二、全球主要隐私法规简介：GDPR、CCPA、中国个人信息保护法
说实话，我刚接触数据保护法规时，也被绕晕过。GDPR、CCPA、个信法……每个都几百页，怎么记？
我个人的习惯是：先抓核心逻辑，再看落地影响。别指望背法条，咱们后端工程师的命是打补丁和写接口，不是当律师。但你得知道红线在哪。
下面我把三大法规的核心框架拆开揉碎了讲。每个法规都按这个套路：适用范围、核心权利、合规要点、避坑指南。
2.1 GDPR（通用数据保护条例）
GDPR 是 2018 年欧盟出的。说白了，它是目前全球最严的数据保护法。我参与过一个面向欧洲用户的 SaaS 平台，被它“教育”过。
2.1.1 适用范围
- 地域原则：只要处理欧盟境内个人的数据，无论公司注册在哪，都受管辖。
- 目标原则：向欧盟用户提供商品或服务，或监控其行为，都算。
我曾经见过一个国内电商公司，只卖货给德国华人，以为没事。
结果一个德国用户投诉到当地监管机构，罚金算下来差点让公司破产。
所以，别低估长臂管辖的威力。
2.1.2 数据主体权利（核心）
| 权利名称 | 说明 | API 影响点 |
|---|---|---|
| 知情权 | 告知用户收集了什么、怎么用 | 隐私政策接口需版本化管理 |
| 访问权 | 用户可请求获取自己的数据副本 | 需提供结构化、通用格式的导出接口 |
| 删除权（被遗忘权） | 用户可以要求彻底删除个人数据 | 软删除不够，需物理删除且不可逆 |
| 数据可携带权 | 用户可将数据从一个服务迁移到另一个 | API 需支持 JSON/CSV 格式下载 |
GDPR 第 25 条规定了“设计即隐私”（Privacy by Design）。
这意味着：不是上线后再加隐私功能，而是从数据库建模那一步就要考虑。
我个人习惯在写代码前先画数据流图，标出哪些字段属于个人数据。
2.2 CCPA（加州消费者隐私法案）
CCPA 是 2020 年生效的，算是美国最严格的州级隐私法。你想想看，加州的经济体量很大，很多互联网公司用户都在那。
2.2.1 核心特点
- 消费者定义更广：包括加州居民的家庭成员和设备信息。
- “销售”数据定义宽：口头、书面、电子方式共享给第三方，都算“销售”。
- 同等的服务权利：用户行使权利后，你不能因此降低服务质量。
CCPA 有个我特别留意的地方：豁免期限。
比如企业内部数据传输，或者匿名化信息，一般不适用。
但匿名化必须做到无法重新识别，你想想看，有多少系统真能达到这个标准？
2.2.2 避坑指南
我曾经在对接 CCPA 合规时掉进一个坑——把“不销售”的选项藏得太深。用户要找半天才能关闭数据共享开关。结果监管机构认定为“黑暗模式”（dark pattern），被警告了。
后来我学乖了：退出接口必须显眼，且响应时间不超过 10 天。
2.3 中国个人信息保护法（个信法）
个信法是 2021 年 11 月实施的。它和我们国内开发者的关系最密切。我在好几个项目中参与过个信法合规改造，感触很深。
2.3.1 关键条款
| 条款 | 内容要点 | 我的工程解读 |
|---|---|---|
| 第 6 条 | 最小必要原则 | 别收集无关字段。比如电商 App 要你的通讯录权限，这就不合理 |
| 第 13 条 | 告知-同意制度 | 弹窗不能默认勾选，要用户主动点同意 |
| 第 15 条 | 撤回同意权 | 需提供便捷的撤回通道，且不能影响基本功能 |
| 第 28 条 | 敏感个人信息处理规则 | 敏感数据（生物识别、金融、健康等）需单独同意 |
| 第 38 条 | 跨境传输 | 数据出境需安全评估、标准合同或认证 |
注意：个信法的处罚很重。情节严重的，可处五千万元以下或上一年度营业额 5% 的罚款。
而且会直接记入信用档案，影响企业的上市、融资等。
所以，别把合规只当法务的事，技术侧的实现有直接责任。
2.4 三大法规核心对比
为了方便你对照，我整理了一张对比表。这个表我在做系统设计评审时经常用。
| 维度 | GDPR | CCPA | 个信法 |
|---|---|---|---|
| 适用地域 | 全球（数据在欧盟内） | 加州居民 | 中国境内处理 / 境外处理境内自然人数据 |
| 适用范围 | 任何组织处理欧盟个人数据 | 年营收 > 2500 万美元 / 处理 > 5 万条数据 / 收入50% 来自出售数据 | 所有处理个人信息的组织（含境外） |
| 核心权利 | 访问、删除、可携带、反对自动化决策等 8 项 | 知情、删除、选择退出“出售”、非歧视 | 知情、决定、查阅、复制、更正、删除、撤回同意 |
| 处罚力度 | 全球营收 4% 或 2000 万欧元（取高） | 每次违规 2500 美元（故意）/ 7500 美元（非故意） | 5000 万元或年营业额 5%（取高） |
| 数据跨境 | 需充分的保护水平 / 标准合同条款 | 未单独限制，但销售定义含境外 | 安全评估、标准合同、认证 |
| 同意的形式 | 明确、具体、自愿 | 未要求单独同意，但退出需便捷 | 单独同意（尤其敏感数据） |
我个人有个习惯：在微服务网关层加一个“隐私请求路由器”。
把所有数据主体请求（DSR）统一收敛到一个服务。不管是 GDPR 的删除请求，还是个信法的更正请求，都走同一套工作流。
这样上游业务方不用重复实现，也方便做审计日志。
2.5 本章小结框架图
下面这张图我手画了好几次，终于理清了三大法规的逻辑关系。你可以存下来当脑图用。
画这张图的时候，我特意把“数据可携带权”放在 GDPR 的旁边，因为 CCPA 和个信法对这个权利的表述相对温和。但在实际 API 设计里，三个法规对导出格式的要求其实很像，都是 JSON 或 CSV。嗯，这块后面讲到具体接口时再展开。