7-5 日趋严格的欧盟个人信息管理 · 波仔的网络与信息安全课

📄 一句话概括

GDPR 真正厉害的地方不是罚款上限高，而是它同时反转了三件事：【默认不许处理】、【举证责任归你】、【出事必须自己在 72 小时内报出来】——前两条改变了你的日常动作，第三条改变了你出事后的第一反应。

📝 本节和前面几节的关系

7-1 到 7-4 讲的是日本国内那一套。本篇讲的是欧盟那一套，把它单独拿出来讲，有两个理由：一是它管得到日本公司和中国公司（域外适用，本篇第二节）；二是日本 2026 年的修正案、以及各国的个人信息法，基本都拿它当参照系——读懂了 GDPR，再看其他国家的个人信息法，会发现都是它的简化版或加强版。

一、GDPR 与日本 APPI 的三处反转

两部法律的目标其实一样：管住个人信息的收集和使用。但它们的默认值相反。

对比项	日本 APPI	欧盟 GDPR
处理数据的默认状态	原则可以，违法的才管	原则禁止，有合法依据才能做
合法性基础	以【利用目的】为核心	列举 6 种，必须落进其中之一
谁来证明合规	监管要证明你违规	你要证明自己合规
泄露后的动作	有报告义务，无固定时限	72 小时内必须报监管机构
罚则上限	法人 1 亿日元量级	全球年营业额 4% 或 2,000 万欧元取高
域外适用	原则上限于国内	只要面向欧盟居民提供服务就适用

这张表里真正值得看的是第三行。日本的模式是【我被怀疑了，我来解释】；GDPR 的模式是【我随时要能拿出证据】。 举证责任一旦反转，工作的形态就变了：

你会开始留记录——不是为了应付检查，而是因为不留就没有证据；
你会开始写文档——DPIA（数据保护影响评估）这类文书，不是流程装饰，是出事时的免责材料；
你会开始拒绝——默认禁止的后果是，业务部门提的每一个新需求，都要先回答【依据是 6 种里的哪一种】。

这就是为什么很多公司在 GDPR 之后增设了 DPO（数据保护官）：不是因为法律要求有一万人的公司才需要，而是因为【有人得对每一次数据使用负责】。

二、域外适用：三家公司的三种情况

【GDPR 只管欧洲公司】是流传最广的误解之一。 判据是【你在向谁提供服务】，不是【你的服务器在哪】。

情形	是否适用 GDPR	依据
向欧盟居民销售商品（无论公司在哪）	适用	以【提供商品服务】为目标
只在日本销售，网站被欧盟游客偶然打开	一般不适用	没有针对欧盟的意思
在欧盟设有分支机构并处理当地数据	适用	设立机构即落入管辖

判断的关键词是【针对】。 一个具体做法是看三个信号：有没有欧盟语言的站点、有没有用欧元定价、有没有投欧盟地区的广告。三个都做，基本就构成【针对欧盟市场】的意思表示——哪怕你公司在宜昌、服务器在上海。

这条规则的现实含义是：跨境业务法务的第一课不是【注册在哪】，而是【服务面向哪】。

三、动手 Demo：把 72 小时通报的时钟走一遍

【发现】到【通报】之间只有 72 小时，而它按自然时间走。 下面用三段不同的发现时刻实算一遍。

# 节选自本节 Demo 脚本 d5()：72 小时通报时钟
from datetime import datetime, timedelta
cases = [
    ("周五 17:00 发现", datetime(2026, 3, 6, 17, 0)),
    ("周四 09:30 发现", datetime(2026, 3, 5, 9, 30)),
    ("月末 23:50 发现（周二）", datetime(2026, 3, 31, 23, 50)),
]
week = ["周一", "周二", "周三", "周四", "周五", "周六", "周日"]
for a, t in cases:
    d = t + timedelta(hours=72)
    print(pad(a, 26) + pad(d.strftime("%Y-%m-%d %H:%M"), 26) + week[d.weekday()])

实跑输出：

==================================================================================================
三、72 小时通报：把时钟走一遍
==================================================================================================
  发现时刻                  通报截止                  落在哪一天
  周五 17:00 发现           2026-03-09 17:00          周一
  周四 09:30 发现           2026-03-08 09:30          周日
  月末 23:50 发现（周二）   2026-04-03 23:50          周五

  注意三点：
    ① 72 小时是【自然时间】，不是工作日 —— 周五傍晚出事，截止就在周一傍晚。
    ② 起算是【知道之时】，不是【确认全部细节之时】，先报事实再补细节。
    ③ 通知本人（第 34 条）的门槛更高：只有【高风险】才必须逐个通知。

