2、法律法规基础：GDPR核心条款解读、中国《个人信息保护法》要点、CCPA与其它地区法规概览

做隐私合规，说白了就是跟法律条文打交道。很多人一看到法条就头大，密密麻麻的。我刚开始也这样，觉得这玩意儿比写代码难多了。

但干久了你会发现，法律背后其实就几个核心逻辑：知情、同意、最小化、可删除。今天我就带你把这几个全球最重要的法规捋一遍。

2.1 GDPR：全球最严的“老大哥”

GDPR，全称通用数据保护条例。2018年生效，欧洲出的。为什么说它是老大哥？因为它开了个好头，后来各国的隐私法基本都参考了它。

2.1.1 核心原则

我个人习惯把GDPR的核心原则总结成六点，你记牢了，后面学别的法规就轻松了：

• 合法、公正、透明：你不能偷偷摸摸收集数据。用户得知道你在干嘛。
• 目的限制：你收集数据时说了是干嘛用的，就不能拿去干别的。我在项目里见过有人把注册信息拿去搞营销，直接被罚了。
• 数据最小化：够用就行。别问用户要手机号，你只需要个邮箱。
• 准确性：数据错了要能改。
• 存储限制：别存一辈子。用户注销了，数据就得删。
• 完整性与保密性：说白了就是安全防护要做好。

2.1.2 数据主体的权利

GDPR给了用户几把“尚方宝剑”。你想想看，用户能随时来找你麻烦：

• 知情权：你得告诉用户，你收集了啥、为啥收集、给谁看了。
• 访问权：用户有权查看自己的数据。
• 更正权：数据错了，用户要求改，你得马上改。
• 删除权（被遗忘权）：这是最狠的。用户说“删了我”，你就得彻底删干净。我曾经帮一家电商公司处理过这个，数据库里几十张表关联，删起来真不是闹着玩的。
• 数据可携带权：用户可以把数据从你这儿拿走，转到别的平台。

2.1.3 处罚力度

GDPR的罚款分两档：

违规类型	罚款上限
较轻违规（如未设DPO）	1000万欧元或全球年营收的2%（取高者）
严重违规（如未经同意处理数据）	2000万欧元或全球年营收的4%（取高者）

嗯，这里要注意，是按全球营收算的。所以大厂被罚起来，动辄几十亿。

2.2 中国《个人信息保护法》：本土化的“硬核”法规

2021年11月1日生效。我把它叫做“中国版GDPR”，但比GDPR更接地气，也更狠。

2.2.1 核心要点

• 告知同意原则：跟GDPR一样，但更强调“单独同意”。比如你要把数据给第三方，必须弹窗让用户单独点“同意”。不能藏在用户协议里。
• 最小必要原则：这个跟GDPR一样。但中国执法更细。比如App收集你的通讯录，如果跟核心功能无关，就是违规。
• 敏感个人信息：包括生物识别、金融账户、行踪轨迹等。处理这些，必须取得单独同意，还得告诉用户处理的必要性以及对个人的影响。
• 跨境传输：这是个大坑。个人信息要传到境外，必须通过安全评估、标准合同或认证。我建议你，如果业务涉及出海，一定要提前找律师做评估。

2.2.2 处罚力度

违规类型	罚款上限
一般违规	100万元以下
严重违规	5000万元或上一年度营收的5%（取高者）
直接责任人	最高100万元，并可能被禁止担任相关职务

看到了吗？不仅罚公司，还罚个人。CTO、数据负责人都有可能被罚。所以别觉得这是法务的事，技术负责人也得懂。

2.3 CCPA与其它地区法规概览

除了GDPR和中国法，全球还有一堆法规。我挑几个重要的说说。

2.3.1 CCPA（加州消费者隐私法案）

美国加州的，2020年生效。跟GDPR比，它有几个特点：

• 适用范围：年营收超过2500万美元，或处理超过5万条用户数据，或靠卖数据赚钱的公司。
• 核心权利：用户有权知道你收集了啥、有权要求删除、有权选择不出售自己的数据。
• 区别：CCPA没有“被遗忘权”那么绝对，它允许一些例外（比如完成交易需要）。而且它不要求“同意”，而是给了用户一个“退出”的选项。

说白了，GDPR是“默认不同意”，CCPA是“默认同意但你可以退出”。

2.3.2 其它地区法规

• 巴西LGPD：基本照搬GDPR，但罚款上限是营收的2%。
• 日本APPI：2022年修订，增加了跨境传输的限制。
• 韩国PIPA：非常严格，罚款上限是营收的3%。
• 印度PDPB：还在草案阶段，但已经明确要求数据本地化。

2.4 我的建议：如何快速上手

这么多法规，怎么学？我给你三个步骤：

1. 先吃透GDPR：它是所有法规的祖宗。把GDPR的核心原则搞懂了，其他法规就是微调。
2. 再研究本地法：你的业务在哪个国家，就重点看哪个国家的法。比如在中国，就死磕《个人信息保护法》。
3. 建立合规清单：把每个法规的要求列成清单。比如“是否提供删除接口”、“是否做数据映射”、“是否有DPO”。然后一条一条过。

嗯，今天就先聊到这儿。下一章我会讲怎么把这些法规落地成具体的技术方案。到时候咱们聊聊数据分类分级、加密、脱敏这些实操内容。