欧盟GDPR以长臂管辖对全球处理欧盟个人数据的企业适用，确立六大处理原则与数据主体权利，要求72小时内通报数据泄露，违规最高罚全球年营业额4%，2025年数字综合提案正推进修订。
关键日期
欧盟《通用数据保护条例》（General Data Protection Regulation，简称GDPR，法规编号 (EU) 2016/679）于2018年5月25日正式施行。它取代了1995年的《数据保护指令》，是20多年来欧盟数据保护法规的一次重大变革。
GDPR以保护自然人基本权利与自由（特别是个人数据保护权）为核心，同时确保个人数据在欧盟境内的自由流动不受限制。该条例以其广泛的域外适用效力和严格的处罚机制，对全球数字经济产生了深远影响。
| 时间节点 | 关键事项 |
|---|---|
| 2012年1月25日 | 欧盟委员会公布GDPR草案 |
| 2016年4月14日 | 欧洲议会正式批准GDPR |
| 2016年5月24日 | GDPR正式生效（20天宽限期后） |
| 2016年5月25日 — 2018年5月25日 | 两年过渡期 |
| 2018年5月25日 | GDPR全面适用，企业须完全合规 |
GDPR的适用范围极为广泛，不仅覆盖欧盟境内的企业，也对欧盟境外的企业产生直接影响。根据GDPR第3条，以下两种情形均受其管辖：
1. 在欧盟境内设有机构的数据控制者或数据处理者，无论处理行为是否发生在欧盟境内。
2. 在欧盟境内未设立机构，但符合以下任一情形的：
向欧盟境内个人提供商品或服务（无论是否收费）；
监控个人在欧盟境内的活动。
这意味着，任何中国企业，只要向欧盟消费者销售产品、提供在线服务，或通过Cookie等方式分析欧盟用户行为，即使不在欧盟设立实体，也可能需要遵守GDPR。
（一）数据处理六大基本原则
| 原则 | 含义 |
|---|---|
| 合法、公正、透明 | 处理须有法律依据，对数据主体公开透明 |
| 目的限定 | 数据收集须有明确、具体、合法的目的 |
| 数据最小化 | 只收集处理目的所必需的最少数据 |
| 准确性 | 确保个人数据准确、及时更新 |
| 存储限制 | 数据保存时间不得超过处理目的所需期限 |
| 完整性与保密性 | 采取适当安全措施，防止数据泄露、损毁 |
（二）数据主体权利
GDPR赋予个人对其数据的广泛控制权：
知情权：了解数据被如何收集、使用和存储
访问权：获取自身数据的副本
更正权：要求更正不准确的数据
删除权（“被遗忘权”） ：要求删除个人数据
限制处理权：在特定情况下限制数据处理
数据可携权：以常用格式获取数据并传输给另一方
反对权：反对基于特定理由的数据处理
（一）角色划分
GDPR区分两种角色：
数据控制者（Controller） ：决定数据处理目的与方式的实体
数据处理者（Processor） ：代表控制者处理数据的实体
两者均承担相应义务，但控制者的责任更为全面。
（二）核心合规义务
1. 建立数据处理记录：详细记录所收集的个人数据类型、处理目的、获取方式及共享对象。
2. 确保处理的合法性：审查处理个人数据的法律依据（如用户同意、合同履行、合法利益等）。
3. 实施“隐私设计”（Privacy by Design）：在产品和服务设计阶段即嵌入数据保护措施。
4. 进行数据保护影响评估（DPIA） ：对高风险数据处理活动进行风险评估。
5. 任命数据保护官（DPO） ：在特定情形下必须设立：
公共机构处理个人数据；
核心活动涉及经常性且系统性的大规模监控；
核心活动涉及大规模处理特殊类别数据（如健康数据、生物识别数据）。
DPO需独立履行职责，负责监督合规、提供咨询建议、配合监管机构调查。
6. 数据泄露通知：在发现数据泄露后72小时内通知监管机构；如对个人权利构成高风险，还需通知受影响的数据主体。
7. 管理第三方供应商：确保外包处理个人数据的第三方具备足够的安全措施，并签订符合GDPR要求的数据处理协议。
8. 建立数据主体权利响应机制：确保能够及时响应数据主体的访问、删除、可携等权利请求。
GDPR设有两级行政罚款机制，处罚金额取固定金额与全球年营业额占比的较高值：
| 违规类型 | 最高罚款 |
|---|---|
| 第一等级（一般违规，如未保持处理活动记录、未实施安全措施等） | 1,000万欧元 或 全球年营业额2% |
| 第二等级（严重违规，如违反数据处理基本原则、侵犯数据主体权利、非法跨境传输数据等） | 2,000万欧元 或 全球年营业额4% |
罚款基数基于企业全球营业额（而非仅在欧盟境内的营业额），且以营业额而非净利润为计算基础。
2025年罚款创纪录：全年GDPR罚款总额超过11亿欧元，共发出400余张罚单；数据泄露通知数量同比增长22%。
2026年协同执法重点：欧洲数据保护委员会（EDPB）将2026年协同执法框架（CEF）聚焦于GDPR透明度义务，25个数据保护机构参与评估。
“数字综合提案”（Digital Omnibus）：欧盟委员会于2025年11月提出，拟对GDPR进行25项实质性修订，以协调与《人工智能法案》等数字法规的关系。该提案正在立法进程中。
与AI Act的衔接：EDPB持续致力于明确《人工智能法案》与GDPR的互动关系，预计2026年有进一步进展。
集中化事件报告：欧盟计划建立集中化单一入口平台（Single Entry Point），用于安全事件报告，GDPR数据泄露通知时限可能延长至96小时。
1. 立即评估是否落入GDPR适用范围：审查是否在欧盟设有机构，或是否向欧盟个人提供商品/服务、监控其行为。
2. 开展数据映射（Data Mapping）：全面梳理收集、处理和存储的个人数据类型、来源、流向和目的。
3. 审查数据处理的法律依据：确保每一项数据处理活动都有合法基础，特别是用户“同意”的获取方式须符合GDPR严格标准。
4. 评估是否需要任命DPO或欧盟代表：
如核心活动涉及大规模监控或处理敏感数据，须任命DPO；
如在欧盟无实体机构，须任命欧盟境内代表人。
5. 建立数据泄露应急响应机制：确保能够在72小时内完成通知。
6. 更新供应商合同与内部政策：确保第三方数据处理协议符合GDPR要求。
7. 持续关注立法动态：密切关注“数字综合提案”等GDPR修订进展，提前做好合规调整准备。