读这个输出：

第一行和第三行说明的是同一件事：72 小时不会因为你休息就停下。 周五傍晚发现，截止在周一傍晚——这意味着真实的通报窗口去掉了整个周末，而团队往往正好在周末凑不齐人。 这就是很多公司的预案里写着【发现人先发一封信、不必等结论】的原因。
第二行是过渡情形：周四上午发现，截止在周日同一时刻——看起来还有三天，其实只剩两个工作日。
第 ② 条最容易被误解，也最值钱：法定时钟从【知道】开始，不是从【搞清楚】开始。先报事实，再补细节，是唯一来得及的做法；想着【等查清再报】的公司，几乎一定超时。
第 ③ 条区分了两个义务：报监管机构（第 33 条）的门槛低，通知本人（第 34 条）的门槛高。所以【要不要报警】和【要不要给客户发信】是两个独立决定，而不是一个决定的两半。

四、罚款的规模与 2026 年的五张罚单

讲 GDPR 最容易变成背法条，但这套法律真正的驱动力是钱。 这张表给的是 2026 年口径的规模。

指标	数值	来源·时点
累计罚款总额	约 71 亿欧元	DLA Piper 2026-01（第 8 版）
有记录的罚款件数	2,685 件 / 约 61.1 亿欧元	CMS 追踪报告，截至 2026-03-01
近 12 个月罚款	约 12 亿欧元	与上年基本持平
日均泄露通报数	443 件	同比 +22%，首次超过 400
爱尔兰监管机构累计	40.4 亿欧元	约占全部罚款的 57%
单笔最高（未撤销）	12 亿欧元	2023 年 Meta

两句话读懂这张表：

60% 以上的罚款是 2023-01 以后开出的——执法从【偶发头条】变成了【常态产能】。这件事对企业的意义是：GDPR 已经不是一条威胁，是一条成本曲线。
日均 443 件通报意味着：【通报本身已经不是新闻，没通报才是】。 对个人来说，这意味着你的数据被泄露过的概率，已经高到不能再当成小概率事件。

再看 2026 年开出的五张最贵的罚单：

企业	金额	日期	主要违规
Free Mobile 与 Free	4,200 万欧元	2026-01-13	安全措施不足、通报不全
Reddit	1,447.25 万英镑	2026-02-23	13 岁以下用户无合法依据、缺 DPIA
IQVIA Operations France	500 万欧元	2026-05-28	健康数据仓库防护不足
Wind Tre	171.56 万欧元	2026-07	社工手段导致泄露、支付数据暴露
South Staffordshire Water	96.39 万英镑	2026-05-07	勒索攻击 20 个月未被发现

五张单子里三张的根子是同一件事：基础安全没做到位。 【VPN 认证不够强】【异常行为检测形同虚设】【20 个月没发现被入侵】——这些都不是什么高深问题，是 2-9 讲过的入门功课。 这条观察有一个反直觉的推论：GDPR 罚得最重的，往往不是【法律理解错】的公司，而是【该做的事没做完】的公司。

另有一条 2026 年的变化值得记一笔：2026-03 卢森堡行政上诉法院以【程序问题】撤销了 Amazon 7.46 亿欧元的罚款，但同时确认了原来的大部分违规事实成立——【金额被推翻】不等于【事情没发生】。 对企业来说，赢下一场程序官司并不改变【你已经花掉的三年时间】。

五、⚠️ 2026 现状

【罚款的重心正在从【合法性】转向【安全性】】。 早期的巨额罚单大多关于【把数据给出去没有依据】；2026 年的高额案例里，一半以上是关于【本可以防住却没防住】。这背后的逻辑很直接：告知与同意的合规是纸面工作，能靠律师解决；但入侵检测、VPN 加固是工程工作，只能靠投入。 监管在往后者加码，等于在说：文书合规已经不是及格线了。
【DPIA 从【建议做】变成了【罚单原因】】。 Reddit 那张 1,447 万英镑的罚单里，【缺 DPIA】是明确的处罚理由之一。这类文件以前常被当成流程装饰，现在它自己是独立的一项违规。判断标准：凡是【大规模处理、涉及敏感数据、系统化监控】这三类情形，先做 DPIA 再动数据。
【跨境业务的默认动作变成了【按最严的那一套做】】。 同一件事，日本 APPI 允许、GDPR 不允许时，结果是【不做】。 实践中很多跨国公司的做法是统一切到 GDPR 标准——不是因为日本的要求低，而是因为两套标准并行维护的成本更高。 这条经验可以推及所有合规：两套规则并行时，实际执行的一定是交集。
【日本的下一步是向它靠拢】。 7-1 讲过的 2026 年 APPI 修正案，方向之一就是强化【本人权利】与【对外提供】的规则——这正是 GDPR 的主体思路。 所以这一篇不是【国外的故事】，它是接下来几年国内法规变化的预告片。 7-6 起，我们把镜头拉回日本的刑事法：行政处罚之外，还有一套更硬的规则在等着。

