第1章：GDPR法规概述——发展历程、核心目标与适用范围
各位工程师朋友，今天我们来聊聊GDPR。说实话，这玩意儿刚出来那会儿，我还在做欧洲客户的数据合规项目，整天被律师和法务追着改日志策略。嗯，那阵子可真是焦头烂额。
GDPR全名叫《通用数据保护条例》，2018年5月25日正式生效。它不是凭空冒出来的——前身是1995年的《数据保护指令》。你想想看，二十多年才升级一次，这次是动真格的了。
1.1 发展历程：从指令到条例
让我用一张图把整个脉络讲清楚。下面这张框架图，是我在项目里梳理知识点时经常用的。
看到这张图了吗？从1995年的老指令到2018年的新条例，中间经历了足足四年立法拉锯。我参与过一个项目，客户几年前的数据存储方式完全符合老指令，但GDPR一出来，光日志保留策略就改了三次。
1.2 核心目标：保护的是“人”，不是“数据”
很多人以为GDPR是在保护数据。不对。它保护的是数据背后那个自然人。说白了，你的姓名、身份证号、浏览记录、甚至IP地址，只要能被识别到具体的人，就受保护。
| 核心目标维度 | 具体内容 | 对审计日志的意义 |
|---|---|---|
| 权利保护 | 数据主体有权被告知、访问、更正、删除自己的数据 | 日志必须记录这些操作的执行结果 |
| 风险控制 | 确保数据处理的合法性、安全性、最小化 | 日志用于事后审计 + 实时告警 |
| 责任追溯 | 控制者需证明合规，监管机构可调查 | 日志就是合规证据链的核心 |
我的经验：有一次做审计，客户说“我们日志全都有”。结果一查，时间戳用的是服务器本地时间，没做NTP同步——两个日志之间差了三分钟，审计直接判不合规。所以啊，日志质量比数量重要。
1.3 适用范围：别以为跟中国公司没关系
很多人觉得GDPR只管欧洲公司。错。它的适用范围是属地+属人双重逻辑：
- 属地：只要在欧盟境内设立机构，不管数据处理发生在哪，都受管辖。
- 属人：不在欧盟设立机构，但向欧盟境内的个人提供商品/服务（即使免费）或监控其行为，也要遵守。
举个例子：你做一个电商网站，用户在中国，但偶尔有法国人来浏览，你的网站有法语版、支持欧元支付——恭喜你，已经触发了属人管辖。我见过不少初创公司，产品没在欧洲卖，但为了方便用户搞了个英文版，结果被法国CNIL盯上了。
⚠️ 避坑指南：我曾经接手一个海外项目，客户说“我们服务器全在亚洲，不涉及欧洲数据”。结果一查，他们的客服系统绑定了欧洲用户的邮箱和IP地址，而且日志里明文存储了用户密码哈希前的原始值。那场景……嗯，审计报告写了整整30页整改项。
1.4 六大原则与日志审计的关系
GDPR第5条列出了六个处理原则，每个原则都直接指向日志审计的具体要求：
- 合法性、公正性、透明性——日志得记录用户同意/撤回同意的过程。
- 目的限制——数据用于什么目的，日志里需要能追溯到。
- 数据最小化——不能存多余字段，日志自己也得遵守。
- 准确性——你有义务让数据正确，日志里体现修正操作。
- 存储限制——数据不能永久保留，日志也要有生命周期。
- 完整性、保密性——日志本身不能被篡改，加密传输是基本要求。
提示：我个人习惯在日志系统中加一个data_retention_policy字段，每次写入时带上保留期限的标记。这样后续做自动清理和审计巡检都会方便很多。别等到审计时再手动翻。
1.5 本章小结：一张表格看清GDPR全貌
| 维度 | 关键点 | 对日志巡检的启示 |
|---|---|---|
| 生效时间 | 2018年5月25日 | 所有此日期后的日志都要符合新规 |
| 适用主体 | 数据控制者、数据处理者 | B2B 服务商也可能承担连带责任 |
| 数据主体权利 | 访问、更正、删除、可携带、反对、限制处理 | 日志需支持按用户ID快速检索 |
| 罚款上限 | 2000万欧元或全球年营收4% | 日志缺失或篡改会直接加重处罚 |
嗯，这就是GDPR的底子。后面每一章，我们都会拿着这张底图去对照具体的日志巡检清单。从下章开始，我会手把手带你梳理「访问控制日志」的检查项。
先消化这些，接下来我们就要下地干活了。