《第三方供应商数据合规管理实战课程》
第2章 法律法规全景
2、法律法规全景：GDPR、CCPA、中国《数据安全法》、《个人信息保护法》核心条款解读
📌 课程导入： 第三方供应商数据合规管理，首先需要建立全球法律视野。GDPR、CCPA、中国《数据安全法》与《个人信息保护法》构成了当前全球数据治理的“四梁八柱”。理解其核心条款，是识别供应商风险、设计合规流程的基石。
📊 四大法律核心条款对比表
📋 供应商管理视角 · 核心条款深度解读
🇪🇺 GDPR 关键条款
- 第28条（处理者）：供应商必须签订书面DPA，明确处理范围、目的、期限，并确保其子处理者同样合规。
- 第32条（安全措施）：供应商需实施适当的技术和组织措施，包括假名化、加密、持续保密性等。
- 第33/34条（泄露通知）：供应商发现数据泄露后须在72小时内通知控制者。
- 第46条（跨境传输）：向第三国传输数据需提供充分保护，SCC是供应商常用工具。
🇺🇸 CCPA 关键条款
- 知情权/删除权/选择退出权：供应商需支持消费者查询、删除其个人信息，并提供明确的“不出售”选项。
- 服务提供商义务：供应商仅可为企业目的处理数据，不得保留、使用或披露超出业务需要的个人信息。
- 合理安全要求：供应商须实施与数据敏感性相匹配的安全程序，否则可能承担私人诉讼。
- 非歧视原则：供应商不得因消费者行使CCPA权利而拒绝服务或差异化定价。
🇨🇳 《数据安全法》关键条款
- 第21条（数据分类分级）：供应商需配合企业识别核心数据、重要数据与一般数据，实施差异化保护。
- 第27条（安全保护义务）：供应商应建立全流程数据安全管理制度，开展风险监测与评估。
- 第31条（重要数据出境）：供应商涉及重要数据出境时，须通过国家网信部门组织的安全评估。
- 第36条（境外执法配合）：未经中国主管机关批准，供应商不得向外国司法/执法机构提供存储于境内的数据。
🇨🇳 《个人信息保护法》关键条款
- 第21条（委托处理）：供应商作为受托方，须签订合同约定处理目的、期限、方式，并采取必要安全措施。
- 第38条（跨境提供）：供应商向境外提供个人信息，需通过安全评估、标准合同或认证之一。
- 第55条（影响评估）：供应商参与委托处理、自动化决策、跨境传输等场景时，需事前进行个人信息保护影响评估。
- 第69条（过错推定）：供应商处理个人信息造成损害，不能证明自己没有过错的，应当承担损害赔偿等侵权责任。
🔄 供应商数据合规生命周期 · 法律要求映射
💡 实战提示： 在与第三方供应商签订合同时，建议将上述法律的核心条款转化为具体的合同义务。例如：在DPA中明确约定供应商的数据泄露响应时限（GDPR 72小时 / PIPL 立即通知）、审计权（每年至少一次）、子处理者变更通知（提前30天书面通知）以及合同终止后的数据删除/返还证明。同时，针对中国法律要求，务必在合同中加入数据分类分级与跨境传输安全评估的协作条款。
📄 供应商数据处理协议（DPA）核心条款示例
// 条款 3.1 处理目的与范围
供应商仅可按照【客户】的书面指令处理个人数据，
不得将数据用于任何其他目的（包括供应商自身业务分析）。
// 条款 5.2 数据泄露通知
供应商在发现涉及个人数据的安全事件后，
应在【72小时】内通知【客户】的数据保护官，
并提供事件详情、影响评估及已采取/拟采取的补救措施。
// 条款 7.3 子处理者管理
供应商如需引入子处理者，应提前【30日】书面通知【客户】，
并获得【客户】的事先书面同意。供应商应对子处理者的
数据保护义务承担连带责任。
// 条款 9.1 审计权
【客户】有权每年【1次】对供应商的数据处理活动进行
现场或远程审计，供应商应提供必要的配合与访问权限。
// 条款 11.2 合同终止后的数据处置
合同终止后【30日内】，供应商应删除或返还所有个人数据，
并向【客户】提供已完成的书面证明。
📌 本节小结： GDPR强调处理者义务与DPA，CCPA聚焦消费者权利与服务提供商限制，中国《数据安全法》突出数据分类分级与安全评估，《个人信息保护法》则细化委托处理与跨境传输。四部法律共同指向：供应商必须建立全生命周期的数据合规管理机制，并通过合同、审计、技术措施将法律要求落地。下一节我们将深入探讨如何基于这些法律要求，构建供应商准入与风险评估的实操框架。