数据保护领域的第三方风险管理（Third-Party Risk Management）

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

对于需要与供应商、合作伙伴和服务提供商共享个人信息的组织而言，数据保护领域的第三方风险管理已成为一项战略性要求。

什么是适用于数据保护的第三方风险管理

在数据保护语境下谈到第三方风险管理（Third-Party Risk Management，简称TPRM），指的是一个组织为评估、监控和降低与第三方共享个人数据所带来的风险而采取的一整套做法、流程和控制措施。《通用数据保护法》（LGPD，巴西的个人数据保护基本法）对个人数据的控制者和处理者都明确规定了责任，这一概念因此显得格外重要。

实际上，只要企业购买云计算服务、将工资核算外包、使用数字营销工具，甚至只是与会计师事务所共享数据，就已经在一定程度上把个人数据交给了第三方。每一种合作关系都是一个薄弱环节，需要有条理地加以管理。仅仅相信供应商的声誉是不够的，还必须对每个合作方所采取的安全与隐私措施进行核实、记录，并持续跟踪。

数据保护领域的TPRM包含多个环节，从合同签订前的阶段（即初步尽职调查，due diligence），一直到商业关系终止（即核实数据已被安全删除）。这些环节应当被视为一个持续循环中的组成部分，而不是彼此孤立的活动。一个组织在这方面的成熟程度，取决于它能否把这些流程融入自身的公司治理。

数据尽职调查：如何在签约前评估第三方

数据尽职调查是任何第三方风险管理方案的第一根支柱。在签订涉及个人数据处理的合同之前，我们需要对潜在合作方进行严谨的评估，涵盖技术、法律和组织三个层面。评估的深度应与将要共享的数据的数量和敏感程度相称。

第三方风险管理并不会随着合同签署而结束，恰恰相反，它从那一刻才真正开始，需要有持续的监控、可执行的条款，以及一种把数据保护视为共同责任的组织文化来支撑。

从技术角度看，需要核查第三方所采取的信息安全措施是否与所涉风险水平相匹配。这包括分析以下控制措施：传输中和存储中的数据加密、基于最小权限原则的访问管理、事件响应预案、备份与灾难恢复措施，以及定期开展的漏洞测试。ISO 27001和SOC 2等认证可以作为成熟度的初步参考指标，但不能取代细致的分析。

在法律层面，我们会审查第三方是否制定了适当的隐私政策，是否指定了数据保护官（DPO），是否保存了处理活动的记录，以及是否有安全事件的历史记录。我们还会评估其所用服务器的地理位置，尤其是在涉及数据跨境传输时，因为根据LGPD，这种情形需要额外的保障措施。

组织层面的评估则是对分析的补充，主要考察第三方的隐私文化：是否定期对员工进行培训？是否建立了明确的数据治理架构？内部流程是否体现了政策中所作的承诺？这些问题有助于我们区分哪些组织真正把数据保护当作优先事项，哪些组织只是留有一纸形式文件而无实际落实。

结构化问卷与风险评分

尽职调查中的一项基本工具是第三方评估问卷。我们设计的这类问卷以客观问题为主，以便对每个供应商的风险等级进行分类。由此得出的评分将指导决策：被归为高风险的第三方，可能需要更为严格的合同条款、现场审计，甚至直接拒绝签约；而低风险的第三方，只要保持持续监控，则可以适用简化流程。

核心合同条款与治理工具

尽职调查得出积极结论之后，合同的正式订立就在风险管理中居于核心地位。合同（或称数据处理协议，即DPA）必须包含具体条款，把法律义务转化为可执行的承诺。仅仅写上“遵守适用法律”之类的笼统措辞是不够的，我们需要清晰而详尽的约定。

在我们认为必不可少的条款中，值得特别指出的有：对获授权的处理目的作出精确界定；禁止第三方将数据用于自身目的；发生安全事件时须立即通知的义务（并以小时为单位明确期限）；委托方的审计权；转委托的条件（须事先批准）；第三方必须保持的最低技术和组织措施；以及合同终止时返还或安全删除数据的义务。

