GDPR 核心原则：数据保护原则、合法性基础、数据主体权利
说真的，GDPR 刚出来那会儿，不少朋友觉得它就是欧洲人搞的又一套合规枷锁。但我经历过几个跨国项目之后，看法彻底变了。这些原则其实很务实——你把它拆开看，每个条款背后都有血淋淋的教训。
这章我就把最核心的三块掰开讲：数据保护原则、合法性基础、数据主体权利。这三块是 GDPR 的骨架，懂了它们，等保和 GDPR 的融合治理也就顺了。
1. 数据保护原则：七条底线
GDPR 第5条列了七个原则，说白了就是告诉你处理个人数据时「什么该做、什么不该做」。我在给一家电商做整改时，发现他们日志里存了用户完整的信用卡号——这就是违反了「数据最小化」和「存储限制」两条原则。
七个原则速览
- 合法、公平、透明：处理方式不能暗箱操作，用户有权知道你怎么用他的数据。
- 目的限制：当初为什么收集，就只能用于那个目的。别今天收集用来注册，明天拿去搞营销。
- 数据最小化：只收集处理任务必要的数据。比如做用户画像，根本不需要身份证号。
- 准确性：数据错了要及时更新或删除。
- 存储限制：数据保留时间不能超过处理目的所需。我有次看到某家企业把离职员工数据存了十年……这踩雷。
- 完整性与保密性：安全措施要到位，防泄露防篡改。
- 问责制：你得能证明自己遵守了以上所有原则。记录、日志、隐私影响评估，一个都不能少。
这七个原则跟等保2.0的安全通用要求有很大重叠。比如「完整性保密性」对应等保的访问控制和加密，「问责制」对应安全审计和日志管理。我个人习惯在合规差距分析时，把等保条款和GDPR原则拉一张表对照着看，省很多事。
实战技巧：我曾建议客户在数据字典里给每个字段打上「原则标签」，比如「该字段属于目的限制+数据最小化」。这样审核时一目了然，开发人员也清楚边界。
2. 合法性基础：处理的理由必须站得住脚
GDPR 第6条给出了六种合法性基础。没有其中任何一条，处理个人数据就是违法的。你想想看，欧洲监管机构开罚单时，第一条查的就是「你凭什么处理这些数据」。
| 合法性基础 | 适用场景举例 | 注意陷阱 |
|---|---|---|
| 同意 (Consent) | 营销邮件、Cookie 追踪 | 必须是自由给予、具体、知情、明确。沉默≠同意 |
| 合同履行 | 处理用户地址以便发货 | 超出合同范围的处理不能适用此条 |
| 法定义务 | 税务、社保数据报送 | 国内法律要求≠GDPR法定义务，要看具体适用法律 |
| 重大利益 | 紧急医疗救助 | 极少使用，需要严格举证 |
| 公共利益 | 公共卫生统计 | 通常需要国内法授权 |
| 合法权益 | 网络安全防护、防止欺诈 | 必须做利益平衡测试，且不能覆盖儿童数据 |
避坑指南：我曾经帮一家SaaS公司做合规，他们把「同意」默认为勾选，而且不单独列出来，混在用户协议里。这在GDPR下不行。同意必须像「小欧」一样独立、清晰。
这里有个容易被忽略的点：合法性基础不是选一次就一劳永逸。如果处理目的变了，或者用户撤回了同意，之前的合法性基础就失效了。我在项目里习惯在数据处理活动记录（ROPA）中固定一个字段「当前合法性基础」，每次变更都触发重新评估。
3. 数据主体权利：用户有了实权
GDPR 给了个人八项具体权利。以前用户只能「被通知」，现在他们能主动要求你做事，甚至能把你数据带走。我在参与的一个汽车 App 项目中，一个月内收到过两次数据可携带权请求——我们花了两周才把用户所有数据导出成通用格式。
- 知情权：必须用清晰平实的语言告诉用户你处理什么、为什么、给谁看。
- 访问权：用户可以要求你提供副本，且第一次免费。
- 更正权：数据错了，用户有权要求修正。
- 删除权（被遗忘权）：特定条件下，用户有权要求彻底清空数据。
- 限制处理权：在争议期间，用户可以要求冻结处理，但暂时不删除。
- 数据可携带权：用户有权拿到自己提供的结构化数据并带走。
- 反对权：主要针对直接营销和基于合法权益的处理。
- 自动化决策豁免权：如果决定完全由算法作出且对用户有法律影响，用户有权要求人工介入。
技术落地要点：
- 访问权 → 需要提供用户数据查询 API 或后台导出功能。
- 删除权 → 逻辑删除不行，必须物理删除或彻底匿名化。我做稽核时发现有的系统只软删除，用户数据还在 binlog 里——被查出就是罚款。
- 数据可携带权 → 至少支持 CSV、JSON 等开放格式，且 30 天内响应。
说个真实案例。有个电商平台收到用户删除请求后，开发人员只是把用户主表记录标记为「已删除」，但订单表、日志表、推荐模型里仍然保留原始数据。监管来查的时候，证据链一拉，直接按最高比例罚款。嗯，这里要注意：你必须建立跨系统的数据抹除或匿名化机制，不能只在一个地方动手。
我的实战流程：每接到一个数据主体权利请求，我会启动一个 SLA 计时器（GDPR 要求 1 个月内响应），然后按「身份验证→数据定位→变更执行→确认反馈」四步走。身份验证很重要，你不能把数据给错人。我推荐使用对比邮箱验证+一次性动态码。
这三块原则其实互相咬合：合法性基础是「理由」，数据保护原则是「如何做」，数据主体权利是「用户能怎么控制」。等保2.0 更侧重技术安全，GDPR 更侧重权利和流程。但把它们放到一起做治理时，你会发现很多控制措施是通用的——比如访问控制既能满足等保的「身份鉴别」，也能支撑 GDPR 的「访问权验证」和「数据最小化」。