第2章 法律法规与标准：核心法规概览
做SDK合规审计，说白了就是跟各国的法律法规打交道。你写的每一行代码、收集的每一个字段，背后都可能牵着一部法规的"红线"。我个人习惯把法规理解成"游戏规则"——不懂规则，连怎么输的都不知道。
这一章，我把最核心的五部法规给你捋清楚。无论你是SDK开发者还是合规负责人，这部分都是基本功。
2.1 全球合规版图：为什么是这五部？
市面上跟数据隐私沾边的法规少说几十部，但真正对SDK合规产生"核弹级"影响的，就这五部：
- GDPR（欧盟通用数据保护条例）—— 全球隐私保护的"天花板"
- CCPA（加州消费者隐私法案）—— 美国州级隐私法的"风向标"
- 个人信息保护法 —— 中国隐私保护的"基本法"
- 数据安全法 —— 中国数据治理的"压舱石"
- 等保2.0 —— 中国网络安全的"入场券"
你想想看，只要你的SDK面向中国、欧盟或美国加州用户，这五部法规你就绕不开。我在项目中遇到过不少团队，只盯着国内法规，结果产品一出海就被GDPR罚得措手不及。所以，咱们得把这几部法规放在一起看。
2.2 GDPR — 欧洲的"硬拳头"
GDPR 2018年生效，是全球隐私保护领域的一座"大山"。它的核心打法是"长臂管辖"——只要你的SDK处理了欧盟用户的数据，不管公司注册在哪，都得遵守。
几个要命的点：
- 合法基础：要么用户明确同意，要么有合同必要等。SDK里偷偷收集？不存在的。
- 数据主体权利：用户有权要求删除、导出、限制处理你的数据。SDK必须提供接口支持。
- 罚款上限：全球年营收的4% 或 2000万欧元，取高者。我参与过一个项目，就因为SDK未经同意收集广告ID，差点被罚到团队解散。
我的经验：处理GDPR合规时，别只盯着"同意弹窗"。真正的坑在数据流向图——你得清楚SDK收集的每个字段去了哪里、存了多久、谁能访问。我曾经帮一个客户梳理SDK的数据流，发现有三个字段根本没人知道在收……
2.3 CCPA — 加州消费者的"盾牌"
CCPA 2020年生效，虽然只是美国一个州的法律，但加州经济体量太大，实际上成了全美标准。它跟GDPR最大的区别是：更侧重"opt-out"（选择退出）。
- 消费者知情权：SDK收集了什么数据、卖给谁了，必须透明告知。
- opt-out 机制：用户可以说"我不允许你卖我的数据"。SDK必须提供"请勿出售"链接或开关。
- 罚款：每次违规2500-7500美元，按"每次用户每次访问"算，累积起来也很吓人。
注意：CCPA对"销售"的定义非常宽泛——包括共享数据以获取价值。你SDK里接了个广告SDK？那可能就算"销售"。我见过不少团队在这里栽跟头。
2.4 个人信息保护法 — 中国的"隐私基石"
2021年实施的《个人信息保护法》可以说是中国版的GDPR，但很多地方比GDPR更"狠"。它对SDK最直接的影响就是"单独同意"和"最小必要"。
- 告知同意：收集个人信息必须弹窗告知，而且不能一揽子的"全部同意"。SDK如果收集多个目的的数据，需要每个目的单独同意。
- 最小必要：只收集实现功能所必需的数据。比如一个天气SDK去读通讯录？直接违规。
- 跨境传输：数据传回国外服务器，需要通过安全评估或认证。我给客户做SDK审计时，发现不少SDK的数据流向海外，但没有任何合规手续。
我的感受：个保法实施后，我经手的SDK改造项目中，最大的工作量不是改代码，而是梳理"收集了什么"和"为什么收集"。很多团队连自己SDK收了多少字段都说不清——这就是合规审计要解决的核心问题。
2.5 数据安全法 — 数据治理的"压舱石"
数据安全法更偏向数据安全治理，而不仅仅是个人隐私。它要求企业建立数据安全管理制度，对数据分类分级，并进行安全评估。
- 数据分类：你的SDK处理的数据属于哪一类？一般数据、重要数据还是核心数据？不同类别对应不同保护级别。
- 安全评估：涉及重要数据和跨境传输的，必须做安全评估。SDK作为数据处理方，也需要配合提供相关材料。
- 违法处罚：最高可罚营收的5%或1000万人民币，情节严重还可能吊销营业执照。
避坑指南：我曾经帮一家做金融SDK的公司做审计，发现他们把用户交易日志存在了公共云上，且没有加密。这就是违反了数据安全法的基本要求——数据分类和加密存储。好在发现得早，没酿成大祸。
2.6 等保2.0 — 安全合规的"入场券"
等保2.0全称"网络安全等级保护制度2.0"，2019年实施。它跟前面几部法规不同，更关注网络安全技术和管理层面。如果你的SDK部署在中国境内，或者服务于关键信息基础设施，等保2.0基本绕不开。
- 安全等级：从第一级到第五级，等级越高要求越严。大部分SDK涉及第三级（安全标记保护级）。
- 测评要求：包括物理安全、网络安全、主机安全、应用安全、数据安全等十个层面。SDK的代码安全、通信加密、日志审计都在考察范围。
- 合规路径：定级 -> 备案 -> 测评 -> 整改 -> 持续运营。SDK开发团队需要配合提供技术文档和代码审计报告。
我的教训：有个客户做等保测评，因为SDK用了过时的TLS 1.0协议，被判定为"高风险"。就这一个问题，整改花了三周。所以SDK的通信加密一定要用TLS 1.2以上，这是等保2.0的硬指标。
2.7 五部法规对比一览
| 法规 | 管辖范围 | 核心要求 | 罚款上限 | SDK影响点 |
|---|---|---|---|---|
| GDPR | 欧盟境内+境外 | 数据主体权利、合法基础 | 全球营收4% 或 €2000万 | 需明确同意、数据最小化 |
| CCPA | 加州居民 | 消费者知情权、opt-out | $2500-$7500/次/用户 | 提供opt-out机制 |
| 个保法 | 中国境内+境外 | 告知同意、最小必要 | 营收5% 或 ¥5000万 | 单独同意、目的明确 |
| 数据安全法 | 中国境内 | 数据分类分级、安全评估 | 营收5% 或 ¥1000万 | 数据分类、加密存储 |
| ← 上一章 📖 返回目录 下一章 → |