第2章 隐私法规基础精讲：GDPR、CCPA与中国个人信息保护法
说实话，做SDK合规治理，最头疼的不是技术实现，而是全球那么多隐私法规，条款又长又绕。我这些年对接过十几家合规团队，每次都会先拉一张表，把GDPR、CCPA、中国个人信息保护法（PIPL）的核心差异摆在桌面上。
嗯，这一章我们就把这三部法规的硬骨头啃下来。你不需要当律师，但得知道SDK在什么场景下会踩雷。
GDPR关键条款：同意、数据最小化、目的限制
GDPR（General Data Protection Regulation）于2018年5月25日生效，罚款上限是全球年营收的4%或2000万欧元，取高者。当年很多美国公司连夜改了隐私政策，我记得有个客户问我：“我只接欧洲用户几条日志，至于吗？”——后来他们被投诉了，合规成本翻了十倍。
同意（Article 7）
说白了，你不能搞“一揽子同意”。用户必须对每个处理目的单独勾选。我遇到过一个场景：SDK初始化时弹出“同意隐私政策”，里面藏着“我们可能会把数据发给广告商”——这肯定违规。
具体实现上，你要做到三点：
- 每个处理目的有独立勾选框
- 用户撤回同意必须跟给出同意一样容易
- SDK暂停所有处理直到用户明确动作
数据最小化（Article 5(1)(c)）
你只能收集业务所必需的最小字段。比如你做一个天气SDK，只需要城市级别的位置，就别拿精确GPS。我见过一个开发者在SDK里传了用户通讯录，原因是“以后可能要用”——这就是典型的“囤数据”思维，GDPR下直接吃罚单。
怎么落地？接口设计时只接受必要参数。举个例子：
// ❌ 错误：直接传整个用户对象
func trackEvent(user: User) {
send(user.name, user.email, user.deviceID, user.phone)
}
// ✅ 正确：只传业务需要的字段
func trackEvent(userID: String, event: String) {
send(userID, event)
}我个人习惯在SDK的文档里明确标注“必填字段”和“可选字段”，并给一个建议值。这样对方集成时就不会乱传数据。
目的限制（Article 5(1)(b)）
收集时的用途必须跟你告知用户的一致。如果你在隐私政策里写“用于分析崩溃”，就不能偷偷拿去做用户画像。我曾经在审计一个第三方SDK时发现，它把位置数据传给了一家完全没列明的数据分析公司。结果厂商被罚了，SDK被下架。
你想想看，如果你的SDK被内嵌在其他App里，App开发者信任你，你却把数据用于未申明的目的，责任可是连带的。
CCPA消费者权利
CCPA（California Consumer Privacy Act）2020年生效，适用对象是任何处理加州居民个人数据且年收入超过2500万美元的企业，或者买卖5万条以上记录的企业。跟GDPR最大的区别是——它直接给了消费者一堆“控制权”。
知情权
消费者有权知道你收集了哪些类型、来源、用途、是否被出售。SDK必须提供接口让App开发者能一键查询当前收集的字段列表。我记得有个项目，对方要求我们在SDK里内置一个“Privacy Dashboard”，显示所有数据字段和保留时间。我们当时的做法是：
// 提供查询接口
interface PrivacyProvider {
fun getCollectedDataTypes(): List<DataType>
fun getDataRetentionPeriod(): Map<DataType, Int>
fun getThirdPartySharingList(): List<String>
}嗯，接口设计不复杂，但维护起来麻烦——每次新加字段就要更新文档。
删除权
消费者可以要求企业删除他的数据。SDK需要支持“删除请求”的批量处理。我踩过一个坑：当时我们只做了单用户删除，结果对方审计时发现，同一个用户在不同设备上登录，我们只删了当前设备的缓存，服务端的历史数据还留着。后来我们改成了全局删除，以用户ID或邮箱为唯一标识。
选择退出权（Opt-Out）
企业必须提供“Do Not Sell My Personal Information”链接。对于SDK来说，如果你的代码里有“数据出售”行为（比如传给广告商作为对价），就得提供开关。我建议在SDK初始化时加入一个配置：
// SDK初始化配置
let config = SDKConfig()
config.enableDataSale = false // 默认关闭数据出售
SDK.start(config)这样App开发者可以根据自己的隐私政策决定是否启用。
中国个人信息保护法核心要求
PIPL（Personal Information Protection Law）2021年11月1日实施。跟GDPR相似度很高，但有几个“中国特色”你要注意。
- 告知同意：需要单独同意，且不能以“拒绝提供服务”为由强制用户同意非必要信息。比如一个计算器SDK要收集位置？用户不同意就不给你算——这不合法。
- 最小必要原则：跟GDPR一样，但PIPL更强调“对个人权益影响最小”。我个人的经验是：能本地运算就别上传服务器。
- 跨境传输规则：如果SDK把数据传回境外服务器，需要通过安全评估或获得认证。我曾经参与过一个SDK的出海项目，数据要回传到美国，结果发现没有做跨境传输备案，被监管约谈。
| 法规 | 同意要求 | 数据最小化 | 特殊权利 | 罚款上限 |
|---|---|---|---|---|
| GDPR | 每个目的单独勾选 | 业务必需 | 被遗忘权、数据可携带权 | 4%全球年营收 |
| CCPA | Opt-Out为主 | 合理必要 | 知情权、删除权、选择退出 | 单次$2,500~$7,500 |
| PIPL | 单独同意，拒绝不设限 | 最小必要，无歧视 | 异议权、删除权、跨境传输知情 | 5000万人民币或上年营业额5% |
统一要点：无论哪个法规，SDK设计时必须考虑“数据生命周期”——收集、存储、使用、传输、删除。你做SDK的时候，每个环节最好都留一个hook，方便App开发者实现合规逻辑。
最后说一句：法规是活的，判例也在变。你对接某个条款时，最好拉上法务一起过一遍。我自己每次集成新SDK，都会先给一份《数据流图》，标注每个字段的来源、用途、存储位置、传输目的地——这张图能帮你避开80%的合规坑。