第二章：全球隐私法规全景——GDPR、CCPA、PIPL、LGPD等主要法规的适用范围与核心要求对比
大家好，我是你们的老朋友。今天我们来聊聊全球隐私法规这张“世界地图”。
说实话，我刚入行那会儿，全球隐私法规还没这么热闹。GDPR刚出来时，很多人觉得“那是欧洲的事，跟我没关系”。结果呢？现在你做个App，用户可能在美国、在巴西、在上海。你不搞清楚这些法规的适用范围，分分钟被罚到怀疑人生。
我个人习惯把全球隐私法规分成三大阵营：欧盟的GDPR、美国的州级法律（以CCPA/CPRA为代表）、以及亚洲的PIPL。巴西的LGPD其实跟GDPR很像，但细节上又有自己的脾气。今天我们就来把它们掰开揉碎，看看各自的门道。
2.1 GDPR：全球隐私法规的“老大哥”
GDPR，全称General Data Protection Regulation，2018年5月25日正式生效。它为什么这么牛？因为它有“长臂管辖”原则。
适用范围：
- 在欧盟境内设立的数据控制者或处理者
- 不在欧盟设立，但向欧盟境内的数据主体提供商品或服务（无论是否收费）
- 不在欧盟设立，但对欧盟境内数据主体的行为进行监控
我在项目中遇到过一家国内做跨境电商的公司，服务器全在香港，用户遍布全球。他们一开始觉得“我不在欧盟，GDPR管不着我”。结果呢？他们的网站有法语版、德语版，还接受欧元支付。这妥妥地触发了“提供商品或服务”这一条。嗯，后来他们老老实实上了合规系统。
核心要求：
- 合法基础：必须基于同意、合同、法律义务、重大利益、公共利益或合法利益之一
- 数据主体权利：访问权、更正权、删除权（被遗忘权）、限制处理权、数据可携权、反对权
- 数据保护官（DPO）：特定场景下必须任命
- 数据泄露通知：72小时内通知监管机构
- 数据保护影响评估（DPIA）：高风险处理活动前必须做
关键数字：GDPR罚款上限为全球年营业额的4%或2000万欧元（取较高者）。这不是闹着玩的。
2.2 CCPA/CPRA：美国加州的“本土化”方案
CCPA（California Consumer Privacy Act）2020年1月1日生效，CPRA（California Privacy Rights Act）是它的升级版，2023年1月1日全面生效。
你想想看，美国没有联邦层面的综合隐私法，但加州作为科技中心，自己搞了一套。而且这套法律影响很大——很多公司干脆把它作为全美合规的基准。
适用范围：
- 在加州开展业务的营利性实体
- 满足以下任一条件：年总收入超过2500万美元；每年购买、接收、出售或共享10万及以上加州居民的个人信息（CPRA将门槛从10万降低到10万，但范围扩大）；50%及以上年收入来自出售或共享个人信息
核心要求：
- 知情权：收集前告知数据类别和用途
- 删除权：用户可以要求删除其个人信息
- 选择退出权：用户有权选择不出售或共享其个人信息
- 非歧视：不能因为用户行使权利而拒绝提供服务
- 敏感个人信息：CPRA新增了对敏感个人信息的特殊保护
我的经验：CCPA的“出售”定义比字面意思宽泛得多。分享数据给第三方用于定向广告，也算“出售”。我曾经帮一家广告科技公司做合规，他们一开始只检查了“卖数据”的场景，完全忽略了程序化广告中的实时竞价（RTB）环节。结果一查，问题大了。
2.3 PIPL：中国的个人信息保护法
PIPL（Personal Information Protection Law）2021年11月1日生效。它跟GDPR很像，但更“接地气”。
适用范围：
- 在中国境内处理个人信息的活动
- 在中国境外处理中国境内自然人个人信息的活动，如果目的是：向境内自然人提供产品或服务；分析、评估境内自然人的行为；法律规定的其他情形
