跨境数据合规怎么做？GDPR入门指南

一、GDPR背景介绍

1.1 什么是GDPR

GDPR是General Data Protection Regulation的缩写，中文译名为《通用数据保护条例》。它是欧盟（EU）于2016年4月27日正式通过的一项具有里程碑意义的个人数据保护法规。

1.2 为什么GDPR影响深远

GDPR之所以在全球范围内引发广泛关注，源于以下几个关键特征：

• 域外效力（长臂管辖）：GDPR不仅约束在欧盟设立的组织，还适用于任何在欧盟境外设立但在欧盟境内提供商品或服务、或监控欧盟居民行为的组织。这意味着一家在深圳注册的中国公司也可能受到GDPR的约束。
• 高额罚款：违规罚款最高可达全球年度营业额的4%或2000万欧元（取较高者），这是前所未有的处罚力度。
• 广泛的用户权利：赋予数据主体包括访问权、更正权、删除权、携带权、反对权在内的一系列强有力权利。
• 严格的责任体系：引入「问责制」（Accountability）原则，要求组织不仅要合规，还要能够证明自己合规。
• 全球示范效应：GDPR出台后，多国纷纷效仿制定类似法规（如巴西LGPD、泰国PDPA、中国《个人信息保护法》等），形成了全球数据保护立法的新浪潮。

1.3 适用地域范围

GDPR的直接适用范围覆盖以下国家和地区（合称EEA——欧洲经济区）：比利时、保加利亚、捷克、丹麦、德国、爱沙尼亚、希腊、西班牙、法国、克罗地亚、爱尔兰、意大利、塞浦路斯、拉脱维亚、立陶宛、卢森堡、匈牙利、马耳他、荷兰、奥地利、波兰、葡萄牙、罗马尼亚、斯洛文尼亚、斯洛伐克、芬兰、瑞典、英国（脱欧后仍保持等效立法）、冰岛、列支敦士登、挪威。

二、什么情况下GDPR适用于中国企业

对于中国企业而言，判断GDPR是否适用的标准主要基于GDPR第3条的规定。以下是几种常见的适用情形：

2.1 情形一：在欧盟设有机构且该机构涉及数据处理

如果企业在欧盟任何一个成员国内设立了分支机构（子公司、分公司、办事处等），并且该分支机构的活动涉及到对个人数据的处理，则GDPR整体适用于该分支机构的所有相关数据处理活动。注意，这里的门槛并不高——即使是仅从事营销活动的代表处，如果涉及收集客户数据，就可能触发GDPR的适用。

2.2 情形二：向欧盟境内的数据主体提供商品或服务

即使企业在欧盟没有任何实体存在，只要满足以下条件之一，GDPR仍然适用：

• 企业明确表示向欧盟消费者提供服务（例如网站上有欧盟语言的版本、使用欧元定价、提供欧盟地区的配送选项）
• 企业的活动可以被合理地理解为针对欧盟用户（即使没有明确声明）

典型场景：一家深圳的跨境电商公司通过亚马逊欧洲站销售产品给德国、法国等国的消费者，并在运营过程中收集消费者的姓名、收货地址、邮箱、电话号码等数据——这种情形下GDPR完全适用。

2.3 情形三：监控欧盟境内数据主体的行为

如果企业对欧盟境内的个人行为进行监控性处理（如追踪浏览行为、创建用户画像、个性化广告投放等），无论是否向其提供商品服务，GDPR均适用。

• 网站使用了跟踪Cookies来分析访客行为，而访客来自欧洲
• APP中嵌入了第三方分析工具，欧洲用户下载使用
• 社交媒体账号面向欧洲受众运营

2.4 适用性判断流程图解

企业可通过以下自查流程初步判断GDPR是否适用于自身：

1. 是否在EEA内有实体？（有 → GDPR适用）
2. 是否向EEA用户提供商品或服务？（是 → GDPR适用）
3. 是否监控EEA用户的行为？（是 → GDPR适用）
4. 以上都不满足 → GDPR可能不适用，但仍建议关注其他司法管辖区的数据法规

