GDPR 是什么
GDPR（通用数据保护条例，Regulation (EU) 2016/679）是欧盟的个人数据保护法规，域外适用是关键点：只要处理欧盟境内数据主体的个人数据，即使公司不在欧盟设立，也可能受其约束。合规不只看同意弹窗，核心是三块能力——每一项处理都有明确的合法性基础、能在时限内响应数据主体权利请求、并且履行记录与通知义务（保留处理活动记录、高风险处理做 DPIA、发生泄露时在可行范围内 72 小时内通知监管机构）。
基本信息
| 基础 | 同意/合同必要/合法利益等六类合法性基础 |
|---|---|
| 义务 | 记录处理活动、DPIA、事件通知（72 小时）、DPO 条件 |
| 权利 | 访问、更正、删除、限制、可携带、反对 |
| 域外适用 | 面向欧盟境内数据主体提供服务或监控其行为即可触发 |
| 文档 | 处理活动记录、同意记录、评估报告与协议需可举证 |
典型使用场景
- 产品出海，需要判断是否受 GDPR 约束以及适用哪些义务
- 营销与埋点收集行为数据，需要确定合法性基础与告知方式
- 用户提出删除或导出请求，需要可执行的响应流程
- 引入欧盟供应商或把数据传输到境外，需要合同与传输机制
- 发生泄露事件，需要按 72 小时要求评估是否通知监管机构
响应时限示例
响应时限示例
数据主体访问请求：原则上 1 个月内回复 # 复杂请求可按规则延长并告知申请人
数据泄露通知监管：知悉后 72 小时内 # 是否通知、通知什么内容需按风险判断
DPIA：高风险处理前完成并记录 # 事后补做多数只能二选一：整改或带风险上线
同意撤回：与给予同意同样容易 # 撤回通道与授权通道要对称
记录留存：处理活动记录持续维护 # 记录本身是履行义务的证据义务与时限
| 义务 | 时限或要求 | 常见疏漏 |
|---|---|---|
| 数据导出与删除 | 1 个月内响应 | 只做前端删除，备份与日志中仍留数据 |
| 泄露通知 | 知悉后 72 小时内评估并通知 | 判断标准缺失，事件发生后临时讨论 |
| DPIA | 高风险处理开始前完成 | 上线后再补，整改空间很小 |
| 同意管理 | 可证明、可撤回 | 前端勾选与后端记录脱节，无法举证 |
| 处理活动记录 | 持续维护并保持准确 | 记录停留在项目初期版本 |
GDPR 的处罚上限为 2000 万欧元或上一财年全球年营业额的 4%（取较高者）；具体适用情形、责任划分与处罚幅度由监管机构按案情判定，涉及真实场景时应由法务或数据保护专业顾问评估。