用户数据与 GDPR

GDPR（General Data Protection Regulation，通用数据保护条例）是欧盟的数据保护法规，规定处理个人数据时的义务，以及个人对自己数据享有的权利^[1]。它在 2018 年 5 月生效，把欧盟各国此前分散的规则统一成一套^[2]。只要站点向欧盟用户提供服务，或者监测他们的行为，即使公司设在欧盟之外也适用^[2]。

适用范围

管辖范围不止欧盟企业。向欧盟境内的人提供商品或者服务，或者分析其行为，都在范围之内^[2]。用一个面向欧盟的独立域名，或者提供欧盟国家的语言版本，都可能落入管辖。

处理者的义务

• 找到合法的处理依据；
• 目的明确，范围最小；
• 向用户告知处理情况；
• 记录处理活动；
• 发生数据泄露时通报监管机构；
• 高风险处理先做影响评估。

这几项来自条例的核心原则^[1]。

个人的权利

用户对自己的数据享有一组权利：访问、更正、删除（被遗忘）、限制处理、可携带、反对，以及与自动化决策相关的权利^[2]。站点要给出可用的申请渠道，并在规定时限内答复。

对网站的具体要求

• 非必要 Cookie 先取得同意；
• 提供隐私政策；
• 表单旁说明用途；
• 与第三方共享数据要披露，并有法律依据；
• 跨境传输要有保障措施^[1]。

站点普遍部署第三方追踪代码，处理这些数据之前，先确认有没有对应的法律依据^[5]。

中国的对应规则

国内侧，《个人信息保护法》对处理规则、单独同意、跨境提供等作出规定，处理者要公开规则，并保障个人的查阅、复制、更正、删除等权利^[4]。面向欧盟与中国用户的站点，两套规则都要照顾。

违规的后果

监管机构可以罚款、责令整改，严重时限制数据处理活动^[1]。欧洲数据保护委员会负责协调各国监管机构，统一执法口径^[3]。

改动带来的代价

合规会增加工作量：梳理数据流向、更新政策、改造同意弹窗，都要人来做。同意率不高时，统计与广告的数据出现缺口，报表的可信度下降。有跨境业务时还要评估传输机制，成本不低。

附录

参见

• Cookie 与同意
• 隐私政策
• 表单与数据收集
• 个人信息保护法

参考资料

官方（境外）

1. 《Regulation (EU) 2016/679（GDPR）》，欧盟，2016-04-27。
2. 《Information for individuals》，欧盟委员会。
3. 《欧洲数据保护委员会（EDPB）》，EDPB。

官方（国内）

4. 《中华人民共和国个人信息保护法》，中国人大网，2021-08-20。

第三方

5. 《Web Almanac》，HTTP Archive，2025。

外部链接

无。