除主合同外，还建议采用补充性的治理工具。LGPD规定的《个人数据保护影响评估报告》（RIPD），在共享涉及高风险处理时应当编制。该文件分析处理的必要性和相称性，识别对数据主体的风险，并确定减轻风险的措施。尽管国家数据保护局（ANPD）仍在对RIPD的具体事项作出规范，但自愿编制该报告体现了应有的审慎，并可在可能发生的监管检查中作为抗辩依据。

包含隐私指标的服务水平协议（SLA）

将隐私与安全指标纳入SLA，是一种能显著强化治理的做法。我们会设定诸如事件响应的最长时间、接受过数据保护培训的员工比例、渗透测试的频率，以及响应数据主体请求的处理时间等指标。这些指标为第三方在整个合同关系期间保持高标准创造了切实的激励。

持续监控与第三方生命周期管理

第三方风险管理是一个动态过程，需要持续关注。监管环境、供应商的组织架构、网络威胁形势，乃至所共享数据本身的性质发生变化，都可能显著改变一段合作关系的风险状况。因此，我们建立了定期复评的周期，把上述所有因素都考虑在内。

持续监控可以有多种形式。在最规范的做法中，我们会开展定期复评（高风险第三方每年一次，其他第三方每两年一次），以适当缩小的规模重复最初的尽职调查流程。在这些正式复评之外，我们还会关注公开信息来源，例如与该供应商有关的数据泄露新闻、其管理层或股权结构的变动，以及其隐私政策的更新。

监控的另一个重要环节，是切实行使合同中约定的审计权。许多组织虽然写入了这一条款，但在实践中很少真正行使。建议在合同有效期内至少进行一次审计（根据风险等级，可采取现场或远程方式），重点核实第三方在尽职调查期间所declared的措施是否确已落实。

与第三方终止合作关系同样值得特别重视。我们会核查数据是否已按合同约定返还或删除，要求提供该过程的书面证据，并保存整个保管链的记录。终止处理不当，可能使个人数据滞留在失去控制的环境中，由此产生的风险会在合同结束之后长期存在。

实践中的挑战与实施建议

建立一套完善的数据保护TPRM方案并非易事，对资源有限的中型组织而言尤其如此。我们发现了几类反复出现的挑战，本所也提供了克服这些挑战的实用建议。

第一个挑战是需要评估的第三方数量庞大。许多组织涉及个人数据的合作关系多达数十甚至数百个。解决办法是按风险等级分类：优先处理那些接触敏感数据、处理大量信息，或对业务承担关键职能的第三方。风险较低的第三方可以通过简化流程来管理，例如采用更简短的问卷和频率更低的复评。

第二个挑战是供应商不愿填写详尽的问卷，或不愿接受严格的合同条款。例如，大型技术服务商往往提供格式合同，协商空间很小。在这种情况下，需要对其提供的条款依照法律要求进行分析，并将可能存在的缺口记录为“已接受的风险”，同时尽可能采取补偿性措施（例如由委托方自行实施额外加密）。

第三个挑战涉及法务、信息技术、合规和采购团队之间的协同。有效的TPRM需要多学科协作，而组织内部的部门壁垒会损害评估的质量。建议设立专门的委员会或工作组，由所有相关部门的代表参加，并明确界定流程中的角色与职责。

最后，值得强调的是，要以有序且便于查阅的方式记录整个流程。LGPD采纳了问责与责任承担原则（accountability），这意味着仅仅采取良好做法是不够的，还必须能够证明这些做法确已采取。详尽的尽职调查记录、条款恰当的合同、监控证据和审计报告，共同构成了证明组织合规性的证据材料，使其在ANPD和数据主体面前站得住脚。

这一主题与完整指南直接相关，我们已在专门的文章中对其进行了探讨。

为方便您进一步阅读，也请参阅本所关于LGPD中的敏感数据的文章。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.