4. 法律天网（下）：《个人信息保护法》与《欧盟GDPR》在供应商场景下的适用与差异
好，咱们接着聊。上一讲我们把《数据安全法》和《网络安全法》在供应商场景下的坑给填了。这一讲，咱们来啃两块更硬的骨头——中国的《个人信息保护法》（简称PIPL）和欧盟的《通用数据保护条例》（GDPR）。
说实话，这两部法律是现在做供应商数据合规的“顶配”难题。我见过太多企业，拿着GDPR的模板往中国供应商身上套，结果水土不服。也见过不少国内企业，以为PIPL就是“中国版GDPR”，结果细节上一对，全是雷。
为什么会这样？因为两部法律的立法逻辑、处罚力度、适用范围，其实有本质区别。今天我就把这两部法律在供应商场景下的“同”与“不同”，掰开了讲清楚。
4.1 两部法律的“管辖范围”差异：谁在管你的供应商？
先看一个最基础的问题：你的供应商在不在这些法律的管辖范围内？
GDPR的管辖逻辑：
- 属地原则：只要供应商在欧盟境内设立了机构，不管数据处理发生在哪，都受GDPR管。
- 属人原则：供应商不在欧盟境内？没关系。只要它向欧盟境内的数据主体提供商品或服务，或者监控他们的行为，GDPR照样能管到它。
我在项目中遇到过一家东南亚的云服务商，服务器全在新加坡，但给欧洲的客户做数据分析。他们一开始觉得GDPR跟自己没关系，结果欧洲的客户直接发函要求签DPA（数据处理协议）。嗯，这就是GDPR的长臂管辖——你躲不掉的。
PIPL的管辖逻辑：
- 属地原则：在中国境内处理自然人个人信息的活动，适用PIPL。这个“处理”包括收集、存储、使用、加工、传输、提供、公开、删除等所有环节。
- 保护性管辖：在中国境外处理中国境内自然人个人信息的，如果目的是“向境内自然人提供产品或者服务”，或者“分析、评估境内自然人的行为”，也适用PIPL。
你想想看，这意味着什么？如果你的供应商是海外公司，但它帮你处理中国客户的个人信息，那它也得遵守PIPL。我去年帮一家跨国车企做合规审查，他们的德国供应商直接对接中国车主的驾驶数据，结果发现供应商连个数据保护官都没设——这要是被查，罚起来可不是闹着玩的。
核心差异总结：
GDPR更强调“数据主体在欧盟境内”，PIPL更强调“个人信息处理活动发生在中国境内或影响中国境内个人”。说白了，GDPR看的是“人”，PIPL看的是“地”和“人”的结合。
4.2 供应商场景下的“合法性基础”对比
处理个人信息，必须有一个合法的理由。这是两部法律的共同要求。但具体到供应商场景，差异就出来了。
| 合法性基础 | GDPR | PIPL | 供应商场景下的典型应用 |
|---|---|---|---|
| 用户同意 | 有效，但需明确、具体、自由给予 | 有效，但需单独同意（重要场景） | 供应商直接收集用户数据时，需获得用户同意 |
| 履行合同所必需 | 有效 | 有效 | 供应商按合同约定处理数据，如物流供应商处理收货地址 |
| 法律义务 | 有效 | 有效 | 供应商配合政府调查、税务申报等 |
| 合法利益（GDPR特有） | 有效，需做LIA（合法利益评估） | 不适用 | 供应商为自身安全目的分析日志数据 |
| 紧急情况保护生命财产 | 有限适用 | 有效 | 供应商在紧急情况下处理数据以保护人身安全 |
这里有个关键点：PIPL没有“合法利益”这个合法性基础。我见过不少企业，在GDPR框架下习惯了用“合法利益”来论证供应商的数据处理行为，到了中国直接套用，结果被监管部门点名。说白了，在中国，供应商处理个人信息，要么有用户同意，要么是履行合同所必需，要么是法律义务——没有第三条“灰色地带”。
我的建议：
如果你的供应商同时服务中国和欧洲客户，建议在合同中明确区分两套合法性基础。不要试图用一套逻辑覆盖两个法域。我曾经帮一家SaaS公司改合同，他们原来只写了“基于合法利益处理数据”，结果中国客户的法务直接拒签——因为PIPL不认这个。
4.3 供应商场景下的“数据主体权利”差异
数据主体有哪些权利？两部法律都规定了知情权、访问权、更正权、删除权等。但具体到供应商场景，有几个差异值得注意。
GDPR的“被遗忘权”：数据主体有权要求删除其个人数据，而且供应商有义务“通知”其他处理者删除。这意味着，如果你的供应商把数据又转包给了下级供应商，那它得负责把删除请求传递下去。我在项目中遇到过一家营销供应商，他们用了五六个下级服务商，结果一个用户要求删除数据，他们花了三周才把所有链条上的数据清干净——这就是典型的“供应商链条管理失控”。
PIPL的“删除权”与“撤回同意权”：PIPL也规定了删除权，但更强调“撤回同意”的便捷性。用户撤回同意后，供应商必须停止处理并删除数据。这里有个实操难点：供应商往往把数据存在多个系统里，比如CRM、ERP、数据分析平台。用户撤回同意后，供应商能不能在合理时间内把所有副本都删干净？我建议你在供应商合同中明确约定“数据删除的时限和范围”，最好附上数据映射清单。
注意：
