法律天网（上）：《网络安全法》、《数据安全法》对供应商数据共享的核心要求

各位同学，咱们今天聊的这两部法律，可以说是数据合规领域的“基本法”。我经常跟团队里的年轻人说，搞供应商数据共享，如果不懂这两部法，就像开车不看红绿灯——迟早要出事。

《网络安全法》和《数据安全法》，一个侧重“网络运行安全”，一个侧重“数据处理活动安全”。它们对供应商数据共享的要求，说白了就是一句话：谁让你共享，你就得对谁负责；数据给了供应商，责任还在你身上。

嗯，咱们一个一个来看。

一、《网络安全法》：供应商的“准入门槛”与“连带责任”

《网络安全法》是2017年实施的，当时很多企业都慌了神。我记得有个客户问我：“我们只是把客户数据给外包客服团队用一下，也要担责？”我的回答是：是的，而且责任跑不掉。

这部法律对供应商数据共享的核心要求，我归纳为三点：

• 第二十一条：安全保护义务不能转嫁。 你作为网络运营者，有义务保障数据安全。你把数据给供应商处理，不代表你的义务就没了。供应商出了事，你照样要背锅。
• 第三十七条：关键信息基础设施的数据本地化。 如果你的企业被认定为CII（关键信息基础设施），那么向境外供应商共享数据时，必须进行安全评估。这个我后面会细讲。
• 第四十条：用户同意的“穿透”要求。 你收集用户数据时，用户同意你用了。但你把数据给供应商，相当于“转委托”，必须重新获得用户同意，或者确保供应商的使用范围不超出原授权。

二、《数据安全法》：数据分类分级与供应商管理的“紧箍咒”

《数据安全法》2021年实施，比《网络安全法》更“狠”。它提出了一个核心概念——数据分类分级。说白了，你得先搞清楚自己手里有什么数据，再决定能不能给供应商。

我在项目中遇到过一家电商企业，把用户订单数据全量共享给物流供应商。结果物流供应商的系统被攻击，几百万条订单信息泄露。监管部门一查，发现这家电商企业根本没对数据进行分类分级——订单数据里包含用户姓名、电话、地址，这属于个人信息，甚至可能涉及重要数据。最后，电商企业被罚了200万。

为什么会这样？因为《数据安全法》第二十一条明确要求：

• 建立数据分类分级制度。 你得把数据分成“一般数据”“重要数据”“核心数据”等层级。
• 对不同等级的数据采取不同的保护措施。 给供应商共享“一般数据”和“重要数据”，管控力度完全不同。
• 重要数据的出境评估。 如果你的供应商在境外，或者数据要跨境传输，必须经过安全评估。

三、两部法律的“交叉火力”：供应商数据共享的合规红线

这两部法律不是孤立的，它们会同时作用于你的供应商管理。我画了一张表，帮你快速理清：

场景	《网络安全法》要求	《数据安全法》要求
供应商处理个人信息	用户同意 + 安全保护义务	数据分类分级 + 最小必要原则
供应商涉及CII数据	数据本地化 + 安全评估	重要数据目录 + 出境评估
供应商发生数据泄露	立即补救 + 向主管部门报告	通知用户 + 配合调查
供应商转包给下级供应商	需经你同意 + 承担连带责任	重新评估风险 + 更新协议

你想想看，这张表里最容易被忽视的是哪一行？我个人经验是“供应商转包”。很多企业只跟一级供应商签了协议，结果一级供应商又把数据包给了二级、三级供应商。一旦出事，你连数据流到哪了都不知道。

四、实操建议：如何把法律要求落地到供应商管理流程

光讲法律条文没意思，咱们得落地。我建议你从以下四个步骤入手：

1. 第一步：数据盘点与分类分级。 先搞清楚你有哪些数据，哪些数据要共享给供应商。别一上来就签协议，数据都没理清楚，协议签了也是白签。
2. 第二步：供应商准入评估。 根据《网络安全法》的要求，供应商必须具备相应的安全能力。我建议你让供应商填一份《数据安全能力自评表》，包括：是否通过等保测评、是否有数据加密能力、是否有应急响应机制等。
3. 第三步：合同条款设计。 在数据共享协议里，明确引用《网络安全法》和《数据安全法》的相关条款。比如：“供应商承诺遵守《数据安全法》第二十一条关于数据分类分级的要求，不得将甲方数据用于约定范围之外的任何目的。”
4. 第四步：持续监控与审计。 签了协议不代表万事大吉。我建议每半年对供应商进行一次数据安全审计，检查他们是否真的按协议执行了。

好了，这一章的内容就到这里。下一章咱们聊聊《个人信息保护法》对供应商数据共享的“精准打击”，那才是真正的“杀手锏”。