2. 法律法规基础：国内外主要合规法规与行业标准
做设备合规性审查，说白了就是跟一堆法规条文打交道。我刚开始接触这行时，看着GDPR、CCPA、等保2.0这些缩写就头大。后来干得多了才发现，其实它们背后逻辑是相通的——保护数据、控制风险、明确责任。
今天我就带你把这几部核心法规捋一遍。嗯，咱们不搞学术研究，只讲实战中怎么用。
2.1 欧盟GDPR：全球最严的数据保护法
GDPR全称是《通用数据保护条例》。2018年生效，影响范围远超欧洲。为什么？因为它有“长臂管辖”条款——只要你的设备处理了欧盟居民的数据，就得遵守。
核心要点：
- 数据主体权利：用户有权要求删除数据（被遗忘权）、导出数据（数据可携带权）
- 同意机制：必须明确、自愿、可撤回。默认勾选？不行
- 72小时通报：发生数据泄露，必须在72小时内通知监管机构
- DPO（数据保护官）：特定企业必须任命
实战要点：
我在项目中遇到过一家做智能家居的客户。他们的摄像头设备默认开启人脸识别，而且没有在首次使用时弹出隐私声明。结果被德国监管机构罚了2000万欧元。说白了，GDPR审查的核心就是“用户知情且同意”。
我的习惯：审查设备时，我会先看三点：① 数据收集是否有明确告知 ② 用户能否一键删除数据 ③ 日志是否记录了数据访问行为。这三条过了，GDPR基本就稳了。
2.2 美国CCPA：加州消费者的隐私盾牌
CCPA是加州消费者隐私法案。2020年生效，是美国最严格的隐私法之一。跟GDPR比，它更偏向“消费者权益保护”。
关键差异：
| 维度 | GDPR | CCPA |
|---|---|---|
| 适用范围 | 处理欧盟居民数据 | 年收入超2500万美元或处理5万条以上加州居民数据 |
| 用户权利 | 被遗忘权、数据可携带权 | 知情权、删除权、选择不出售个人信息 |
| 处罚力度 | 最高2000万欧元或全球营收4% | 每次违规最高7500美元 |
| 同意机制 | 必须主动同意 | 允许用户选择“不出售” |
你想想看，CCPA最特别的地方是“不出售个人信息”这个选项。我审查设备时，会特别检查设备是否把用户数据卖给第三方广告商。如果有，必须提供“Do Not Sell My Info”的链接。
避坑指南：我曾经遇到一个智能音箱厂商，他们的设备默认把用户语音记录分享给数据分析公司。用户根本不知道这事。CCPA审查时，这个点直接被标记为严重违规。记住：默认不出售，用户主动选择才能卖。
2.3 中国等保2.0：网络安全等级保护制度
等保2.0是中国的强制性标准。2019年实施，覆盖所有网络运营者。跟GDPR、CCPA不同，等保2.0更关注“系统安全”而非“数据隐私”。
核心要求：
- 等级划分：从第一级到第五级，级别越高要求越严
- 安全通用要求：物理安全、网络安全、主机安全、应用安全、数据安全
- 安全扩展要求：云计算、物联网、移动互联、工业控制等场景
- 测评周期：二级每两年一次，三级每年一次
我个人习惯把等保2.0理解为“设备安全的体检标准”。比如物联网设备，必须满足“安全扩展要求”中的物联网部分——包括设备身份认证、固件安全、通信加密等。
实战案例：我审查过一家医院的医疗设备。按照等保2.0三级要求，设备必须：① 使用数字证书进行身份认证 ② 所有通信采用TLS 1.2以上 ③ 固件更新必须签名验证。当时他们的设备连基本加密都没有，整改花了三个月。
2.4 PCI-DSS：支付卡行业数据安全标准
PCI-DSS是支付卡行业的安全标准。只要你的设备处理、存储或传输信用卡数据，就必须遵守。这不是法律，但银行和卡组织强制要求。
12项核心要求：
- 安装和维护防火墙配置
- 不使用厂商默认密码
- 保护存储的持卡人数据
- 加密传输的持卡人数据
- 使用防病毒软件
- 开发安全的系统和应用
- 限制数据访问权限
- 为每个用户分配唯一ID
- 限制物理访问
- 监控和记录网络访问
- 定期测试安全系统
- 制定信息安全政策
说白了，PCI-DSS就是支付设备的“安全操作手册”。我审查POS机时，第一件事就是检查它是否存储了完整的信用卡号、CVV码或磁条数据。只要存了，直接判不合格。
我的经验：很多设备厂商觉得PCI-DSS太麻烦。其实抓住三个关键点就行：① 不存敏感认证数据（CVV、PIN） ② 传输必须加密 ③ 日志要记录所有访问。这三条做到，基本能过。
2.5 HIPAA：美国医疗健康信息保护法
HIPAA是美国健康保险携带和责任法案。1996年生效，专门保护患者的医疗信息。如果你的设备是医疗设备或处理健康数据，就得遵守。
核心规则：
- 隐私规则：保护个人健康信息（PHI）的隐私
- 安全规则：要求管理、物理和技术三重保障
- 违规通知规则：数据泄露必须通知患者和卫生部门
- 电子交易规则：标准化电子医疗交易格式
为什么会这样？因为医疗数据太敏感了。泄露一个患者的病历，可能影响他的保险、就业甚至社会关系。我审查医疗设备时，会重点检查：设备是否加密存储健康数据？是否支持访问控制？日志是否记录了谁在什么时间看了什么数据？
避坑指南：我曾经审查一款可穿戴健康监测设备。厂商觉得“心率数据不算医疗信息”，所以没做加密。结果被FDA认定为医疗设备，必须符合HIPAA。整改成本比当初做加密高了10倍。记住：只要设备用于诊断、监测或治疗，就默认是医疗设备。
2.6 多法规合规的实战策略
现实中，一台设备可能同时要满足多个法规。比如一台智能医疗支付终端，既要符合HIPAA，又要满足PCI-DSS，还得遵守GDPR。怎么办？
我的建议：
- 找最大公约数：加密、访问控制、日志审计是所有法规的共同要求。先做好这些
- 按最严标准执行：比如GDPR要求72小时通报，那就按这个标准来，其他法规只会更宽松
- 建立合规清单：把每个法规的要求列成表格，逐条对照检查
实战工具：我习惯用一张“法规对照表”，把GDPR、CCPA、等保2.0、PCI-DSS、HIPAA的要求按“数据收集、数据存储、数据传输、数据删除、日志审计”五个维度归类。这样一次审查，就能覆盖所有法规。
好了，法规基础就讲到这里。下一章我会带你实战——怎么用这些法规去审查一台具体的设备。记住，法规是死的，但审查方法是活的。多积累案例，你也能成为合规老手。