一句话解释：GDPR 是欧盟在 2018 年 5 月 25 日生效的个人数据保护法规，只要你的独立站面向欧盟用户、收集或处理欧盟境内数据主体的个人数据，无论公司注册在哪个国家，都受它管辖，违规最高可罚 2000 万欧元或全球年营业额的 4%（取高者）。
生活化类比
把 GDPR 想象成欧盟给所有"收集用户信息的人"发的一张全球通用的驾照规则：
- 你在中国开车（独立站服务器在中国），但只要你的车开进欧盟地界（有欧盟用户访问、下单、留邮箱），就得遵守欧盟的交通规则。
- 你不能随便把乘客的身份证复印件转卖给第三方（数据共享需授权）。
- 乘客有权要求你"删掉我的所有记录"（被遗忘权），你必须照办。
- 如果你违规，罚款不是按"你赚了多少"算，而是按"你全球营收的比例"算——哪怕这笔生意只在欧盟做了 100 欧元。
核心概念/公式
GDPR 的合规逻辑可以拆成三个关键角色和一条处罚公式：
| 角色 | 含义 | 独立站场景 |
|---|---|---|
| 数据主体（Data Subject） | 个人数据所属的自然人 | 你的欧盟访客、买家 |
| 控制者（Controller） | 决定数据处理目的和方式的一方 | 你的独立站主体 |
| 处理者（Processor） | 代表控制者处理数据的一方 | Shopify、Mailchimp、支付网关 |
处罚公式：
罚款 = max(2000万欧元, 全球年营业额 × 4%)
较轻违规（如未记录处理活动）为 max(1000万欧元, 全球年营业额 × 2%)。
合法处理的 6 大依据：同意、合同履行、法律义务、重大利益、公共任务、合法利益。独立站最常用的是"同意"和"合同履行"。
与相关术语对比
| 术语 | 管辖区域 | 核心要求 | 与 GDPR 的关系 |
|---|---|---|---|
| **GDPR** | 欧盟+域外效力 | 同意、被遗忘权、DPO、72小时通报 | 基准 |
| **CCPA/CPRA** | 美国加州 | 知情权、删除权、opt-out 出售 | 概念相似，但无"同意前置" |
| **PIPL** | 中国 | 单独同意、境内存储、出境评估 | 更严的本地化要求 |
| **Cookie 同意** | 欧盟 ePrivacy | 非必要 Cookie 需事前同意 | GDPR 的配套指令 |
关键差异：GDPR 要求默认隐私（Privacy by Design），而 CCPA 更偏向"事后 opt-out"。
应用场景（含数据/案例）
场景 1：独立站收集邮箱做再营销
你在 Shopify 独立站用弹窗收集邮箱，用户填了即视为"同意"吗？不够。GDPR 要求同意必须自由给出、具体、知情、明确，预勾选框无效。2023 年，Meta 因将 GDPR 同意捆绑在服务条款中被罚 13 亿欧元，创纪录。
场景 2：跨境数据传输
你把欧盟用户数据传到美国服务器，需依赖"标准合同条款（SCC）"或"充分性决定"。2020 年 Schrems II 判决推翻了 Privacy Shield，导致 5000+ 家企业紧急重签数据传输协议。
场景 3：数据泄露通报
若发生数据泄露，必须在72 小时内向监管机构通报。2022 年，某欧洲电商因延迟通报被罚 120 万欧元。
具体数据：
1. 截至 2024 年，GDPR 累计罚款超 45 亿欧元。
2. 单笔最高罚款：Meta 13 亿欧元（2023）。
3. 72 小时通报时限是硬性要求，超时即违规。
常见误区
1. "我没在欧盟注册公司，不受管" —— 错。域外管辖看的是"是否处理欧盟数据主体数据"，不是公司注册地。
2. "用户点了同意就万事大吉" —— 错。同意必须可撤回，且撤回和给出一样容易。
3. "用 Shopify 就自动合规" —— 错。平台是处理者，你是控制者，合规责任在你。
4. "小站不会被罚" —— 错。罚款按全球营收比例，小站也可能被投诉触发调查。
5. "匿名数据不受管" —— 错。若能通过合理手段重新识别，仍属个人数据。
相关术语
- 数据主体权利（DSR）：访问、更正、删除、可携带、反对、限制处理。
- DPO（数据保护官）：大规模处理敏感数据时须指定。
- SCC（标准合同条款）：跨境传输的合规工具。
- Privacy by Design：产品设计阶段就嵌入隐私保护。
- ePrivacy 指令：Cookie 和电子通信的配套规则。
- 充分性决定（Adequacy Decision）：欧盟认定某国数据保护水平达标。
对独立站而言，GDPR 不是"可选项"，而是进入欧盟市场的入场券。建议从 Cookie 同意管理、隐私政策更新、数据处理协议（DPA）三件事做起。