三、GDPR七大核心原则

GDPR第5条规定了个人数据处理的七项核心原则。这七项原则构成了整个GDPR合规体系的基石：

3.1 合法、公平和透明（Lawfulness, Fairness and Transparency）

• 合法性（Lawfulness）：必须有合法的处理依据才能处理个人数据（详见下文第四部分关于合法基础的讨论）
• 公平性（Fairness）：不得以损害数据主体利益的方式处理其数据，处理方式应当符合人们的合理预期
• 透明度（Transparency）：必须以清晰易懂的方式告知数据主体有关数据处理的各项信息（通常通过隐私政策实现）

3.2 目的限制原则（Purpose Limitation）

个人数据的收集必须有明确、具体的合法目的，并且在后续处理过程中不得超出该目的的范围。举例来说：

• 为了发货而收集的客户地址，不应被用于发送未经同意的推广邮件
• 为了身份验证而收集的身份证件照片，不应被用于训练人脸识别算法

3.3 数据最小化原则（Data Minimization）

只收集和处理实现目的所必需的最少量的个人数据。不收集「可能有用的」数据，只收集「确实需要的」数据。

3.4 准确性原则（Accuracy）

应采取合理措施确保个人数据的准确性和及时性。不准确的数据应及时删除或更正。这意味着企业需要建立数据质量管理机制，允许用户主动更正自己的信息。

3.5 存储限制原则（Storage Limitation）

个人数据的存储时间不应超过实现处理目的所需的时间。目的达成后，数据应被安全删除或匿名化处理。实践中可以通过设定数据保留策略来实现这一原则。

3.6 完整性和保密性（Integrity and Confidentiality）

必须采取适当的技术和组织措施来确保个人数据的安全，防止未经授权或非法的处理、意外丢失、损毁或破坏。常见的安全措施包括：

• 访问控制和权限管理
• 数据加密（传输加密TLS + 存储加密）
• 定期安全审计和漏洞扫描
• 员工数据安全培训
• 数据备份和灾难恢复计划

3.7 问责制原则（Accountability）

控制者不仅需要遵守上述六项原则，还需要能够证明自己遵守了这些原则。这意味着企业需要：

• 留存数据处理活动的书面记录（Record of Processing Activities, RoPA）
• 实施适当的政策和程序
• 定期进行合规审查和风险评估
• 必要时进行数据保护影响评估（DPIA）
• 培训员工了解数据保护义务

四、数据处理的合法基础

根据GDPR第6条，只有在具备以下至少一种合法基础时，个人数据的处理才是合法的：

4.1 同意（Consent）

数据主体自愿给出的具体、知情且明确的同意声明。GDPR对「同意」的要求非常严格：

• 必须是积极的行动（勾选复选框、点击按钮），预勾选的复选框不算有效同意
• 同意必须自由给出——不得与服务捆绑（不能用「不同意就不能使用」的方式获取同意）
• 必须能随时撤回同意，且撤回应像给予一样方便
• 同意必须针对特定目的——笼统的「同意一切」不符合要求
• 需要有书面的同意记录

4.2 合同（Contract）

为了履行与数据主体之间的合同或在签订合同前应数据主体的要求而采取的措施所必需的处理。例如：

• 电商订单中处理客户的收货信息和联系方式以便交付货物
• 处理员工的工资和银行账户信息以支付薪酬

4.3 法定义务（Legal Obligation）

为遵守控制者所承担的法律义务所必需的处理。例如：

• 根据反洗钱法规收集和验证客户身份信息（KYC/KYB）
• 按照税务法规保存交易记录一定年限
• 根据劳动法保存员工档案

4.4 保护重要利益（Vital Interests）

为保护数据主体或其他自然人的重大利益所必需。此基础常用于紧急情况，如医疗急救时处理患者的健康数据。

4.5 公共利益任务（Public Task）

为执行公共利益领域的任务或行使官方授权所必需。主要适用于政府机关和公共机构。

4.6 合法权益（Legitimate Interests）

控制者或第三方出于合法利益的目的所进行的处理，除非此种利益被数据主体的基本权利和自由所覆盖。这是最灵活也是最容易误用的合法基础。

使用合法权益作为基础时需要进行三步测试（LIA - Legitimate Interest Assessment）：

1. 目的测试：是否存在明确的合法利益？
2. 必要性测试：处理是否为实现该目的所必需？
3. 平衡测试：数据主体的利益、权利和自由是否会凌驾于控制者的合法利益之上？

