4. 法律与监管框架
数据集的许可与合规治理，第一步不是写代码，而是识别“谁在管、管什么、管到哪一步”。同一份数据集，可能同时受到欧盟《通用数据保护条例》（GDPR）、美国加州《消费者隐私法案》（CCPA/CPRA）、中国《个人信息保护法》（PIPL）与《数据安全法》（DSL）的约束，还要叠加金融、医疗、汽车、未成年人保护等行业监管要求。理解这些框架的定位差异，是后续做数据映射、合法性基础判断和跨境评估的前提。
一、核心原理：四部法律解决的是不同问题
很多团队把 GDPR、CCPA、PIPL、DSL 混为一谈，结果在合规设计时抓不住重点。它们虽然都涉及数据，但立法目标和规制对象并不相同：
- GDPR：以“个人数据保护”为核心，强调合法性基础、数据主体权利、数据保护影响评估（DPIA）、跨境传输限制，适用于在欧盟境内设立或向欧盟数据主体提供服务的组织。
- CCPA/CPRA：以“消费者隐私权”为核心，强调知情权、删除权、拒绝出售/共享权、选择退出机制，主要约束达到门槛的营利性企业，对“出售”和“共享”定义较宽。
- PIPL：中国个人信息保护的基础法，强调告知同意、单独同意、最小必要、个人信息处理者义务、跨境提供条件，并区分一般个人信息与敏感个人信息。
- DSL：中国数据安全领域的基础法，覆盖电子与纸质形式的数据，强调数据分类分级、重要数据目录、数据安全风险评估、出口管制与反制措施，不限于个人信息。
一句话概括：GDPR 和 PIPL 管“个人信息”，CCPA 管“消费者个人信息”，DSL 管“所有数据”，尤其是重要数据。四者叠加时，合规义务是“取并集”，不是“选一个遵守”。
二、方法流程：从数据集到监管义务的映射
面对一个具体数据集，建议按以下流程做监管映射，而不是凭感觉判断：
- 识别数据主体与数据类别：是否包含欧盟数据主体、加州消费者、中国境内自然人？是否含敏感个人信息、儿童数据、生物识别、金融账户、医疗健康、行踪轨迹？
- 判断处理者角色：是控制者/处理者、个人信息处理者/受托处理者，还是服务提供商/承包商？角色决定义务边界。
- 确定合法性基础：GDPR 下是同意、合同必要、法定义务、重大利益、公共任务还是正当利益；PIPL 下是同意、合同必要、法定义务、公共卫生事件、新闻报道等；CCPA 下则关注是否触发“出售/共享”及选择退出。
- 检查跨境与本地化要求：GDPR 的充分性认定、SCC、BCR；PIPL 的安全评估、标准合同、认证；DSL 的重要数据出境安全评估。
- 叠加行业监管：金融、医疗、汽车、电信、未成年人等领域的特别规定，往往比通用法更严格。
- 形成合规证据链：记录处理活动（ROPA）、DPIA、同意记录、合同条款、评估报告、审计日志。
三、关键对比：四部框架的定位差异
| 框架 | 核心对象 | 核心机制 | 对数据集治理的直接影响 |
|---|---|---|---|
| GDPR | 欧盟数据主体的个人数据 | 合法性基础、数据主体权利、DPIA、跨境传输 | 需记录处理目的、保留期限、数据来源与传输路径 |
| CCPA/CPRA | 加州消费者的个人信息 | 知情、删除、拒绝出售/共享、选择退出 | 需标注“出售/共享”状态，支持退出信号与授权代理 |
| PIPL | 中国境内自然人个人信息 | 告知同意、单独同意、最小必要、跨境条件 | 需区分一般/敏感个人信息，保存同意与跨境评估证据 |
| DSL | 中国境内全部数据，含重要数据 | 分类分级、重要数据目录、风险评估、出口管制 | 需建立数据资产台账、重要数据识别与安全评估流程 |
四、行业监管：通用法之外的“加码”
行业监管往往决定数据集能否被使用，而不仅是“是否合法”。例如：
- 金融：客户身份资料、交易记录、征信数据受反洗钱、征信业管理条例、银行保险机构数据安全管理办法等约束，共享与外包要求严格。
- 医疗健康：病历、基因、影像数据涉及人类遗传资源管理条例、医疗卫生机构网络安全管理办法，伦理审查与去标识化要求高。
- 汽车与出行：车联网数据涉及地理信息、重要数据、个人信息，需关注测绘资质、出境评估与车外人脸/车牌匿名化。
- 未成年人：儿童个人信息网络保护规定、COPPA、GDPR 第8条，要求监护人同意与最小化收集。
regime: GDPR,PIPL、data_class: sensitive、cross_border: assessment_required，让合规判断可被自动化检索和审计。
五、案例与误区复盘
某团队从公开渠道采集了一批欧洲用户评论数据，计划用于训练推荐模型。团队认为“公开数据等于可以自由使用”，但忽略了 GDPR 对个人数据的保护并不因“公开”而消失。复盘发现三个问题：一是未识别数据主体位于欧盟；二是未评估合法性基础，仅依赖“公开可得”；三是未提供数据主体权利响应通道。整改后，团队补充了 DPIA、数据来源记录、删除请求流程，并对训练数据做了去标识化与访问控制。
常见误区还包括：把 CCPA 的“选择退出”当成 PIPL 的“同意”；把 DSL 的重要数据评估当成 PIPL 的跨境评估；认为“匿名化”一次完成就永久有效。实际上，匿名化需要持续验证再识别风险，跨境评估也可能因数据范围变化而重新触发。
# 数据集监管标签示例（YAML）
dataset_id: ds_reviews_eu_001
regimes: [GDPR, PIPL]
data_subjects: [EU_residents, CN_residents]
data_class: personal_data
sensitive: false
legal_basis: consent
cross_border: SCC
industry: none
retention: 24_months
rights_channel: privacy@example.com
综上，GDPR、CCPA、PIPL、DSL 与行业监管共同构成数据集许可与合规治理的外部约束。工程团队应把它们转化为可执行的数据标签、流程节点和证据记录，而不是停留在法条阅读层面。只有把监管要求嵌入数据集的采集、标注、存储、共享和销毁全生命周期，合规才具备可验证性和可持续性。