30 秒实验

今天做两个动作，各 15 秒：

打开你常用的一个 App 的隐私设置页，找有没有【导出我的数据】或【下载个人数据副本】入口。 这是 GDPR 的【数据可携带权】在中国产品里的残留痕迹——有，说明产品考虑过海外合规；没有，说明它只面向国内。
再找有没有【删除账号】入口，看它要求几步。 GDPR 要求【被遗忘权】，但现实中往往是【三个页面加一个客服电话】——这个落差就是法律文本和工程实现之间的真实距离。

这一节要带走的一句是：GDPR 的可怕之处不在罚多少，在于它把【默认允许】改成了【默认禁止】——一个默认值的改动，改变的是全公司的日常动作。

常见误区

错误：我们不做欧洲生意，GDPR 跟我们无关。——纠正：判据是【有没有针对欧盟用户】，不是【有没有在欧盟注册】。两个容易忽略的情形：收欧盟客户的款（哪怕只有零星几单）、网站上挂了欧盟语言版本或欧元报价——这两条一起出现时，管辖基本就成立了。 另一种更间接的情形是【供应链传导】：你的欧洲客户会要求你把 GDPR 合规写进合同，这时它不是法律义务，是合同义务，一样跑不掉。
错误：GDPR 最大的风险就是罚款。——纠正：罚款上限虽然高，但实务中真正贵的是另外三项：① 通报后的客户流失与舆情；② 监管要求你限期整改，整改期内的业务会被冻结；③ 大客户直接以【合规风险】为由终止合作。 所以正确的风险管理思路不是【算罚多少】，是【算一个数据泄露事件会停下哪些业务】。 这也解释了为什么很多公司在出事时会选择主动全面通报：短期难看，但换回了【配合】这个姿态。
错误：72 小时通报就是【等查清了写份报告】。——纠正：72 小时是从【知道】起算，而通报的内容允许【分阶段补充】。正确做法是把第一次通报当成【立案】：先报事实（发生了什么、影响什么）、再报计划（正在做什么、何时给下一版）、最后补细节。 把它当成一次信息同步，而不是一次结案陈词——这是唯一来得及的做法。 另外别忘了通知本人（第 34 条）的门槛更高：只要不是【高风险】，可以不逐个通知，但要在公开渠道发布。
错误：交了 GDPR 合规咨询费，就等于合规了。——纠正：举证责任的反转意味着【合规是一份持续维护的文件集】，不是一次交付的成果。具体来说，至少有四样东西要常年保持更新：数据处理台账（谁在什么目的下处理什么数据）、DPIA、委托处理合同、泄露应对预案。 判断咨询做没做到位，有一个直接的问题：【上一次数据流向图是什么时候更新的】——答不出来的，那份台账就是买来的模版，不是你的运营记录。 这正是 6-1 那句【方针要有人维护】的欧盟版。

自测三问（点开对答案）

1. 【举证责任反转】到底改变了什么日常动作？ —— **它把合规从【防守】变成了【备证】。** 在【监管需要证明你违规】的模式下，**不做事是最安全的**——**没留记录，监管也拿不到证据**。但在 GDPR 模式下，**不做事等于没有证据，没有证据等于违规**。**于是同样的业务动作，工作内容多出一整层**：**收集前写目的、处理时留台账、共享时签合同、删除后留证明**。**这也解释了一个常见困惑：为什么 GDPR 合规的预算大头是人力而不是技术**——**它买的不是安全，是【随时能证明】的能力。** 2. 为什么【默认禁止】比【罚款高】更让企业头疼？ —— 因为**罚款是尾部风险，默认值是每天都要跨过的门槛**。**在【默认禁止】下，每一次数据使用都要回答【依据是 6 种合法性基础里的哪一种】**——**知情同意、合同履行、法律义务、重大利益、公共任务、正当利益**。**这件事的行政成本极高，而且必然引发部门间的冲突**：**业务要快，合规要依据。** **所以 GDPR 真正改变的，是公司的决策流程**——**数据相关的新项目，从【做完再看合不合规】变成【先不合规就不开工】。** **这个顺序调转，正是它被称为【史上最严】的原因。** 3. GDPR 和日本 APPI 的关系，是不是【欧盟严、日本松】这么简单？ —— **不是简单的严松，而是侧重不同。** **日本 APPI 在【本人同意】和【向第三方提供】上管得很细，2026 年修正案还专门放宽了统计用途**（7-2 的 opt-out 与 k-匿名化就是这套思路的产物）；**GDPR 则把重点放在【处理的合法性基础】和【举证责任】上，对匿名化后的数据反而更放手**。**所以现实的答案不是【谁更严】，而是【同时在两地运营的公司要交两份作业，并且取交集执行】**。**判断一个业务能不能做，最快的办法是问：这件事在两套规则里，哪一套过不了。**

☐ 下一节（7-6 非法访问相关的惩罚条例）