五、用户权利（数据主体权利）保障

GDPR第三章赋予了数据主体一系列强有力的权利。企业作为数据控制者，必须建立起相应的机制来响应这些权利请求：

5.1 访问权（Right of Access / Subject Access Request）— 第15条

• 数据主体有权确认控制者是否正在处理其个人数据
• 如有，有权获取该数据的副本及相关信息（处理目的、数据类别、接收方、保存期限等）
• 控制者应在收到请求后一个月内免费提供（复杂情况下可延长至三个月）

5.2 更正权（Right to Rectification）— 第16条

• 数据主体有权要求更正不准确的个人数据
• 考虑到处理目的，有权要求补充不完整的个人数据
• 企业应在收到请求后的合理期限内完成更正

5.3 删除权（Right to Erasure / 「被遗忘权」）— 第17条

• 在某些特定条件下，数据主体有权要求控制者删除其个人数据
• 适用情形包括：数据不再必要、撤回同意、反对处理、非法处理、法定义务要求删除等
• 控制者也有义务通知已转发数据的其他处理者进行删除
• 例外情况：为行使言论和信息自由、遵守法定义务、提起/辩护/执行法律诉求等原因可拒绝删除

5.4 限制处理权（Right to Restriction of Processing）— 第18条

• 在某些情况下，数据主体可要求限制对其数据的处理（而非删除）
• 限制处理后，数据只能经数据主体同意或为确立/行使/辩护法律主张之目的而被处理
• 常见场景：数据准确性有争议期间、非法处理但数据主体不愿删除而是选择限制等

5.5 数据携带权（Right to Data Portability）— 第20条

• 数据主体有权以其提供的、经同意或合同方式处理的数据，以结构化、常用且机器可读的格式获取
• 有权将这些数据无障碍地传输给另一个控制者
• 此权利目前主要适用于技术可行的数字化数据

5.6 反对权（Right to Object）— 第21条

• 数据主体有权基于与其特定情况相关的理由，反对控制者基于合法权益或公共利益任务所进行的处理
• 对于直接营销目的的处理，数据主体拥有绝对的反对权（无条件）
• 一旦数据主体提出反对营销，控制者必须立即停止相关的数据处理

5.7 不受自动化决定制约的权利 — 第22条

• 数据主体有权不受仅依赖自动化处理（包括画像）所作出的对其产生法律效果或类似严重影响的决定的制约
• 例外情况：经明示同意、合同必需、法律授权等情形
• 即使允许自动化决定，也应保障数据主体的干预权和解释权

六、数据保护官（DPO）任命要求

6.1 什么时候必须任命DPO

根据GDPR第37条，以下三类情况必须任命数据保护官（Data Protection Officer, DPO）：

1. 公共当局或公共机构（法院行使司法职能时除外）
2. 核心活动涉及大规模系统性监控的组织（如在线行为追踪、用户画像等）
3. 核心活动涉及大规模处理特殊类别数据的组织（如种族/政治观点/宗教信仰/健康/性生活/性取向等敏感数据，或与犯罪记录/违法相关的数据）

6.2 DPO的角色定位

DPO在企业中的角色具有独立性：

• DPO可以由内部员工担任，也可以外包给外部专业顾问
• DPO必须具备数据保护法和实务方面的专业知识
• DPO在执行任务时享有独立地位，不受雇主关于如何处理任务的指示的影响
• DPO不能因履行职责而遭到解雇或处罚
• DPO负责就GDPR合规事宜提供建议、监控合规状况、作为监管机构的联络点

6.3 中小企业需要DPO吗

大多数中小型跨境电商企业不属于强制任命DPO的三类情形。但这并不意味着可以忽视数据保护责任——企业仍然可以选择自愿任命一名DPO或指定一名数据保护负责人来统筹合规工作。即使不设专职DPO，也应有专人负责处理数据主体的权利请求和监管机构的沟通事务。

七、数据泄露通报机制

7.1 什么是个人数据泄露

根据GDPR的定义，个人数据泄露是指导致意外或非法地被破坏、丢失、更改、未经授权披露或访问的个人数据传输、存储或其他处理的安全事件。

常见的数据泄露形式包括但不限于：

• 黑客攻击导致数据库被入侵
• 员工误操作将包含个人数据的邮件发错人
• 存储设备丢失或被盗
• 系统漏洞被利用
• 云服务商配置错误导致数据公开暴露
• 内部人员恶意窃取或泄露

