DPO 为何必须评估匿名化工具
GDPR 要求对高风险处理活动开展数据保护影响评估（DPIA）。大规模个人数据处理属于高风险活动，匿名化工具作为数据处理者，受处理者相关规则约束，上线前必须完成评估。
合规的核心有两点：处理者须提供「充分的安全保障」；所有处理活动须以书面合同为依据。作为 DPO，你需要记录工具的安全控制措施、分包处理者情况、文件托管地点、数据泄露处理机制以及数据处理协议（DPA）。
ISO 27001 认证可大幅减轻评估工作量。BSI 研究发现，获得认证的企业在安全调查问卷上的处理时间可缩短 73%；Gartner 数据显示，78% 的财富 500 强企业在采购招标中要求供应商持有 ISO 27001 认证。选择已认证工具，你可以直接引用认证证书，无需逐项核查控制措施；未认证工具则需要更大量的人工审查。
七项核查要点
以下清单适用于任何匿名化工具或供应商的评估工作。
**1. 数据处理协议（DPA）。**是否签署了符合 GDPR 要求的 DPA？协议应涵盖：仅按你的指令处理数据、尽职保护义务、安全措施、分包处理者管控、协助履行数据主体权利、数据归还或销毁、审计权利。
**2. 安全文档。**安全措施是否有书面记录？ISO 27001 认证供应商可提供认证证书及适用性声明（SoA），该文件即可满足审查要求。
**3. 分包处理者名单。**工具是否使用了分包处理者？相关方是否已明确列明？你有权要求提前获知任何变更通知。云服务商、CDN 和 OCR 工具均属于分包处理者，未披露的分包处理者是常见的合规漏洞。
**4. 文件托管地点。**你的数据是否托管在欧盟境内？对于欧盟企业而言，欧盟境内托管是最简便的合规路径。仅在你的设备上处理文件的工具同样合规——不会从设备发送任何内容。anonym.legal不属于此类：其检测在托管于欧盟的API上运行。采用美国供应商则需要标准合同条款（SCC）。
**5. 数据泄露通知机制。**供应商将在多长时间内通知你泄露事件？GDPR 要求在 72 小时内向监管机构报告，而供应商必须在此之前告知你。请确认 DPA 中已明确写入这一条款。
**6. 供应商自身 DPIA。**供应商是否已完成自身的 DPIA？你是否可以查阅？若供应商缺少 DPIA，将直接影响你自身记录的完整性——这是常见的合规缺口。
**7. 删除权与数据携带权。**供应商是否能够协助处理删除权和数据携带权请求？零知识工具不存储任何文件，删除权请求可能不适用，但 DPIA 中须对此作出明确说明。
优质供应商应能提供四份文件：ISO 27001 认证证书、欧盟托管证明、其自身 DPIA 副本以及已签署的 DPA。这四份文件可填补你自身 DPIA 中的所有空白，足以通过监管审查。
请参阅我们的 DPO 常见问答，了解供应商评估中的常见问题解答。