数据隐私法规基础：GDPR、CCPA、PIPL 核心对比

聊数据合规，绕不开三大法规：欧盟的 GDPR、加州的 CCPA、以及咱们中国的 PIPL。

很多人一上来就抠条文，其实没必要。我个人习惯先抓三个东西：适用范围、用户权利、罚则。把这三点理清了，后续集成 SDK 的合规设计就有了锚点。

一、适用范围：你的 App 归谁管？

先看一张我整理的对比表，一目了然：

维度	GDPR	CCPA（及 CPRA）	PIPL
地域原则	属地 + 属人	属地为主	属地 + 属人
管辖对象	在欧盟境内设立的数据控制者/处理者；或向欧盟境内数据主体提供商品/服务、监控其行为	在加州开展业务，且满足年收入/数据量/收入占比任一门槛的营利性实体	在中华人民共和国境内处理自然人个人信息；或向境内自然人提供产品/服务、分析评估其行为
个人定义	数据主体（宽泛，包括任何可识别自然人）	消费者（特指加州居民，商业场景下）	个人信息主体（宽泛，包括任何已识别或可识别的自然人）
典型场景	你的 App 面向欧盟用户，或使用了欧盟用户的个人数据	你的公司年收入超 2500 万美元，或买卖/分享 10 万+ 加州居民个人信息	你的 App 在中国境内运营，或收集了中国用户的个人信息

二、用户权利对比：谁给了用户更多“掌控感”？

用户权利，说白了就是用户对自己的数据有多大控制权。这里差异挺大，你想想看：

• 知情权：三大法规都要求告知收集、使用目的。但 GDPR 要求“清晰、具体、明确”，PIPL 要求“显著、清晰、易懂”，而 CCPA 在 2020 年生效后要求“通知 at or before collection”。深度上 GDPR 和 PIPL 更严。
• 删除权（被遗忘权）：
  • GDPR：条件最多，比如数据不再必要、撤回同意、非法处理等。
  • CCPA：门槛高一些，主要是安全事件或直接销售场景。
  • PIPL：规定了五种法定情形，且要求删除后通知其他处理者。
• 可携带权：GDPR 明确支持，要求以结构化、通用、机器可读格式提供。PIPL 也规定了可携带权（在符合国家网信部门规定的条件下）。CCPA 则主要强调“请求知晓”和“请求删除”，可携带权相对弱一些。
• 拒绝权：GDPR 允许用户拒绝基于“正当利益”的处理；CCPA 允许用户“选择退出”个人信息的销售；PIPL 自动化决策场景下用户有权拒绝仅通过自动化决策方式做出对个人权益有重大影响的决定。

三、处罚力度：罚款不是闹着玩的

合规不是为了应付检查，是真实的经济账。三个法规的罚则差异巨大：

法规	处罚上限	补充说明
GDPR	2000 万欧元或全球年营收的 4%（取高者）	按违法类别分两档：一般违法 1000 万欧或 2%；严重违法 2000 万欧或 4%
CCPA	每次故意违规 7500 美元；每次非故意违规 2500 美元	加州总检察长提起民事诉讼；另有私人诉讼权（数据泄露场景，每次事件 100~750 美元）
PIPL	5000 万元人民币或上一年度营业额 5%	情节严重可责令暂停业务、吊销许可证；直接责任人罚款 10~100 万元

四、核心合规逻辑框架图

下面这张图总结了我对三大法规核心合规逻辑的理解。你看完应该能抓住它们各自的「灵魂」：

五、避坑指南：集成 SDK 时最容易踩的雷

• 责任边界不清： 很多团队以为用了合规 SDK 就万事大吉。错！SDK 只是工具，你作为 App 开发者（控制者）依然要承担最终责任。举个例子，SDK 擅自开启后台定位收集，用户投诉的是你，不是 SDK 厂商。
• 同意机制“一层皮”： 有些 App 只做一个“同意隐私政策”的 checkbox 完事。但 GDPR 和 PIPL 都要求对敏感信息的收集单独取得“明确同意”。我的建议是：对位置、通讯录、相册等敏感权限，必须逐项弹窗获得授权，不要一次性打包。
• 跨境传输无方案： 你的 SDK 数据是否传到了境外服务器？如果涉及中国用户数据，PIPL 要求进行安全评估或通过标准合同。别等到被通报了才补救。