第2章 GDPR核心原则（上）：合法、公平、透明原则，目的限制原则，数据最小化原则
好，我们正式开始啃GDPR的硬骨头。很多人一看到GDPR那几十条原则就头大，觉得是法条堆砌。其实不然。我个人习惯把这些原则当成「代码规范」来看——你写代码时不遵守规范，编译能过，但上线必崩。数据合规也是这个道理。
今天先讲三个最基础、也最容易踩坑的原则：合法公平透明、目的限制、数据最小化。这三个原则，说白了就是告诉你三件事：凭什么收数据、收来干什么、能不能少收点。
2.1 合法、公平、透明原则（Lawfulness, Fairness and Transparency）
这是GDPR的「宪法级」原则。它要求数据处理必须有一个合法的理由，而且这个理由不能是「我觉得可以」。
2.1.1 合法性基础——你的「入场券」
GDPR第6条列出了六种合法性基础。我建议你把它打印出来贴在工位上。为什么？因为我在项目中遇到过，产品经理拍脑袋说「用户注册时勾个同意就行」，结果被DPA（数据保护机构）罚到怀疑人生。
| 合法性基础 | 适用场景 | 常见坑点 |
|---|---|---|
| 同意（Consent） | 营销邮件、Cookie追踪 | 不能捆绑、必须可撤回 |
| 合同履行（Contract） | 电商下单、订阅服务 | 不能超出合同必要范围 |
| 法律义务（Legal Obligation） | 税务申报、反洗钱 | 必须有明确法律依据 |
| 重大利益（Vital Interests） | 医疗急救、自然灾害 | 极少使用，举证困难 |
| 公共利益（Public Interest） | 公共卫生、学术研究 | 需有国内法授权 |
| 正当利益（Legitimate Interests） | 反欺诈、网络安全 | 必须做利益平衡测试 |
2.1.2 公平性——别玩文字游戏
公平原则要求你不能用「小字条款」或「晦涩的法律术语」来糊弄用户。说白了，就是你的隐私政策得让一个普通大学生能看懂。
我建议你做个测试：把隐私政策拿给你公司的前台小姐姐看，如果她看完能复述出「你们收集了我哪些数据、用来干什么、我有什么权利」，那就算合格。如果她一脸懵逼，那你就得重写。
2.1.3 透明度——把「黑箱」打开
透明度原则要求你告诉用户：谁在处理数据、处理什么数据、为什么处理、处理多久、数据会传给谁。这不是让你写一篇论文，而是要在用户交互的关键节点给出清晰提示。
2.2 目的限制原则（Purpose Limitation）
这个原则很简单：你收集数据时说了用来干什么，就不能拿去干别的。听起来像废话？但现实中翻车案例太多了。
我记得有个健身App，收集用户的运动数据时说是「分析运动效果」，结果转头就把数据卖给了保险公司。保险公司根据用户的运动频率调整保费——这不就是典型的「目的偏离」吗？
2.2.1 明确指定目的
目的必须具体、明确。不能说「为了改善用户体验」这种万金油理由。你得说清楚：是改善推荐算法？还是优化界面布局？还是分析用户行为模式？
// ❌ 不合法
"我们收集您的浏览记录，用于改善服务"
// ✅ 合法
"我们收集您的浏览记录，用于：
1. 个性化推荐您可能感兴趣的商品
2. 分析页面点击热力图，优化UI布局
3. 检测异常登录行为，保障账户安全"2.2.2 后续处理不能「变脸」
如果你后续想用数据做新的事情，必须满足以下条件之一：
- 获得用户新的同意
- 新目的与原目的兼容（比如从「订单处理」扩展到「物流跟踪」）
- 有明确的法律依据（比如执法机关要求提供数据）
2.3 数据最小化原则（Data Minimisation）
这个原则是我个人最喜欢的。它要求你只收集「实现目的所必需的最少数据」。说白了，就是「够用就行，别贪心」。
2.3.1 最小化的三个维度
| 维度 | 说明 | 例子 |
|---|---|---|
| 数量最小化 | 只收集必要字段 | 注册只需邮箱+密码，不要收集生日、性别 |
| 范围最小化 | 只处理必要的数据类别 | 分析用户行为，用脱敏后的聚合数据，不要用原始数据 |
| 时间最小化 | 数据保留不超过必要期限 | 订单数据保留7年（税务要求），但浏览记录30天后删除 |
2.3.2 实战中的「数据瘦身」技巧
我在做合规审计时，经常发现企业收集了大量「万一以后有用」的数据。这其实是个坏习惯。我建议你这样做：
- 做数据映射：列出所有收集的数据字段，标注每个字段对应的业务目的
- 砍掉冗余字段：如果某个字段没有明确的业务目的，直接砍掉
- 设置保留期限：给每个数据类别设置自动删除策略
- 定期复盘：每季度检查一次，有没有新增的「不必要数据」
2.3.3 默认数据保护（Data Protection by Default）
GDPR第25条要求，系统默认设置应该是最保护隐私的。也就是说，你不能默认开启所有数据收集开关，让用户自己去关。而应该默认只收集最必要的数据，让用户自己去「打开」额外的功能。
// ❌ 错误做法（默认全开）
默认设置：
- 位置追踪：开启
- 浏览历史：开启
- 个性化广告：开启
- 数据分享给第三方：开启
// ✅ 正确做法（默认最小化）
默认设置：
- 位置追踪：关闭（用户需要时手动开启）
- 浏览历史：关闭（仅用于基本功能）
- 个性化广告：关闭
- 数据分享给第三方：关闭2.4 三个原则的联动关系
这三个原则不是孤立的。它们像齿轮一样咬合在一起：
- 合法公平透明是「入场券」——你得有资格收数据
- 目的限制是「路线图」——你得说清楚数据要去哪
- 数据最小化是「行李限额」——你只能带必要的东西上路
你想想看，如果这三个原则都做到位了，用户对你的信任度会大幅提升。反之，任何一个原则出问题，都可能引发监管调查和用户投诉。
1. 我们有什么合法理由收集这些数据？（合法性）
2. 我们明确告诉用户要用来干什么了吗？（透明度+目的限制）
3. 这些数据真的是实现功能所必需的吗？（最小化）
三个问题都回答「是」，再动手开发。
好了，这一章的内容就到这里。下一章我们会讲剩下的几个核心原则：准确性、存储限制、完整性和保密性、问责制。这些原则在工程实现上更有挑战性，到时候我会分享一些具体的代码实现和架构设计思路。