1. 隐私合规概述：什么是隐私合规、为什么重要、全球隐私法规概览
1.1 隐私合规到底是什么？
说白了，隐私合规就是「你的产品怎么处理用户数据，得按规矩来」。
我经常跟团队讲一个比喻：你开了一家店，用户把东西寄存在你这儿。你不能随便翻看，不能转手卖掉，更不能弄丢了还不告诉人家。隐私合规，就是给这些「寄存行为」立规矩。
具体来说，它包含几个层面：
- 收集环节：你得告诉用户你要拿什么数据、拿来干嘛
- 存储环节：数据不能乱放，加密、访问控制都得跟上
- 使用环节：不能超出用户同意的范围去用数据
- 共享环节：给第三方之前，得先问问用户行不行
- 删除环节：用户说「我不要了」，你得真删干净
核心要点：隐私合规不是法务部门的事，它是从产品设计到代码实现、从运维到客服的全链路工程问题。
1.2 为什么这件事这么重要？
嗯，这里我得说点实在的。我在项目里见过太多「先上线再说」的团队，结果呢？
罚款是一方面——GDPR 最高能罚全球年营收的 4%，CCPA 每次违规 2500 美元起步。但更麻烦的是信任崩塌。用户一旦发现你乱用数据，卸载、差评、投诉，连锁反应非常快。
我个人习惯把隐私合规的价值分成三层：
- 法律底线：避免罚款和诉讼。这个不用多说。
- 商业竞争力：现在用户越来越精了。你想想看，两个功能差不多的 App，一个明确告诉你「我只收集必要数据」，另一个啥都不说——你选哪个？
- 技术架构优化：这一点很多人忽略。合规要求你梳理清楚数据流向，这本身就能帮你发现很多架构上的隐患。我在一个项目中做过数据映射，结果顺带揪出了三个未授权的内部 API 调用。
避坑提醒：我曾经见过一家公司，为了赶上线把隐私条款写得模棱两可。结果被用户举报后，监管机构要求他们暂停所有数据处理活动。整整三个月，业务停摆。所以别想着「先糊弄过去再说」。
1.3 全球隐私法规概览
做隐私合规，你绕不开这几部法规。我按影响力大小给你捋一捋。
1.3.1 GDPR（欧盟通用数据保护条例）
GDPR 是隐私合规领域的「老大哥」。2018 年生效，影响深远。它的核心逻辑是：数据属于用户，不是属于你。
| 关键点 | 说明 |
|---|---|
| 适用范围 | 只要处理欧盟居民的数据，不管你的公司在哪 |
| 用户权利 | 访问权、删除权（被遗忘权）、数据可携带权等 |
| 同意要求 | 必须明确、具体、自由给出，不能默认勾选 |
| 数据保护官 | 大规模处理敏感数据的公司必须设 DPO |
| 罚款上限 | 2000 万欧元或全球年营收的 4%，取高者 |
我记得第一次做 GDPR 合规项目时，最头疼的是「数据可携带权」——用户要求你把他的数据导出成通用格式。这听起来简单，但如果你数据库里数据散落在十几个表里，光拼装就得写一堆代码。
1.3.2 CCPA（加州消费者隐私法案）
CCPA 是美国目前最严格的隐私法之一。2020 年生效，2023 年又出了 CPRA 修正版，要求更细了。
| 关键点 | 说明 |
|---|---|
| 适用范围 | 年营收超 2500 万美元，或处理超 10 万条加州居民数据 |
| 用户权利 | 知情权、删除权、选择不出售个人数据 |
| 特殊要求 | 网站必须有「Do Not Sell My Personal Information」链接 |
| 罚款 | 每次故意违规 7500 美元，非故意 2500 美元 |
这里有个坑：CCPA 对「出售」的定义非常宽泛。你把用户数据传给第三方做广告分析，也算「出售」。我有个客户就因为这个被警告过——他们以为只有收钱才算卖数据。
1.3.3 PIPL（中华人民共和国个人信息保护法）
2021 年生效，跟 GDPR 有不少相似之处，但也有自己的特色。
| 关键点 | 说明 |
|---|---|
| 适用范围 | 在中国境内处理个人信息，或向境内提供产品/服务 |
| 用户权利 | 知情权、决定权、删除权、可携带权等 |
| 跨境传输 | 必须通过安全评估或认证，或签订标准合同 |
| 敏感信息 | 生物识别、金融账户、行踪轨迹等需单独同意 |
| 罚款上限 | 5000 万元人民币或上年度营收的 5% |
我个人觉得 PIPL 最「狠」的一点是：违法处理个人信息，情节严重的，可以责令暂停相关业务。这比罚款还致命。
1.3.4 其他重要法规
- LGPD（巴西）：跟 GDPR 高度相似，2020 年生效
- POPIA（南非）：2021 年全面生效，罚款最高 1000 万兰特
- PDPL（沙特）：2023 年生效，对数据本地化要求很严
我的建议：别试图一次性搞定所有法规。先搞清楚你的用户在哪、数据在哪，然后优先对标 GDPR 和 PIPL。这两部搞定了，其他法规基本就是微调。
1.4 合规不是终点，是起点
你可能会问：这么多法规，怎么搞得完？
其实换个角度想：隐私合规帮你把数据治理的底子打好了。数据流向清楚了、权限控制到位了、用户反馈机制建起来了——这些东西本身就是好工程实践。
我做了这么多年安全，最大的体会是：合规不是给监管看的，是给你自己用的。一个合规做得到位的产品，出问题的概率天然就低。
好，这一章先聊到这儿。下一章我们开始讲具体的风险排查方法——从数据映射开始。