7.2 72小时通报规则

GDPR第33条确立了严格的通报时限：数据控制者在知悉数据泄露发生后72小时内，须向所在成员国的数据保护监管机构报告。除非该泄露不太可能对数据主体的权利和自由构成风险。

7.2.1 向监管机构通报的内容

• 泄露的性质（尽可能包括涉及的类别和大致数量）
• 数据保护官（如有）或联系点的姓名和联系方式
• 可能造成的后果描述
• 已采取或拟采取的措施

7.2.2 向数据主体通知

当泄露很可能对数据主体的权利和自由造成高风险时，控制者还应毫不迟延地将泄露通知到每一位受影响的数据主体（第34条）。通知内容应以清晰通俗的语言说明发生了什么、可能有什么后果、控制者正在做什么补救。

7.3 数据泄露应急响应建议

建议企业提前制定数据泄露应急响应计划，包括以下要素：

1. 发现与确认：建立监测机制，确保能在第一时间发现异常
2. 遏制与评估：立即采取措施防止泄露扩大，同时评估泄露的规模和影响
3. 通报决策：判断是否需要在72小时内通报监管机构和/或数据主体
4. 根除与恢复：消除漏洞根源，恢复系统和服务的正常运行
5. 事后复盘：总结经验教训，改进安全措施，防止同类事件再次发生

八、罚款金额与执法机制

8.1 两级罚款制度

GDPR第83条规定的行政处罚分为两个层级：

8.2 值得关注的执法案例

自2018年GDPR生效以来，欧盟各国的数据保护监管机构已开出大量罚单。以下是一些具有代表性的案例（截至2026年初的部分记录）：

从案例分布来看，大额罚单主要集中在大型科技公司，但中小企业的罚款案例也在逐年增加。值得注意的是，除了金钱处罚外，监管机构还可责令暂停数据处理、禁止某些类型的处理活动等。

九、跨境电商实操建议

对于面向欧洲市场开展业务的跨境电商企业，以下是分阶段的合规实施路径建议：

9.1 阶段一：现状评估与数据盘点

1. 绘制数据流向图：列出所有收集个人数据的渠道和触点（官网、APP、第三方平台店铺、邮件列表、社交媒体等）
2. 编制数据清单：详细记录每类数据的来源、类别、处理目的、存储位置、保留期限
3. 识别数据接收方：梳理所有接触个人数据的第三方（支付网关、物流商、ERP系统供应商、分析工具提供商、广告平台等）
4. 评估跨境传输情况：确定是否有数据从欧盟传至非充分性认定国家的情形

9.2 阶段二：完善政策文件

9.2.1 隐私政策

隐私政策是GDPR合规的核心文件之一，必须满足以下最低要求：

• 数据控制者的身份和详细联系方式
• 数据保护官（如有）的联系详情
• 处理的各类个人数据及其法律依据
• 处理目的
• 数据接收方或其类别（包括第三国和国际传输保障措施的信息）
• 数据保留期限（或用于确定期限的标准）
• 数据主体的各项权利及行使方式
• 向监管机构投诉的权利
• 是否涉及自动化决策及画像，其逻辑和预期影响的简要说明
• 政策的最后更新日期

9.2.2 Cookie政策

如果网站使用非必要的Cookies（如分析Cookies、营销Cookies），必须在用户首次访问时展示Cookie同意横幅，并获得用户的积极同意后才可加载此类Cookies。

• Cookie横幅应清晰列出使用的各类Cookie及其用途
• 用户应能够分别接受或拒绝不同类别的Cookie
• 用户的偏好应被保存，避免重复询问
• 应提供详细的Cookie政策页面供用户深入了解

9.2.3 数据处理协议（DPA）

当企业与第三方服务提供商（作为数据处理者）共享个人数据时，必须签订符合GDPR第28条要求的数据处理协议（Data Processing Agreement）。协议应涵盖：

• 处理的主题、持续时间、性质和目的
• 数据类型和数据主体类别
• 控制者的义务和权利
• 处理者的义务（仅按指令处理、保密、安全措施等）
• 子处理者的使用规则
• 协助配合数据主体权利请求的义务
• 处理结束后的数据归还/删除义务
• 审计权和检查权的约定

9.3 阶段三：落实技术与组织措施

• 网站层面：部署HTTPS全站加密、配置安全的HTTP头（CSP、X-Frame-Options等）、实施Cookie同意管理系统
• 数据库层面：采用加密存储敏感字段（如密码哈希、银行卡号）、实施数据库访问权限分级、定期备份和恢复演练
• 应用层面：输入验证防注入、会话管理安全、API接口鉴权、日志审计
• 组织层面：制定信息安全政策、员工入职离职的数据安全培训、权限定期审核、供应商安全管理

