6.2 GDPR · 对向欧盟销售的中国卖家的适用性
编号: 06_data_privacy/gdpr_eu_seller.md
视角: 欧盟通用数据保护条例（GDPR）
适用对象: 直接向欧盟消费者销售并收集个人数据的卖家
更新日期: 2026-06-08
一、GDPR 是否适用于中国卖家
是的，如果你满足以下任一条件：
- 向欧盟消费者销售商品/服务（无论通过平台或独立站）
- 收集或处理欧盟居民的个人数据（包括姓名、邮箱、地址、IP、Cookies）
- 在欧盟境内有仓储、客服或办事处
GDPR 的适用是"看数据主体在哪里，不看数据控制者在哪里"。
二、GDPR 核心要求
2.1 合法处理数据的法律基础
处理欧盟消费者数据必须基于以下之一：
- 同意（Consent）：消费者主动勾选同意，且可随时撤回
- 合同必要（Contractual Necessity）：处理数据是为了履行销售合同（如配送地址）
- 法律义务（Legal Obligation）：法律要求保留数据（如税务记录）
- 合法利益（Legitimate Interest）：需进行合法利益评估（LIA）
2.2 消费者权利
- 访问权：消费者可要求获取其所有个人数据的副本
- 删除权（被遗忘权）：在特定条件下要求删除数据
- 数据可携权：将数据从一个服务商迁移到另一个
- 反对权：反对用于直接营销的数据处理
2.3 数据保护官（DPO）
- 如果核心活动涉及大规模处理特殊类别数据（如健康信息），需要任命 DPO
- 对于大多数中小卖家，DPO 义务触发门槛较高
三、数据泄露通知义务
- 数据控制者（你）：发现个人数据泄露后 72 小时内通知监管机构
- 高风险情形：还应无延迟通知受影响的消费者
- 记录义务：所有数据泄露事件（无论是否通知监管机构）都要记录
四、对独立站的直接影响
4.1 Cookie Consent
- 必须使用 Cookie Consent 横幅
- 消费者必须在"主动点击同意"后才能加载追踪类 cookies
- 预先勾选的同意无效
- 同意记录需保存（证明消费者确实同意了）
4.2 数据最小化
- 只收集完成订单所必需的数据
- 不得要求消费者提供"与交易无关"的信息
- 数据保留时间不应超过实际需要
五、违规处罚
| 违规类型 | 罚款上限 |
|---|---|
| 一般违规 | €10,000,000 或全球年营收的 2%（取其高者） |
| 严重违规（如不满足基本处理原则） | €20,000,000 或全球年营收的 4%（取其高者） |
六、实操检查清单
- 独立站是否有完整的隐私政策（覆盖 GDPR 要求）
- Cookie Consent Banner 是否到位（opt-in，非 opt-out）
- 数据处理记录（Records of Processing Activities）是否完整
- 消费者权利请求处理流程是否建立
- 如有数据泄露，是否知晓 72 小时内通知义务
- 是否使用欧盟标准的 DPA（数据处理协议）与第三方数据处理器签约