2. GDPR 核心要义：适用范围、数据主体权利、数据保护官（DPO）角色、罚则与典型案例

GDPR 生效已经好几年了，但每次我去企业做合规审查，发现很多人对它的理解还停留在「罚得很重」这个层面。其实，GDPR 的逻辑链条非常清晰——它先告诉你谁要管、管什么，再告诉你数据主体有什么权利，然后让你设一个专门的人来盯着，最后才是罚则。今天我们就顺着这条线捋一遍。

2.1 适用范围：谁在 GDPR 的射程内？

很多人以为 GDPR 只管欧盟境内的公司。这是个常见的误解。我见过一家深圳的跨境电商，服务器在新加坡，用户却在德国——照样被罚了。GDPR 的管辖逻辑是「数据主体在哪里，法律就跟到哪里」。

具体来说，以下三种情况都跑不掉：

• 设立机构标准：在欧盟境内有实体办公室、分公司、代表处的，无论数据处理发生在哪里，都受 GDPR 管辖。
• 目标市场标准：不在欧盟设点，但向欧盟境内的数据主体提供商品或服务（哪怕免费），或者监控他们在欧盟境内的行为（比如用 Cookie 追踪）。
• 国际公法标准：根据国际公法适用欧盟成员国法律的地方（比如某些大使馆、军事基地）。

还有一个容易被忽略的点——处理者（Processor）。即使你只是帮别人处理数据，比如做云存储、做数据分析外包，只要你的客户受 GDPR 管辖，你也要遵守相应的义务。我在项目里遇到过一家做客服系统的 SaaS 公司，他们觉得「我又不接触用户，只是帮客户存聊天记录」，结果客户被查的时候，他们也被连带调查了。

2.2 数据主体权利：用户手里握着哪些牌？

GDPR 给了数据主体（也就是用户）八项核心权利。说白了，就是让用户对自己的数据有「说了算」的权力。我建议你把这些权利记牢，因为每一次合规审计，第一件事就是检查这些权利的响应机制。

权利名称	核心内容	响应时限
知情权	用户有权知道谁在处理他的数据、处理什么、为什么处理	收集时即时告知
访问权	用户有权获取一份自己的数据副本	1 个月内
更正权	用户有权要求修正不准确的数据	无延迟
删除权（被遗忘权）	用户有权要求删除其个人数据	1 个月内
限制处理权	用户有权暂时冻结对其数据的处理	1 个月内
数据可携带权	用户有权将数据从一个服务商转移到另一个	1 个月内
反对权	用户有权反对基于合法利益或直接营销的数据处理	立即停止
自动化决策拒绝权	用户有权不接受仅基于自动化处理（如算法）的重大决策	需提供人工干预

嗯，这里要注意——被遗忘权不是绝对的。如果数据是为了履行法律义务、行使言论自由、或公共卫生目的所必需的，企业可以拒绝删除。但你必须书面说明理由。

2.3 数据保护官（DPO）：谁来盯着合规？

GDPR 要求某些组织必须指定一名数据保护官。这不是一个虚职，而是有法定地位的实权角色。我见过一些公司让法务兼着做 DPO，结果法务忙不过来，合规漏洞一堆。

哪些组织必须设 DPO？

• 公共机构或政府部门
• 核心业务涉及大规模、系统性监控数据主体的组织
• 核心业务涉及大规模处理特殊类别数据（如健康数据、生物识别数据）的组织

DPO 的职责包括：

1. 向组织内部提供 GDPR 合规建议
2. 监督合规执行情况
3. 作为监管机构的联络人
4. 处理数据主体的咨询和投诉

2.4 罚则：GDPR 的牙齿有多锋利？

GDPR 的罚款分两档，你想想看，这力度有多大：

• 较低档：1000 万欧元或全球年营业额的 2%，取较高者。适用于记录义务、数据安全措施、通知义务等违规。
• 较高档：2000 万欧元或全球年营业额的 4%，取较高者。适用于违反核心原则、数据主体权利、跨境数据传输等严重违规。

举个例子，2021 年 Amazon 被卢森堡数据保护委员会罚款 7.46 亿欧元，就是因为广告定向投放的同意机制不合法。这是 GDPR 生效以来的最高罚单。

2.5 典型案例：从罚单里学合规

我挑三个有代表性的案例，每个都对应一个核心知识点。

案例	违规点	罚款金额	教训
Google（法国）	缺乏透明度、同意不合法、信息不充分	5000 万欧元	隐私政策必须清晰易懂，不能藏在角落里
British Airways（英国）	安全措施不足导致数据泄露	2000 万英镑	技术安全措施不到位，再大的公司也扛不住
H&M（德国）	非法监控员工、过度收集私人信息	3520 万欧元	员工数据同样受保护，不能「想查就查」

你看，这三个案例分别对应了透明度、安全性和合法性三个基本原则。说白了，GDPR 的核心就三个字——讲清楚、保护好、有依据。

2.6 知识体系总览

下面这张图把本章的核心逻辑串起来了。我建议你保存下来，做合规方案时对照着看。