3. 法律法规基础（国际篇）：GDPR核心要求、CCPA/CPRA核心要求、其他地区法规概览
好，咱们进入国际法规这块。说实话，做隐私合规，绕不开的就是GDPR和CCPA。这两部法律，基本定义了全球数据保护的“游戏规则”。我个人习惯，先啃硬骨头，咱们就从GDPR开始。
3.1 GDPR核心要求：欧洲的“铁腕”法则
GDPR，全称《通用数据保护条例》。它厉害在哪？它管的不只是欧洲公司。只要你的业务涉及欧盟居民的数据，哪怕你在上海，也得遵守。嗯，这就是所谓的“长臂管辖”。
核心原则（我总结为“合法、公平、透明”六字诀）：
- 合法性：你得有“法律基础”才能处理数据。比如用户同意、履行合同、法律义务等。我见过不少公司，上来就默认勾选同意，这在GDPR下是找死。
- 公平性：你不能偷偷摸摸干坏事。比如，你收集用户位置信息，结果用来分析竞争对手，这就不公平。
- 透明性：你得告诉用户，你收集了什么、为什么收集、存多久、给谁看。隐私政策必须写得像人话，别整法律条文。
数据主体的权利，是GDPR的“杀手锏”。说白了，用户对自己的数据有绝对控制权。
| 权利名称 | 核心内容 | 我的实战经验 |
|---|---|---|
| 知情权 | 用户有权知道数据怎么被处理 | 隐私政策必须清晰，别用“等”、“可能”这种模糊词 |
| 访问权 | 用户可以要求你提供一份数据副本 | 我曾经帮客户设计过“数据下载”功能，响应时间必须在30天内 |
| 更正权 | 用户可以要求修改不准确的数据 | 这个在CRM系统里很常见，要留好修改日志 |
| 删除权（被遗忘权） | 用户可以要求你彻底删除数据 | 注意！备份数据也要删，不能只删主表 |
| 限制处理权 | 用户可以要求你“冻结”数据，暂时不处理 | 比如用户投诉数据准确性时，你得先停用，不能继续分析 |
| 数据可携带权 | 用户可以要求你把数据转给另一家公司 | 格式必须是机器可读的，比如JSON或CSV |
| 反对权 | 用户可以反对你基于“合法利益”处理数据 | 特别是用于直接营销时，必须提供“一键退订” |
避坑指南：我曾经遇到一个项目，用户要求删除数据，结果开发说“删了主表就行”。我检查后发现，日志系统、分析系统、备份系统里都还有。这要是被监管查到，罚款直接是年营收的4%或2000万欧元（取高者）。所以，数据删除必须做到“全链路清除”。
3.2 CCPA/CPRA核心要求：加州的“升级版”
CCPA（加州消费者隐私法案）和它的升级版CPRA（加州隐私权法案），是美国最严格的隐私法。它跟GDPR有点像，但又有自己的脾气。
为什么说它“脾气大”？因为它特别照顾“消费者”这个概念。你想想看，加州是科技公司的大本营，用户对数据隐私的敏感度极高。
核心差异点（我对比着讲）：
- 适用范围：年营收超过2500万美元，或者买卖/分享超过10万条消费者数据。注意，是“买卖或分享”，这个“分享”包括广告定向投放。
- 消费者权利：除了GDPR那几项，CCPA特别强调了“选择退出权”。用户有权要求你“不要出售我的个人信息”。
- 敏感个人信息：CPRA新增了“敏感个人信息”类别，比如社保号、精确地理位置、种族、性取向等。处理这些数据，需要更严格的同意。
我的小技巧：做CCPA合规，我建议你首先在网站首页放一个“Do Not Sell or Share My Personal Information”的链接。这是硬性要求，很多公司都忘了。另外，用户请求的响应时间也是45天，比GDPR的30天宽松一点，但别因此拖延。
举个例子。你是一家电商公司，用户浏览了商品，你把这个行为数据卖给广告平台。这在CCPA下，就是“出售个人信息”。用户有权要求你停止。你得在系统里设计一个“退出开关”，并且这个开关要能实时生效。
3.3 其他地区法规概览：巴西LGPD、日本APPI等
全球隐私立法，就像“多米诺骨牌”。GDPR一倒，后面全跟着来。我简单说说几个重要的。
巴西LGPD（《通用数据保护法》）
LGPD跟GDPR高度相似，几乎就是“葡萄牙语版的GDPR”。但它有个特点：罚款上限是年营收的2%，最高5000万雷亚尔（约合人民币7000万）。虽然比GDPR低，但巴西市场大，别掉以轻心。
我在项目中遇到过，巴西用户对“同意”的理解特别严格。他们要求同意必须是“明确的、肯定的行为”，不能是默认勾选。所以，做巴西市场，你的弹窗设计要更“硬核”。
日本APPI（《个人信息保护法》）
APPI是亚洲比较早的隐私法。它有个特色概念叫“个人号码”，比如社保号、驾照号。这些数据被列为“需特别注意的个人信息”。
另外，日本法律要求企业必须“努力”确保数据在跨境传输时的安全。这个“努力”二字，其实给了企业很大的解释空间。但我建议，别钻空子，直接按GDPR标准做，准没错。
其他值得关注的法规
- 韩国PIPA：非常严格，罚款高，而且有“数据保护官”的强制任命要求。
- 印度PDPB：虽然还没完全落地，但草案已经出来了。它特别强调“数据本地化”，要求关键数据必须存储在印度境内。
- 泰国PDPA：跟GDPR很像，但给了企业一年的过渡期。现在过渡期过了，得严格执行了。
总结一下我的建议：做全球业务，别想着“一国一策”。太累，也容易出错。我个人的做法是：以GDPR为“最高标准”，然后针对CCPA、LGPD等做“微调”。这样，你的合规体系就有了“弹性”，能覆盖大部分地区。
好了，国际法规这块，核心就是这些。记住，法律是底线，但用户的信任才是上限。下一章，咱们聊聊国内的法律法规，那又是另一番风景了。