能构成匿名化。第三方合作中若仅做去标识化，个人信息保护义务并不当然免除。

第二，重要数据以目录为准，不以企业自评为准。企业应主动对照行业主管部门发布的重要数据识别指南或目录，逐项核对自身数据是否落入范围。若行业目录尚未明确，可参照“一旦泄露可能危害国家安全、公共利益”的实质标准，结合数据规模、精度、时效、覆盖地域、行业关键程度综合判断，并保留判断依据以备监管问询。

第三，商业秘密的“保密措施”必须可举证。仅有保密协议往往不够，还需要访问权限分级、水印与日志、离职交接、第三方准入审查等实际措施。在第三方合作中，建议在合同中明确数据用途、使用期限、二次提供限制、删除与返还义务，并要求对方提供同等保密措施承诺。

四、可直接使用的定级记录表

为使定级结果可追溯，建议每个合作项目建立一份数据分类分级记录表，字段如下（示例）：

分类与定级的最终目的，是让第三方合作中的每一类数据都能对应到明确的处理规则、合同条款和技术措施。字段级识别保证不漏项，聚合判定保证不低估，义务映射保证可执行。三者结合，才能在合作开始前就把合规边界划清楚。