9.4 阶段四：建立响应流程

• 数据主体权利请求处理流程：设立专门的受理渠道（邮箱/表单），规定内部流转时限和责任人
• 数据泄露应急响应流程：制定预案、组建应急小组、明确通报决策树
• 定期合规评审机制：每年至少一次全面的GDPR合规自评

十、与中国《个人信息保护法》（PIPL）的关系

10.1 中国PIPL概述

《中华人民共和国个人信息保护法》（简称PIPL）于2021年8月20日由全国人大常委会通过，并于2021年11月1日起施行。PIPL是中国首部专门针对个人信息保护的综合性法律，标志着中国在数据保护领域建立了与GDPR类似的框架体系。

10.2 GDPR与PIPL的主要异同对比

10.3 PIPL下的出境安全评估要求

对于同时面向欧洲和中国市场的企业而言，PIPL规定的数据出境安全评估是一个特别重要的合规要点。

10.3.1 必须申报安全评估的情形

根据《数据出境安全评估办法》（2022年9月1日施行），以下情形必须通过国家网信部门的安全评估后方可将数据出境：

1. 数据处理者向境外提供重要数据（指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的数据）
2. 关键信息基础设施运营者（CIIO）向境外提供个人信息
3. 处理100万人以上个人信息的数据处理者向境外提供个人信息
4. 累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者

10.3.2 其他出境路径

如果不属于上述必须安全评估的情形，还可以选择以下替代路径：

• 个人信息出境标准合同：与境外接收方签订由国家网信部门制定的标准合同，并进行备案
• 个人信息保护认证：通过国家网信部门认可的认证机构的认证

10.4 双重合规策略

对于同时经营欧洲和中国市场的企业，建议采取以下双重合规策略：

1. 以高标准统一基准线：取GDPR和PIPL两者中更高的标准作为内部合规底线
2. 分别维护本地化的隐私政策：面向欧洲用户的隐私政策遵循GDPR要求，面向中国用户的遵循PIPL要求
3. 建立统一的RoPA记录：一套数据处理记录同时满足两套法规的文档要求
4. 跨境传输双轨制：欧盟方向使用SCCs等适当保障措施，中国方向通过安全评估或标准合同
5. 定期同步更新：关注两地的立法动态和执法趋势，及时调整合规方案

十一、总结

GDPR代表了当前全球数据保护领域的高标准，对于面向欧洲市场的中国企业而言是一项不可回避的合规课题。以下是本文要点的快速回顾：

• 适用判断：只要向EEA用户提供商品/服务或监控EEA用户行为，GDPR即适用
• 七大原则：合法公平透明、目的限制、数据最小化、准确性、存储限制、完整保密、问责制
• 合法基础：同意/合同/法定义务/重要利益/公共利益/合法权益——每次处理都需明确依据
• 用户权利：访问/更正/删除/限制/携带/反对/不受自动化决定制约——必须建立响应机制
• DPO：特定情形下必须任命，其他企业建议至少指定专人负责
• 数据泄露：72小时内通报监管机构，高风险时还需通知数据主体
• 罚款风险：最高可达2000万欧元或全球营收4%——合规投入远低于潜在罚款
• 实操路径：评估现状→完善政策→落实技术组织措施→建立响应流程→持续改进
• 与PIPL的关系：两者框架相似但有细节差异，面向双市场的企业需做好双重合规

数据合规不是一次性的工作，而是一个持续的、动态的过程。建议企业从现在开始着手建立和完善自身的GDPR（及PIPL）合规体系，逐步将合规要求融入日常运营之中。

十二、法律依据

• Regulation (EU) 2016/679 — General Data Protection Regulation (GDPR) — GDPR原始文本（英文）
• 欧盟通用数据保护条例(GDPR) — GDPR中文参考文本
• 《中华人民共和国个人信息保护法》 — 全国人大官网全文
• 《中华人民共和国数据安全法》 — 全国人大官网全文
• 欧洲数据保护委员会(EDPB) - GDPR指引和建议
• 英国ICO - GDPR实用指南
• 《数据出境安全评估办法》 — 国家互联网信息办公室