核心要求：
- 告知同意：必须清晰、明确地告知，取得单独同意（敏感信息、向第三方提供、公开等场景）
- 最小必要：只收集与处理目的直接相关的最少信息
- 跨境传输：通过安全评估、标准合同或认证三种途径之一
- 个人信息保护影响评估：高风险处理活动前必须做
- 本地化存储：关键信息基础设施运营者和处理大量个人信息的平台需在中国境内存储
避坑指南：我曾经遇到一家跨国企业，他们以为PIPL的“单独同意”就是弹窗里加个勾选框。错了。单独同意要求每个处理目的单独获取同意，不能打包。比如你用手机号登录，同时想用于营销，必须分开弹两次。这个细节很多公司都踩过坑。
2.4 LGPD：巴西的“GDPR表弟”
LGPD（Lei Geral de Proteção de Dados）2020年9月18日生效。它跟GDPR高度相似，但有一些本地化差异。
适用范围：
- 在巴西境内进行的处理活动
- 处理目的为向巴西境内个人提供商品或服务
- 处理在巴西境内收集的个人数据
核心要求：
- 合法基础：10种合法基础，包括同意、合同、法律义务、信用保护等
- 数据主体权利：与GDPR类似，包括确认权、访问权、更正权、删除权等
- 数据保护官（DPO）：必须任命，且需公开联系方式
- 数据泄露通知：合理时间内通知监管机构和数据主体
- 罚款上限：巴西境内集团年收入的2%，最高5000万雷亚尔（约合1000万美元）
说实话，LGPD的罚款金额比GDPR低不少，但它的执法力度在逐年加强。我建议不要因为罚款低就掉以轻心。
2.5 核心要求对比一览
| 维度 | GDPR | CCPA/CPRA | PIPL | LGPD |
|---|---|---|---|---|
| 生效时间 | 2018年5月 | 2020年1月/2023年1月 | 2021年11月 | 2020年9月 |
| 管辖范围 | 长臂管辖 | 加州居民+收入门槛 | 境内+境外特定场景 | 境内+向巴西提供服务 |
| 合法基础 | 6种 | 同意+业务必要 | 告知同意为主 | 10种 |
| 数据主体权利 | 7项 | 5项（CPRA扩展） | 7项 | 7项 |
| 数据保护官 | 特定场景强制 | 未强制 | 特定场景强制 | 强制任命 |
| 跨境传输 | 充分性认定+标准合同+BCR | 未明确限制 | 安全评估+标准合同+认证 | 充分性认定+标准合同 |
| 罚款上限 | 4%全球营收/2000万欧元 | 每次违规2500美元（故意7500美元） | 5000万人民币/5%上年营收 | 2%巴西营收/5000万雷亚尔 |
2.6 我的实操建议
好了，看完这些法规，你可能会觉得头大。别急，我分享几个实战经验：
- 先做数据映射：不管哪个法规，第一步永远是搞清楚你收集了什么数据、存在哪里、谁在处理。没有数据映射，合规就是空中楼阁。
- 找最大公约数：如果你的业务覆盖多个地区，我建议以GDPR为基准，再针对CCPA和PIPL做差异化调整。GDPR的要求最全面，往上加东西容易，往下减东西难。
- 别忽视“小”法规：除了这四大法规，还有韩国的PIPA、日本的APPI、印度的DPDPA等等。如果你的用户来自这些国家，也得关注。
- 自动化工具要跟上：手动管理多个法规的合规要求，迟早会出问题。我建议尽早引入隐私管理平台（如OneTrust、TrustArc等），能省很多事。
一句话总结：全球隐私法规虽然各有不同，但核心逻辑是一致的——尊重用户、透明处理、保障权利。抓住这个本质，再复杂的法规也能拆解清楚。
下一章，我们会深入聊聊如何搭建一套通用的隐私合规框架。到时候我会分享一个我亲手搭建过的合规体系案例，保证干货满满。