🌍 全球隐私法规全景

GDPR · CCPA · PIPL · LGPD 适用范围与核心原则

法规	适用范围	核心原则 / 特点
GDPR （欧盟）	在欧盟境内设立的数据控制者/处理者；或向欧盟数据主体提供商品/服务、监控其行为（不论设立地）。	合法性、公平透明；目的限制；数据最小化；准确性；存储限制；完整性与保密性；问责制。 ⚡ 同意明确 + 可携带权 + 被遗忘权
CCPA （加州）	在加州经营且满足以下之一：年收入>2500万美元；买卖5万条以上个人信息；50%以上收入来自出售个人信息。	知情权、删除权、选择退出权（出售）、非歧视； 🛡️ 新增CPRA：敏感数据限制、更正权、自动化决策披露。
PIPL （中国）	在中国境内处理个人信息的活动；境外处理中国境内自然人个人信息（以向境内提供产品/服务、分析评估行为为目的）。	最小必要、公开透明、知情同意、目的限制、数据安全、 🏛️ 重要数据出境安全评估、个人信息保护影响评估。
LGPD （巴西）	在巴西境内处理；或为提供商品/服务处理巴西个人数据；或对巴西境内个人数据监控。	目的合法性、必要性、自由访问、数据质量、透明、安全、预防、非歧视、问责。 🔒 类似GDPR，设立DPO、数据主体权利（更正、删除、反对等）。

⚖️ 合法公平透明

处理须有合法基础，告知清晰，不隐瞒。

🎯 目的限制

收集目的明确、具体，不得超范围处理。

📉 数据最小化

只处理实现目的所必需的最少数据。

✅ 准确性

保持数据准确、及时更新，删除不准确信息。

⏳ 存储限制

不超过必要期限，到期删除或匿名化。

🔐 完整性与保密性

采取适当安全措施，防泄露、损毁。

📋 问责制

能证明合规，有记录、有DPO、有影响评估。

// 隐私政策合规片段 · 数据主体权利响应 (GDPR Art.15-22)
{
  "rights": [
    "访问权 (Right of access)",
    "更正权 (Right to rectification)",
    "删除权 (Right to erasure / '被遗忘权')",
    "限制处理权 (Right to restriction of processing)",
    "数据可携带权 (Right to data portability)",
    "反对权 (Right to object)"
  ],
  "响应时限": "1个月内（可延长2个月）",
  "原则": "除非有合法理由拒绝，否则必须配合。"
}