第2章：GDPR法规概述——不只是罚款，更是游戏规则

说到GDPR，你可能第一反应是“那个罚款很狠的法规”。嗯，这个想法没错。2018年5月25日，GDPR正式生效。我记得那天，不少公司的合规团队都在熬夜。罚金最高2000万欧元，或者全球年营收的4%，哪个高算哪个。

但说实话，GDPR不只有罚款。它更像一套游戏规则。搞明白了，你的数据流程反而更清晰。我这些年做审计项目，感触很深：很多公司早期觉得GDPR是麻烦，后来发现它帮他们理清了数据家底。

那么，这一章我们重点聊几个东西：GDPR怎么来的，核心原则有哪些，数据主体到底有啥权利，还有DPIA是什么。你想想看，这些搞懂了，后面审计日志怎么做，心里就有谱了。

2.1 GDPR发展历程——从理念到落地

欧洲的数据保护立法，最早可以追溯到1995年的《数据保护指令》。那时候互联网还没爆发呢。等到云计算、社交媒体起来后，老法规完全跟不上。

为什么会这样？举个例子。95年的指令只是“指令”，每个成员国自己转化成国内法。结果法国一个样，德国一个样。跨境业务没法做。

所以欧盟决定搞一部直接适用的法规。

• 2012年1月：欧盟委员会提出GDPR草案。
• 2016年4月：欧洲议会正式通过。
• 2018年5月25日：开始强制执行。

两年过渡期，我觉得挺合理的。给企业时间去重构数据流程。我见过一些公司，赶在2018年5月之前突击合规，结果系统改得乱七八糟。嗯，这事急不得。

2.2 GDPR核心原则——七个字，全讲透了

GDPR的核心原则，说白了就是7条。别嫌多，每条都对应着具体的审计点。我列个表，你对照着看。

原则	一句话解释	常见审计检查点
合法、公正、透明	你得告诉用户你在收集数据，而且必须是合法的理由	隐私声明是否清晰？是否在首次收集时告知？
目的限制	数据只能用于当初说的那个目的	有没有把营销数据拿去做模型训练？
数据最小化	只收集你真正需要的数据	注册表单是不是要求填了不必要的字段？
准确性	数据要准确，并且及时更新	用户信息变更流程是否完善？
存储限制	数据不能永久保存，要有删除策略	日志保留期有没有写在政策里？
完整性与保密性	安全措施到位，防泄露	访问控制、加密、审计日志是否开启？
问责制	你得能证明你做到了上面这六条	数据处理记录（ROPA）有没有维护？

2.3 数据主体权利——用户说了算

GDPR给了数据主体（说白了就是你我这样的用户）8项权利。这一点很重要：这些权利不是空话，它们直接驱动着你日志系统该怎么设计。

1. 知情权：用户有权知道谁在处理他的数据。
2. 访问权：用户有权获取自己数据的副本。（DSAR，数据主体访问请求）
3. 更正权：数据不准确，用户可以要求改。
4. 删除权（被遗忘权）：特定条件下，用户要求你删数据，你必须删。
5. 限制处理权：用户可以要求暂时冻结数据处理。
6. 数据携带权：用户可以把数据从一个平台搬到另一个平台。
7. 反对权：用户反对你将他的数据用于营销或画像。
8. 自动化决策拒绝权：用户拒绝纯机器决策。

2.4 数据保护影响评估（DPIA）——风险前置

DPIA，全称是Data Protection Impact Assessment。我习惯叫它“上项目前的风险体检”。

GDPR要求，如果数据处理活动可能对个人权利和自由造成高风险，就必须做DPIA。什么场景算高风险？

• 大规模处理特殊类别数据（健康、宗教、政治观点等）。
• 系统性监控公共场所（比如商场摄像头人脸识别）。
• 自动化决策产生法律效果（比如信用评分）。

DPIA的步骤，我记得大概是这样的：

1. 描述数据处理活动。
2. 评估必要性和相称性。
3. 识别风险。
4. 规划风险缓解措施。

2.5 GDPR知识体系总览

为了帮你理清这一章的知识点，我画了一张结构图。你看看，整体脉络就是：发展历程打底，核心原则定框架，数据主体权利定要求，DPIA做保障。

看到这张图，你应该明白了吧？GDPR不是孤立的一个条款集合，而是一个完整体系。你只有了解了这些，才能在后续章节里理解审计日志为什么这样设计，为什么某些日志字段必须保留，为什么访问控制日志要保留那么久。

嗯，关于审计日志的技术实现细节，咱们后续再细聊。这一章先把法规框架搭好，地基打牢了，后面的楼才盖得稳。