《第三方供应商数据合规管理实战课程》
第3章 供应商分类分级
3. 供应商分类分级：基于数据接触类型的供应商分类与风险等级划分
3.1 基于数据接触类型的供应商分类
在数据合规框架下，供应商根据其对个人信息的接触深度与处理自主权，可划分为以下三类核心角色。分类是后续风险评估与合同管控的基础。
| 供应商类型 | 数据接触特征 | 典型场景 | 合规管控要点 | 初始风险等级 |
|---|---|---|---|---|
| 数据控制者 | 直接收集个人信息，决定处理目的与方式 | 自研CRM系统、用户行为分析平台、营销自动化工具 | 需签署DPA，明确控制者责任；开展PIA；提供用户权利响应接口 | 高 |
| 数据处理者 | 按控制者指令处理，不自主决定目的 | 云服务器托管、短信/邮件发送服务、数据清洗外包 | 签署DPA，限定处理范围；禁止超指令使用；审计权保留 | 中 |
| 子处理者 | 由处理者转委托，间接接触数据 | CDN加速节点、日志分析子服务商、AI模型推理子供应商 | 需获得控制者书面授权；子处理者清单管理；连带责任约束 | 中-低 |
⚠️ 实务提示： 当供应商同时承担多重角色时（如既提供云服务又提供数据分析），应按照最高风险角色进行管控，并在合同中明确各角色的边界。
3.2 风险等级划分标准
在供应商分类基础上，结合数据敏感度、处理规模、安全能力、跨境传输四个维度，将供应商划分为三个风险等级。以下为量化评分矩阵：
📋 风险等级划分标准表
| 风险等级 | 综合评分区间 | 典型特征 | 管控要求 |
|---|---|---|---|
| 高风险 | ≥ 75分 | 处理敏感个人信息（生物识别、金融、医疗）；数据量≥100万条/年；存在跨境传输；安全认证缺失 |
|
| 中风险 | 45 - 74分 | 处理一般个人信息；数据量1万~100万条/年；无跨境传输；有基本安全措施 |
|
| 低风险 | < 45分 | 仅接触元数据/脱敏数据；数据量≤1万条/年；不涉及跨境；通过ISO 27001等认证 |
|
📌 风险等级划分计算公式（参考）
风险总分 = (数据敏感度得分 × 35%) + (处理规模得分 × 25%) + (安全能力得分 × 25%) + (跨境传输得分 × 15%) 其中： - 数据敏感度得分：敏感个人信息=100分，一般个人信息=50分，匿名化/脱敏数据=10分 - 处理规模得分：≥100万条/年=100分，1万~100万条/年=50分，<1万条/年=10分 - 安全能力得分：无认证=100分，有基础认证=50分，通过ISO 27001/等保三级=10分 - 跨境传输得分：涉及跨境=100分，不涉及=0分 等级判定：总分 ≥ 75 → 高风险；45 ≤ 总分 < 75 → 中风险；总分 < 45 → 低风险
💡 最佳实践建议：
- 动态调整：供应商风险等级应每半年复核一次，当发生数据泄露、业务变更、法律更新时立即重新评估。
- 分级管控：高风险供应商应纳入重点监控名单，实施更严格的准入与退出机制。
- 合同映射：风险等级直接决定合同条款的严格程度，高风险供应商需包含数据本地化、删除承诺、违约金等条款。
- 工具化：建议使用供应商风险管理平台（如OneTrust、TrustArc）实现评分自动化与预警。