数据提供第三方前开展数据安全评估的内容有哪些，常见问题和做法

业务要接一家新供应商、要把一份表发给合作方、要上一个第三方 SaaS，对接人常被问一句「这个安全吗」，却不知道从哪查起。这篇给数据合规和业务对接人一份可照着走的评估清单：先分清交出去的是什么数据，再核对方能不能接、接了会怎么用，最后落到合同条款和留痕上。也说明了哪些场景这套清单不适用，别把内部自查当成正式评估结论。

业务同事跑来问「这份表发给某供应商，安全吗」，对接人卡在这一步很常见。问题不是不想查，而是不知道查什么、查到哪一步算够。这篇给一份可照着走的核验清单：先把交出去的数据盘清楚，再核对方能不能接、接了会怎么用，最后落到合同条款和留痕上，每步都标了「什么情况下不够用」。

需要先说明一点：本文讲的是对外提供数据前的自查评估口径，不是出具正式评估报告。内部自查能帮你筛掉明显不合适的合作，但涉及重要数据、数据出境或监管明确要求的场景，还得走专门程序。别把自查结论当成正式评估，这是最容易踩的坑。

先把手里的数据盘清楚再谈评估

评估的第一步不在对方身上，在自己手里。先把要交出去的数据按敏感度分档，逐类标注来源和量级。这一步做完，后面很多问题会自己显形：比如你发现表里混着其他客户的信息，那就不是「发给供应商」而是「再分发」，性质完全不同。

• 逐类标注数据来源，是通过什么方式收集的，收集时告知过什么用途
• 确认数据集里有没有混入其他客户或合作方的信息，混合数据集先拆分再谈共享
• 明确对方的数据角色：是替你处理（受托），还是自己拿去用（独立处理），义务落点不同
• 量级也要记：多少条、覆盖多长时间段，这决定出事后的影响半径
• 盘不清就别往下走，先到 /safety 看同类评估的口径说明

判断标准很简单：如果你说不出这批数据的来源、包含哪些人的信息、对方拿去做什么，就还不具备评估条件。这种情况下最该做的不是催对方出安全说明，而是回去补数据清单。

对方这一关查什么

对方这一关分三层看：主体与资质、安全能力、事件处置。对方说自己有安全认证，就要能提供可查证的编号或证明文件；说数据加密存储，就请对方写清加密方式和密钥谁管。口头承诺不算数，能落到书面材料上的才算。

1. 查主体与资质核对营业执照与经营范围是否覆盖该业务，宣称的认证逐项要编号或证书，查不到的就当没有
2. 问安全能力有没有明确的安全负责人、访问权限怎么分配和回收、数据存哪、备份与日志留多久，要求书面说明
3. 问事件处置发生过数据事件怎么通报、多久通知你方、由谁对接，把这些写进沟通记录
4. 辨工具类风险对方是 AI 类工具或中转服务时，额外确认输入数据是否会被用于训练、留存多久，可参考 /safety 里关于中转站数据使用的说明

用途边界与最小化：能少给就少给

这一步最容易被跳过，也最容易省钱省事：字段能删就删、能脱敏就脱敏、能给聚合结果就不给明细。很多合作其实只需要统计结论，业务方却习惯性把原始表整份发过去。交付前多问一句「对方到底要拿这个算什�么」，往往能把数据量砍掉一大半。

• 写清用途：这批数据干什么用、用完怎么办，用途之外的使用一律视为越界
• 最小化交付：先删无用字段，再评估脱敏或抽样，优先交付聚合结果
• 二次流转约束：对方能否再转给下游或分包商，需事先写明并单独取得同意
• 保存期限：约定对方最多留多久，到期删除并给确认
• 退出机制：合作结束时怎么返还、怎么删除、多久内书面确认

不适用的情况也要说清：如果对方是法定的独立处理者，比如依监管要求报送，你能谈的空间主要在看报送范围是否最小、是否有回执，而不是要求对方删改数据。

合同条款和留痕，出事时才用得上

用途和边界谈完了，要落到纸上。合同里至少写清处理目的与方式、保存期限、安全措施、事件通报时限、违约责任和审计权。别用一句「按相关法律法规处理」带过，出了事这句话帮不了你。

留痕同样重要：谁在什么时候交了什么、走了哪个渠道、对方谁签收，这些记录本身就是举证材料。拒绝用个人聊天工具传大批量数据，走企业通道并保留传输记录。业务范围或数据内容变了要重评，别拿旧结论套新场景。

这套清单什么时候不适用

清单不是万能的，以下几种情况单靠它不够：法定报送、司法协助等强制场景走另一套程序，本清单只能作补充；涉及数据出境的还要单独判断出境路径，不能只看第三方安全评估；重要数据和核心数据须按专门制度评估，内部自查结论不能替代。

还有一种可简化的情形：对方只是传输通道、不做留存，而且你方做过实测确认。这时流程可以简化，但简化决定本身要写清理由并归档，否则事后没人能说明为什么当时没评。

评估的价值不在于走完流程，而在于每一步都能说清为什么这样判断。