PIPL要求“单独同意”的场景比GDPR更多。比如，向第三方提供个人信息、处理敏感个人信息、向境外提供个人信息等，都需要取得用户的“单独同意”。这意味着，如果你的供应商需要把数据传给它的下级供应商，或者把数据传到境外服务器，你必须确保供应商获得了用户的单独同意——而不是笼统的“一揽子同意”。
4.4 供应商场景下的“跨境数据传输”差异
这是两部法律差异最大的地方之一。如果你的供应商涉及跨境数据传输，那必须打起十二分精神。
GDPR的跨境传输机制：
- 充分性认定：欧盟委员会认定某个国家或地区的保护水平“充分”，数据就可以自由传输。目前中国不在充分性认定名单里。
- 标准合同条款（SCCs）：这是最常用的机制。供应商和接收方签署欧盟批准的标准合同条款。
- 有约束力的公司规则（BCRs）：适用于集团内部传输。
- 例外情形：如数据主体明确同意、履行合同所必需等。
PIPL的跨境传输机制：
- 安全评估：关键信息基础设施运营者、处理100万人以上个人信息的数据处理者、向境外提供10万人以上个人信息等，必须通过国家网信办组织的安全评估。
- 个人信息保护认证：可以申请专业机构的认证。
- 标准合同：与国家网信办制定的标准合同签约。
- 单独同意：必须告知用户境外接收方的名称、联系方式、处理目的、处理方式、个人信息的种类以及向境外提供的影响，并取得单独同意。
你发现没有？GDPR的SCCs是“备案制”，签了就能用。而PIPL的标准合同是“备案+监管制”，签了之后还要在10个工作日内向省级网信办备案。而且，PIPL的安全评估是“审批制”，不通过就不能传。我曾经帮一家金融科技公司做跨境数据合规，他们的供应商在印度，需要把中国用户的交易数据传过去做风控建模。结果发现，按照PIPL，这属于“向境外提供个人信息”，而且数据量超过了10万人，必须做安全评估。整个流程走了将近半年——这就是现实。
一句话总结：
GDPR的跨境传输更灵活，但要求“持续保护”；PIPL的跨境传输更严格，强调“事前审批”。如果你的供应商涉及跨境数据，建议优先考虑在中国境内完成数据处理，实在不行再走跨境路径。
4.5 供应商场景下的“处罚与责任”对比
最后，咱们聊聊最现实的问题：如果供应商违规了，谁担责？
| 维度 | GDPR | PIPL |
|---|---|---|
| 最高罚款 | 2000万欧元或全球年营收的4%（取高者） | 5000万元人民币或上一年度营收的5%（取高者） |
| 责任主体 | 数据控制者（你）和数据处理者（供应商）都可能被罚 | 个人信息处理者（你）和受托方（供应商）都可能被罚 |
| 连带责任 | 控制者对处理者的行为负责，但处理者也有直接责任 | 处理者造成损害的，承担连带责任；处理者有过错的，承担相应责任 |
| 个人赔偿 | 数据主体有权要求物质和精神损害赔偿 | 数据主体有权要求损害赔偿，包括精神损害赔偿 |
这里有个容易被忽略的点：PIPL的罚款上限是“上一年度营收的5%”，而GDPR是4%。别小看这1%的差距，对于大型企业来说，可能就是几亿甚至几十亿的差距。而且，PIPL还规定了“情节严重的，可以责令暂停相关业务、停业整顿、吊销相关业务许可或者吊销营业执照”——这是GDPR没有的“杀手锏”。
我记得有一次，一家电商平台的供应商泄露了用户数据，平台方被罚了2000万。供应商呢？因为合同里没约定清楚责任划分，供应商只赔了50万就了事了。平台方气得跳脚，但没办法——合同没写好。所以，我建议你在供应商合同中，一定要明确约定数据泄露的责任划分、赔偿上限、以及供应商的保险要求。
避坑指南：
我曾经帮一家企业审供应商合同，发现他们只写了“供应商应遵守相关法律法规”，但没写具体违反哪条、怎么罚。结果供应商出了事，双方扯皮了半年。后来我建议他们改成：“供应商违反《个人信息保护法》第XX条，导致甲方被处罚的，供应商应承担全部罚款及甲方因此产生的合理费用。”——这样写，责任就清晰多了。
4.6 实战建议：如何同时满足PIPL和GDPR？
如果你的供应商同时服务中国和欧洲市场，那你就得同时满足两套要求。我个人的经验是：取高者，做兼容。
- 合同条款：在供应商合同中，同时引用PIPL和GDPR的要求。比如，数据保护条款里既写“遵守《个人信息保护法》”，也写“遵守《通用数据保护条例》”。
- 数据映射：要求供应商提供完整的数据映射，包括数据流向、存储位置、处理目的、合法性基础等。这样，你才能判断哪些数据受PIPL管，哪些受GDPR管。
- DPA（数据处理协议）：建议签署一份同时满足PIPL和GDPR要求的DPA。GDPR的DPA模板可以直接用，但需要补充PIPL特有的要求，比如“单独同意”“安全评估”“数据保护官”等。
- 定期审计：不要签完合同就完事了。我建议每半年对供应商做一次数据合规审计，重点检查数据跨境传输、用户权利响应、数据泄露应急响应等环节。
嗯，这一讲的内容就到这里。PIPL和GDPR的差异，说白了就是“中国更强调事前审批和单独同意，欧盟更强调持续保护和数据主体权利”。你在供应商场景下，一定要根据实际情况，选择最合适的合规路径。下一讲，咱们聊聊《数据出境安全评估办法》——这个可是实打实的“硬骨头”。