GDPR 通用数据保护条例

GDPR（General Data Protection Regulation，通用数据保护条例）是欧盟制定的一部个人数据保护法规，统一规范了在欧盟及欧洲经济区内收集和处理个人数据的行为。

概述

GDPR 于 2016 年由欧洲议会和欧盟理事会通过，2018 年 5 月 25 日起正式适用，取代了此前的《数据保护指令》（95/46/EC）。作为条例而非指令，它在所有欧盟成员国直接生效，无需各国另行立法转化，从而统一了欧盟内部的数据保护规则，降低了跨国企业的合规复杂度。

GDPR 是欧盟隐私法和基本权利保护体系的重要组成部分，其法理基础与《欧盟基本权利宪章》中关于个人数据保护的条款一脉相承。它的核心目标是让个人对自己的数据拥有更多控制权，同时也规范个人数据向欧盟和欧洲经济区之外的传输。

值得注意的是，GDPR 具有「域外效力」：即使一家公司不在欧盟设立，只要它向欧盟境内的用户提供商品或服务、或监测其行为，就同样需要遵守。这使得全球互联网公司普遍受其约束，也推动了世界多国参照它制定本国的数据保护立法。

核心内容

• 用户权利：包括知情权、访问权、更正权、删除权（即「被遗忘权」）、数据可携权和反对权等。
• 合法性基础：处理个人数据必须有明确的合法依据，如用户同意、履行合同或法定义务等，且「同意」必须自由、明确、可随时撤回。
• 责任划分：区分数据控制者与数据处理者，明确各自义务，部分组织还需设立数据保护官（DPO）。
• 数据泄露通报：发生泄露事件时，通常须在规定时限内向监管机构报告。
• 严厉处罚：严重违规最高可被处以 2000 万欧元或全球年营业额 4% 的罚款（取较高者）。

对普通用户和企业的影响

对用户而言，GDPR 带来了随处可见的 Cookie 同意弹窗、更透明的隐私政策，以及导出或删除个人数据的实际渠道。对企业而言，它意味着必须重新审视数据收集流程、遵循「数据最小化」和「隐私设计」原则。谷歌、Meta 等科技巨头都曾因违反 GDPR 被处以高额罚款，可见其执法力度。

常见问题

问：GDPR 只适用于欧洲公司吗？答：不是。任何面向欧盟用户提供服务或追踪其行为的组织，无论注册地在哪里，都可能落入 GDPR 的管辖范围。

问：GDPR 和中国的《个人信息保护法》有什么关系？答：两者是不同法域的独立立法，但中国《个人信息保护法》在权利设置、合规框架等方面明显参考了 GDPR 的思路，常被称为「中国版 GDPR」。

问：网站上的 Cookie 同意弹窗就是因为 GDPR 吗？答：很大程度上是。GDPR 及配套的电子隐私规则要求网站在使用非必要 Cookie 追踪用户前须获得明确同意，因此欧盟相关网站普遍加上了同意提示。