加拿大隐私专员发布第三方服务提供商PIPEDA评估指南：首次将AI训练数据来源纳入供应商尽调

指南首先要求识别所涉个人信息，对敏感信息保持更高审查强度，其定义涵盖健康信息、金融数据、族裔与种族出身、政治观点、基因数据、神经数据、唯一识别性生物识别数据、性取向信息与宗教信仰。同时提示：公开可得信息并不当然豁免PIPEDA；对供应商声称已匿名化的数据集，应追问具体方法并评估可否再识别。

最具新意的是“确认训练数据来源”一项：若供应商技术依赖训练数据（例如训练AI算法或测试其功能），应索取数据来源与收集方式信息，并判断该来源是否符合PIPEDA及采集地法律要求。这把供应商尽调从合同关系向上游延伸至供应商自身的数据供应链。在“确认数据用途”项下，若供应商拟将个人信息用于自身目的（训练算法为首要示例），须评估是否需另行取得同意。

其余要点包括：绘制包含分包商与云存储位置的数据流图；识别已知技术风险如系统性偏见、安全漏洞与不准确或歧视性输出；确认分包商并以书面列明、要求其承担同等隐私标准；评估境外收集与传输的保密性、完整性与安全风险；审查技术、物理与行政控制及泄露响应分工；评估供应商锁定以及较少被关注的“锁出”风险（供应商停业导致无法取回个人信息）；明确留存、备份、归还与销毁安排，并建立访问日志、报告、测试、检查与独立审计等持续监督机制。指南不具强制约束力，公开征求意见至2026年12月4日。