# 出海企业何时需要考虑 GDPR？

> 面向欧洲市场不等于自动完成或自动触发同一套隐私工作。先确认服务对象、实际数据处理活动和企业在其中的角色，再判断适用义务。

来源页面: https://assurelane.ai/frameworks/gdpr/
更新: 2026-09-26 · 来源核验: 2026-09-26

## 要点速览

- 全称: 欧盟《通用数据保护条例》Regulation (EU) 2016/679
- 发布/监管方: 欧盟成员国数据保护监管机构
- 成果: 持续的法律合规义务；没有官方“GDPR 证书”
- 适用对象: 在欧盟设有机构，或向欧盟境内个人提供商品服务、监控其行为的组织
- 地区: 欧盟 / 欧洲经济区（英国另有 UK GDPR）
- 典型周期: 基础合规项目常见 2–4 个月
- 有效期: 持续义务；处理活动变化时需更新

## 关键时间线

- 2018-05-25: GDPR 开始适用
- 2021-06: 欧盟委员会发布新版标准合同条款（SCCs）
- 2023-07: 欧美数据隐私框架（DPF）充分性决定通过

## 先回答：我们的活动是否落入范围？

GDPR 可以适用于在欧盟设立机构的相关数据处理，也可能适用于设在欧盟以外、向欧盟境内个人提供商品或服务，或监测其在欧盟境内行为的企业。判断点是**具体处理活动与面向的人群**，不能只凭服务器位置、公司注册地或“有欧洲客户”作结论。客户偶然在欧盟旅行时使用并非面向当地提供的服务，也不自动构成同一种触发情境。

| 情境 | 第一轮需要问清什么 |
| --- | --- |
| 中国 SaaS 团队主动面向欧盟个人销售 | 向谁提供服务、如何招揽当地用户、收集哪些个人数据？ |
| B2B 服务商处理欧洲客户交付的数据 | 谁决定处理目的与方式？合同中的数据角色和指令是什么？ |
| 网站或 App 部署追踪工具 | 实际追踪谁、为哪些目的、由谁接收数据？ |
| 海外客户只在问卷中写“符合 GDPR” | 要求覆盖哪项服务、哪些数据和哪类合同承诺？ |

上述情境只是初筛。若涉及欧盟以外的其他国家或美国州法，应分别核对；GDPR 不是全球隐私要求的统称。

## 用一张数据流图替代抽象承诺

开始前把产品、网站和客户交付流程拆开，列出数据从哪里来、为什么收集、存在哪里、由谁访问、向谁披露、何时删除。特别标记分析 SDK、邮件工具、云服务、客服系统及其他接收方。随后确认企业在每项处理活动中的角色，以及合同和隐私告知是否与真实做法一致。

对于跨境传输，先确认数据从哪个地区传往哪里、传输双方的角色和所依据的机制；不能把“签了 SCC”当成所有数据处理活动的万能答案。是否需要特定安排及其形式，应由具备相应资质的专业人员结合实际数据流判断。

## GDPR 第一轮准备清单

1. 目标市场、服务对象及面向当地用户的实际方式。
2. 产品与网站的数据字段、目的、保存地点和期限。
3. 参与处理的实体、供应商、SDK 与转移路径。
4. 现有隐私说明、客户数据处理条款和内部权限记录。
5. 客户问题的原文，以及希望在何时给出何种证明。

首次沟通提供流程摘要即可，不要通过公开询盘入口上传完整用户数据或敏感合同。

## 谁做什么，得到什么

企业需要对实际处理活动、产品配置和合同承诺负责。准备顾问可帮助梳理数据流与差距；适格隐私或法律专业人员判断具体法律适用和义务。GDPR 本身不是一张通用“认证证书”，SOC 2 报告或 ISO/IEC 27001 证书也不能单独替代隐私法律分析。

如果客户只需要回答安全问卷，先确定其问的是控制证据、合同条款还是法律适用。不同问题需要不同材料，避免用一份通用声明覆盖全部。

## 关于 GDPR 的常见误区

- **“公司不在欧洲，GDPR 就一定无关。”** 面向欧盟境内个人提供服务或监测行为时仍可能适用。
- **“网站能从欧洲打开，就一定要做完整 GDPR 项目。”** 可访问性本身不足以替代对目标用户和处理活动的判断。
- **“做了安全认证就等于隐私合规。”** 安全控制是其中一部分，数据处理依据、告知、权利与合同仍需单独分析。

## 参考来源

- [EUR-Lex — GDPR 全文（第 3 条适用范围）](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [European Commission — GDPR 处理原则](https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/principles-gdpr_en)
- [European Commission — 标准合同条款问答](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/new-standard-contractual-clauses-questions-and-answers-overview_en)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。