简要回答： 数据从供应商系统泄露时，法律答案不在数据丢失的地点，而在各方角色：租用服务的企业作为数据控制者，仍对客户与监管机关负责；供应商作为处理者，按法律与已签的数据处理协议（DPA）担责。事件发生前签的那份合同，几乎决定了全部损失分摊。
对外责任与内部责任是两回事
依《个人数据保护法》第91/2025/QH15号与第356/2025/ND-CP号议定，控制者决定处理目的与方式，因此对整个处理活动的合法性负主要责任，包括交给供应商的部分；事件发生在供应商处时，企业仍是向数据保护机关通报、处理数据主体请求的责任主体。处理者——供应商——在其受托范围内担责：只按指示处理、落实承诺的安全措施、向控制者通知事件。对外义务履行后，企业依DPA与服务合同向供应商追偿：损害、共同承担的响应成本、因供应商过错而承担的罚款，在约定的责任限额内——限额远低于数据风险是最常见的谈判错误。
DPA须含什么、通知时限如何定
一份达标的DPA需要：供应商可处理的范围与目的；最低安全标准与买方的审计权；供应商在合同写明具体数字的短时限内通知事件的义务——须说清这是良好治理实务下的合同约定，企业不应等某个统一法定时限才行动；对供应商分包商的管控；以及结束时的返还与删除数据。签约前的安全评估应包括：现行安全认证与评估报告、事件历史、加密与访问控制架构、联合响应演练。事件后，供应商的访问日志与取证报告是划分责任的决定性证据，DPA必须保证买方能调取。
供应商风险清单
- 按供应商接触数据的敏感度分类；敏感数据供应商接受最深评估。
- 每个数据供应商单独签DPA，不用采购合同里的笼统保密条款。
- 责任限额与数据风险相称，并为安全违约设例外。
- 定期及每次事件（含未遂）后复评供应商安全。
常见问题
供应商泄露客户数据，责任归谁？
对客户与监管机关，租用服务的企业作为数据控制者负主要责任并履行事件通报。内部关系上，供应商按DPA与合同就自身过错——安全未达承诺、超指示处理——担责，并按约定赔偿损失与响应成本。两层责任互不替代。
外包合同中的DPA需要哪些条款？
允许的处理范围与目的；最低安全标准；审计与日志调取权；具体时限的事件通知义务；分包商管控；终止后保密与数据返还/删除。DPA决定事件时的风险分摊，应作为独立法律附件起草，而不是通用条款里的几行字。
供应商须在多久内通知事件？
按DPA写明的时限——良好治理实务是发现后立即通知、一到两天内，并附初步范围信息。企业不应假定供应商关系有统一法定时限——向机关通报的义务在第91/2025号法律下属于控制者，因此供应商的内部通知必须足够早，让企业能履行自己的义务。
签约前如何评估供应商安全？
按数据敏感度：要求现行安全认证与独立评估报告、核查公开事件历史、评估加密与访问控制架构、审查分包商政策与响应能力。评估结果应写成承诺附件，让供应商对投标时呈现的安全状态负责。
本文已通过 FLAW AI Legal Council 质量审核