作为数据保护官（DPO），理解全球主要隐私法规的适用范围与核心原则是基本功。本章从地域效力、关键定义、数据主体权利、问责制等维度，对比解析四大支柱法规：GDPR（欧盟）、CCPA/CPRA（加州）、PIPL（中国）、LGPD（巴西），并补充其他重要框架。

📌 适用范围对比

法规	地域范围	关键适用对象	域外效力
GDPR	欧盟 / 欧洲经济区	数据控制者、处理者（无论设立地）	✅ 向欧盟主体提供商品/服务或监控行为
CCPA/CPRA	美国加利福尼亚州	营利性企业（年收入>2500万美元等）	✅ 收集加州居民个人信息的企业
PIPL	中华人民共和国	组织、个人处理个人信息	✅ 在境外处理境内自然人个人信息（特定情形）
LGPD	巴西	控制者、操作者	✅ 收集/处理巴西个人数据，不论公司位置

⚙️ 核心原则 (GDPR Art.5 为蓝本)

• 合法、公正、透明 — 处理须有法律基础，告知清晰。
• 目的限制 — 收集限于特定、明确、合法目的。
• 数据最小化 — 只处理实现目的所必需的数据。
• 准确性 — 保持数据及时更新，不准确须擦除或更正。
• 存储限制 — 不超过必要期限。
• 完整性与保密性 — 适当安全措施。
• 问责制 — 控制者须证明合规。

🌐 其他重要法规速览

• PDPA (新加坡) — 同意、通知、访问权；2020年修正案加强罚款。
• POPIA (南非) — 条件性处理，问责制，2021年全面生效。
• DPDPA (印度) — 2023年通过，强调同意与数据受托人义务。
• 联邦隐私法 (美国) — 尚无统一法，但各州（科罗拉多、弗吉尼亚等）陆续立法。

🧩 DPO 合规行动清单

💡 专家提示： 全球法规趋同于“基于风险的方法”与“问责制”。DPO应当建立统一的隐私管理框架，同时保留本地化适配能力。建议使用OneTrust、TrustArc等工具进行法规映射。