1. GDPR 概述：先搞懂这些基础再说合规
说实话，我第一次接触 GDPR 时也挺懵的——一堆欧洲法律条文，感觉离咱们搞技术的很远。直到后来给一家跨境电商做归档方案，客户突然问：“你们的数据归档方案能满足 GDPR 的“被遗忘权”吗？”我当场愣了一下。嗯，从那以后我再也不敢轻视 GDPR 了。
GDPR 的全称是 General Data Protection Regulation，也就是《通用数据保护条例》。它 2018 年 5 月 25 日在欧盟正式生效，取代了 1995 年的旧指令。为什么要有这东西？说白了，以前的数据保护规则太老了，跟不上互联网时代。Google、Facebook 这些巨头天天收集用户数据，用户自己反而没多少控制权。欧盟看不下去了，就搞了这部“史上最严数据保护法”。
1.1 核心原则：简单到只有七个关键词
GDPR 第 5 条列出了七项核心原则，我建议记成“合规七字诀”。你看看下面这个表，我在项目里经常把它贴在工位上。
| 原则 | 核心要求 | 与归档的关系 |
|---|---|---|
| 合法、公平、透明 | 处理数据必须有法律依据，且告知用户 | 归档前必须明确数据来源合法，不能悄悄存 |
| 目的限制 | 收集数据时说明用途，不能超范围使用 | 归档必须与原始目的兼容，不能拿去做新分析 |
| 数据最小化 | 只收集和处理任务必需的数据 | 归档时只保留必要字段，别一股脑全存 |
| 准确性 | 数据必须准确，及时更新或删除不准确的 | 归档后若发现数据有误，必须能纠正 |
| 存储限制 | 数据只保留必要的时间 | 归档系统必须配置自动过期删除策略 |
| 完整性与保密性 | 确保数据安全，防止泄露或丢失 | 归档数据必须加密、备份，且访问受控 |
| 问责制 | 能够证明自己合规 | 归档流程必须留日志、可审计 |
你想想看，这七条原则其实就一件事——让数据主体始终拥有对自己数据的控制权。归档不是把数据扔到冷存储里就不管了，你必须在这七个方面都给用户一个交代。
1.2 适用范围：别觉得跟你没关系
很多国内团队觉得“我们公司不在欧盟，GDPR 管不着”。错！GDPR 的适用范围非常广，我吃过这个亏——一个客户明明在深圳，但因为给法国用户提供服务，照样被当地数据保护机构找上门。
适用范围可以用两句话概括：
- 地域管辖：只要在欧盟境内设有“机构”，无论数据处理发生在哪，都受 GDPR 管辖。
- 效果管辖：即使不在欧盟，但只要向欧盟境内的数据主体提供商品/服务，或者监控他们的行为，就受 GDPR 管辖。
1.3 基本术语：说人话版本
搞归档的，这三个角色必须分清楚：
- 数据主体：就是“我”这个自然人。比如你在淘宝买东西，你就是数据主体。
- 数据控制者：决定“为什么要处理数据”以及“怎么处理”的角色。比如电商平台就是控制者。它决定要不要存档你的订单记录。
- 数据处理者：按控制者指示干活的人。比如你租用了阿里云的归档服务，阿里云就是处理者。它不能自己决定把数据删了或转给别人。
我个人习惯用“房东—租客—物业”来类比：数据主体是房东，控制者是租客（决定怎么用房子），处理者是物业（执行打扫、维修）。别搞混了。
1.4 一张图看懂本章知识体系
下面这张 SVG 图把 GDPR 的立法背景、核心原则、适用范围和角色关系串起来了。建议保存下来，后面每章讲归档策略时都可以回来对照。
1.5 归档不得不防的坑
我曾经踩过的一个坑：有一回帮客户设计冷归档存储架构，他们要求把 5 年前的用户订单都转到磁带库。我心想这不就是备份嘛，没太在意 GDPR。结果欧洲分部的法务跑来问：“你们这个归档方案，用户如果要求删除数据，多少小时内能执行？”我们回答“需要一周”。他们说不行，GDPR 要求无不当延迟，通常 72 小时内必须响应。
后来我们重新设计了归档索引，给每个数据主体分配了可删除标记位，并做了自动化清理触发。现在回想起来，归档系统必须内置“被遗忘权”执行接口，不能是只能写不能删的“黑匣子”。
1.6 本章小结：一句话记住
GDPR 不是一个“管监控”的法律，它是个“管数据全生命周期”的法律。归档只是生命周期里的一环，但这一环必须同时满足：合法、最小化、有限存储、安全保密、可审计。后面每章我都会结合具体归档技术展开，但基础概念打不牢，后面很容易做无用功。