第3章：全球合规法规概览 —— GDPR、中国个人信息保护法、CCPA 核心对比

做 SDK 合规改造，绕不开三个大头：欧洲的 GDPR、中国的《个人信息保护法》、加州的 CCPA。我过去几年经手过好几个跨国的 SDK 项目，每次都要同时满足这三套规则。说句实话，它们之间有不少“貌合神离”的地方——表面看着都讲“同意、告知、数据主体权利”，但细节上能把你绕晕。

这一章我帮你把三套法规的核心骨架拆开，放在一张表里对比。你不需要背诵法条，只要记住那几个会让你集成时踩坑的差异点就行。

3.1 为什么不能“一套方案走天下”

有些人觉得：反正都是保护用户数据，我把 GDPR 的合规要求照搬到个保法上不就行了？嗯，你试试看就知道了。我曾经在一个项目里直接把 GDPR 的“明确同意”机制复制到国内 App 上，结果被法务打回来重做——因为个保法在某些场景下允许“推定同意”加“退出机制”，而 GDPR 更严格。

所以你看，法规背后是不同法系的立法逻辑：

• GDPR（欧盟）—— 偏向“权利本位”，用户对自己的数据有控制权，企业必须证明合规。
• 中国个保法 —— 偏向“管理本位”，强调数据处理的合法性基础、个人信息保护影响评估、国家监管权限。
• CCPA/CPRA（加州）—— 偏向“消费者保护”，核心是知情权和选择退出权，商业目的覆盖范围有限。

下面这张图是我自己整理的三法规核心要素对比，你看一眼就能理解它们各自的侧重点。

3.2 GDPR 核心要点（欧盟）

GDPR 是目前全球最严格的数据保护法规，没有之一。我接触第一个 GDPR 项目时，人家法务直接说：“你们 SDK 的数据处理流程，用户必须在首次启动时有一个‘yes/no’的开关，而且不能默认勾选。” 你看，这就是 GDPR 的“明确同意”精神。

几个关键点你必须记住：

• 同意机制：必须是自由给予、具体、知情、明确指示。不能预勾选，不能捆绑服务。
• 数据主体权利：包括访问权、更正权、删除权（被遗忘权）、限制处理权、数据可移植权等。
• DPO（数据保护官）：如果核心业务涉及大规模监控或特殊数据类型，必须指定 DPO。
• 跨境传输：从 EEA 向第三国传输数据，需要充分性认定或标准合同条款（SCC）。
• 罚则：行政罚款上限为上一财年全球年营业额的 4% 或 2000 万欧元（取更高者）。

3.3 中国个人信息保护法核心要点

中国个保法在 2021 年 11 月生效，我个人认为它对 SDK 的冲击甚至比 GDPR 更大——因为个保法明确了“最小必要”原则，而且对“自动化决策”有专门要求。我记得有一次评审一个广告 SDK 的接口，产品经理想把设备型号、网络状态、位置全采集了，我说：“你处理这么多数据，有哪一个是实现‘展示非个性化广告’所必需的？” 最后砍掉了 60% 的字段。

核心要点：

• 告知同意：同意必须是“自愿、明确、充分知情”，且对于敏感个人信息（如位置、生物识别）需要单独同意。
• 最小必要：收集的个人信息应当限于实现处理目的的最小范围，不得过度收集。
• 个人信息保护影响评估：在委托处理、跨境传输、自动化决策等场景下，事前必须做 PIA。
• 跨境传输：关键信息基础设施运营者和达到一定量的个人信息处理者，数据出境前需通过国家网信办的安全评估。
• 罚则：情节严重的，罚款最高 5000 万元人民币或者上一年度营业额的 5%。

3.4 CCPA 核心要点（加州）

CCPA 在 2020 年生效，2023 年又被 CPRA 强化。它的规则没有 GDPR 那么“重”，但有一些诡异的地方。比如，它要求企业提供一个“Do Not Sell My Personal Information”的链接——注意，不是“同意收集”，而是“选择不出售”。说白了，默认你可以卖数据，用户说停才停。

几个关键差异：

• 消费者权利：知情权（收集什么、卖给谁）、删除权、选择退出权（opt-out）、数据可移植权。
• 服务提供者：SDK 如果只是作为“服务提供者”处理数据（不用于自身目的），则可以不直接向用户展示 CCPA 通知，但需与 App 签订合同约束。
• 门槛：适用于年收入超 2500 万美元、或处理 10 万以上加州居民数据、或 50% 以上收入来自出售个人数据的企业。
• 罚则：每次故意违规罚款 7500 美元，非故意 2500 美元。虽然单笔不高，但群体诉讼能累积成天文数字。

3.5 三法规核心对比表

下面这张表我建议你直接截图贴到团队 wiki 里。每次评审功能需求时，对着表看一眼，就知道哪些条款会冲突。

维度	GDPR	中国个保法	CCPA
同意机制	明确同意（opt-in）	明确同意 + 单独同意（敏感数据）	默认 opt-out（出售可继续）
适用主体	处理欧盟数据主体的任何实体	在境内处理个人信息的组织/个人	达到收入/数据量门槛的企业
数据可移植性	是（通用格式）	是（条件较窄）	是（90天内提供）
删除权/被遗忘权	范围广，需及时响应	存在例外（如履行合同必需）	要求删除，但有业务留存例外
跨境传输限制	SCC / 充分性认定	安全评估 / 标准合同 / 认证	无专门限制（但 FTC 监管）
罚款上限	4% 全球年收入 / 2000万欧	5% 上年营收 / 5000万人民币	$7500/次违规
DPO/负责机构	必须（特定情形下）	建议设立，但未强制	不强制

3.6 实战中的常见冲突点

你真正集成了三地 SDK 后会发现，有些需求是互相打架的：

1. 同意弹窗优先级：GDPR 要求先把 opt-in 弹出来，同意之后才能传数据；CCPA 却允许默认收集，用户主动 opt-out 即可。如果你的 SDK 全球统一用同一个弹窗逻辑，就会出问题。我建议根据用户 IP 或账号注册地判断，分别走不同的同意流。
2. 数据保留期限：个保法要求“处理目的已实现后”删除，但 GDPR 允许基于合法利益保留更长。你在设计 SDK 本地缓存时，最稳妥的做法是让开发者设置一个可配置的 TTL，而不是硬编码 180 天。
3. 隐私政策展示：CCPA 要求专门提供一个“Do Not Sell”链接，且位置要显眼；而 GDPR 要求“尽可能简短”。你提供的隐私政策模板必须带多语言和区域感知功能。