2、隐私法规与合规要求：GDPR、CCPA、个人信息保护法核心条款解读

做隐私SDK，绕不开法规。说白了，合规不是法务的事，是代码里的事。我2018年刚接触GDPR时，以为只是多弹个窗，后来被客户审计怼了一回才明白——条款里的每句话都可能变成你代码里的if-else。这一章我带你过一下三大法规的核心条款，重点说清楚哪些条款直接影响你的SDK实现。

GDPR：全球最严的隐私标准

GDPR全称《通用数据保护条例》，2018年5月生效。它的管辖范围极宽，只要涉及欧盟境内数据主体的个人数据，无论你的服务器在哪，都受约束。

核心条款速览

• 第3条（地域范围）：只要处理欧盟居民的个人数据，就得遵守。我在项目里遇到过一家东南亚的SDK公司，以为不设欧盟服务器就没事，结果被罚了2000万欧元。
• 第5条（数据处理原则）：合法性、公平性、透明性。说白了，你得告诉用户你拿了什么、为什么拿、怎么用。
• 第6条（合法性基础）：同意是其中最常用的。注意，GDPR的同意必须是“自由给出、具体、知情、明确”。预选勾选框不算。
• 第17条（被遗忘权）：用户要求删除数据，你必须在合理时间内完成。SDK得准备好delete接口。
• 第20条（数据可携权）：用户可以要求以结构化、常用、机器可读的格式获取数据。JSON是主流。
• 第35条（数据保护影响评估，DPIA）：如果SDK处理大量敏感数据或进行自动决策，必须做DPIA。

CCPA/CPRA：加州隐私权利法

CCPA 2020年生效，CPRA是它的增强版（2023年生效）。它主要针对加州居民，但实际影响全美甚至全球业务。

核心条款速览

• “卖”的定义：CCPA把“卖”定义得很宽，包括共享数据以获取有价值的对价。很多SDK的广告变现行为直接命中。
• 消费者权利：知情权、删除权、选择不出售权。你必须在首页提供“Do Not Sell My Personal Information”链接。
• 敏感个人信息：CPRA新加了敏感个人信息分类，包括精确地理位置、种族、健康数据等。处理这些需要更严格的限制和信号。
• 罚则：每次违规最高7500美元（CPRA）。对SDK厂商来说，用户量一大就是天文数字。

中国个人信息保护法（PIPL）

PIPL 2021年11月生效。它和GDPR有相似之处，但在同意机制、跨境传输、敏感信息定义上有显著差异。

核心条款速览

• 第6条（最小必要）：处理个人信息应当具有明确、合理的目的，并限于实现处理目的的最小范围。SDK请求权限必须逐项说明原因。
• 第14条（单独同意）：处理敏感个人信息、向第三方提供、跨境传输等情形需要单独同意。不能放在一个通用同意弹窗里。
• 第23条（第三方委托处理）：SDK集成方要明确约定处理目的、方式、范围，并监督处理活动。
• 第38-40条（跨境传输）：关键信息基础设施运营者和处理达到国家网信部门规定数量的个人信息，应当在境内存储，出境需通过安全评估等。
• 第66条（罚则）：情节严重的，处五千万元以下或上一年度营业额百分之五以下罚款。我曾帮一家游戏SDK整改，就是因为没做单独同意弹窗，被监管约谈。

三大法规关键对比

这张表我建议你收藏。你想想看，同样一个“用户删除数据”的请求，GDPR要求30天内完成，CCPA是45天，PIPL没有明确时限但要求及时响应。SDK实现时最好统一成14天，取最严的。