全球隐私法规概览：GDPR、CCPA、PIPL、LGPD 的异同点
做隐私合规这些年，我最大的感受就是：法规不是孤岛。你做一个面向全球用户的 App，可能同时要踩 GDPR、CCPA、PIPL 好几条船。嗯，今天我们就来聊聊这几个大家伙——它们到底哪里像，哪里不一样。
一、先看一张对比表，心里有个底
我个人习惯，拿到一个新法规，先拉一张表。把核心要素列出来，一眼就能看出差异。下面这张表，是我自己整理时常用的框架：
| 维度 | GDPR（欧盟） | CCPA/CPRA（加州） | PIPL（中国） | LGPD（巴西） |
|---|---|---|---|---|
| 生效时间 | 2018年5月 | 2020年1月（CPRA 2023年） | 2021年11月 | 2020年9月 |
| 适用范围 | 属地+属人+属设备 | 属地+营收门槛 | 属地+属人 | 属地+属人 |
| 核心权利 | 访问、删除、更正、可携带、反对、限制处理 | 知情、删除、选择退出（出售）、更正、可携带 | 知情、删除、更正、可携带、撤回同意、拒绝自动化决策 | 访问、删除、更正、可携带、反对、限制处理 |
| 法律基础 | 同意、合同、合法利益等6种 | 同意（敏感数据）、业务必要 | 同意、合同、法定职责等7种 | 同意、合同、合法利益等10种 |
| 处罚上限 | 2000万欧元或全球年营收4% | 每次违规2500美元（故意7500美元） | 5000万人民币或上年度营收5% | 5000万雷亚尔或营收2% |
你看，光从处罚力度上就能看出态度。GDPR 和 PIPL 都是「营收百分比」模式，说白了就是让你不敢拿合规当儿戏。我在项目中遇到过一家做跨境电商的客户，一开始只盯着 CCPA 的罚款金额，觉得 7500 美元不算什么，结果一算全球营收的 4%……嗯，他们立刻把合规优先级提到了最高。
二、核心异同点，我挑几个重点说
1. 适用范围：谁在管你？
这一点很有意思。GDPR 的「长臂管辖」是最出名的——只要你在欧盟境内有用户，或者你监控了欧盟居民的行为，哪怕你公司注册在开曼群岛，照样被管。说白了就是「只要你的数据沾了欧盟的边，我就管你」。
PIPL 也是类似逻辑。只要处理的是中国境内自然人的个人信息，不管你在哪，都适用。但这里有个坑：PIPL 对「境外处理者」有专门的合规要求，比如必须在中国境内设立专门机构或指定代表。我曾经帮一家新加坡公司处理过这个，他们一开始以为只要服务器不在中国就没事，结果发现用户是中国人，照样被约谈。
CCPA 相对温和一些。它主要看企业是否在加州做生意，并且年营收超过 2500 万美元，或者买卖了 10 万条以上加州居民的个人信息。嗯，门槛其实不高，很多中小公司一不小心就踩线了。
2. 法律基础：你凭什么处理我的数据？
GDPR 给了 6 种法律基础，最常见的是「同意」和「合法利益」。但注意，「合法利益」不是万能挡箭牌。我记得有个案例，一家公司用「合法利益」来推送广告，结果被罚了——因为用户对广告推送的预期和实际处理目的不匹配。
PIPL 的法律基础有 7 种，但实践中「同意」几乎是必选项。尤其是处理敏感个人信息，必须取得「单独同意」。什么叫单独同意？就是你不能在用户协议里夹带一句「我同意处理我的生物识别信息」，必须弹出一个单独的窗口让用户勾选。这个细节，很多 App 到现在都没改对。
CCPA 对法律基础的要求相对宽松。它不要求你每次处理数据都找法律基础，但如果你要「出售」个人信息，必须给用户一个「选择退出」的链接。说白了，CCPA 更关注的是「用户能不能说不」，而不是「你凭什么做」。
3. 用户权利：用户能做什么？
这一点上，GDPR 和 PIPL 非常像。都给了用户访问权、删除权、更正权、可携带权。但 PIPL 多了一个「拒绝自动化决策」的权利。什么意思？就是如果算法自动给你推荐内容、自动给你打分，用户有权要求你解释，甚至要求你人工介入。
我在项目中遇到过一家做信用评分的企业，他们用机器学习模型给用户打分。PIPL 生效后，用户投诉说「凭什么给我打低分？」企业一开始很慌，后来我们帮他们设计了一套「自动化决策解释机制」，每次评分后自动生成一份简短的解释报告。嗯，这个做法后来被监管认可了。
CCPA 的用户权利相对少一些，但有一个很特别的权利：选择不出售个人信息。这个「出售」的定义很宽泛，包括分享数据给第三方用于广告。所以很多网站现在都加了一个「Do Not Sell My Personal Information」的链接，就是这个原因。
三、避坑指南：我踩过的几个坑
⚠️ 坑一：以为合规可以「一套方案打天下」
我曾经帮一家做 SaaS 的公司做合规，他们想用同一套隐私政策覆盖全球用户。结果发现，GDPR 要求的数据可携带权格式是 JSON，CCPA 要求的是 CSV，PIPL 要求的是中文且可读。最后我们不得不做了三套不同的数据导出接口。所以，别偷懒，每个法规的细节都要单独处理。
💡 小技巧：先做「法规映射表」
我个人习惯，每接一个新项目，先拉一张表：左边列 GDPR 的要求，右边列 PIPL 的要求，中间写我们现有的做法。这样一眼就能看出差距。比如 GDPR 要求 72 小时内通知数据泄露，PIPL 要求「及时」通知——这个「及时」怎么定义？我们一般按 48 小时来要求自己，留点余量。
⚠️ 坑二：忽略了「跨境传输」的差异
GDPR 允许通过标准合同条款（SCC）进行跨境传输，PIPL 则要求通过「安全评估」或「标准合同」或「认证」。但注意，PIPL 的安全评估门槛很高——如果你处理的是 100 万人以上的个人信息，或者处理的是敏感个人信息，就必须走安全评估。我见过一家公司，以为签了标准合同就万事大吉，结果被监管要求补做安全评估，项目延期了三个月。
四、总结一下，其实没那么复杂
说白了，这几个法规的核心逻辑是一样的：保护用户的数据权利，让企业承担责任。区别在于细节——谁被管、怎么管、罚多重。
我个人建议，如果你刚开始做全球合规，先吃透 GDPR。因为 GDPR 是很多法规的「模板」，PIPL 和 LGPD 都借鉴了它的框架。把 GDPR 搞明白了，再看其他法规，你会发现很多概念是相通的。
嗯，今天就聊到这里。下一章我们聊聊「如何搭建一套通用的隐私合规框架」，到时候我会分享一个我实际用过的模板。