一、四部法律，管的是同一件事

最容易搞混的是前两行：中国的个人信息保护法和日本的个人信息保护法名字一样，不是同一部法。教材是日译本，讲的是日本那部；给国内业务做网站，同时要看中国这部。

而 GDPR 有个特殊之处：它管的是【欧盟居民的数据】，而不是【开在欧盟的网站】。 你的服务器在国内，只要服务对象里有欧盟居民，一样受它管。

二、GDPR：罚得最狠的那一部

GDPR 从 2018 年生效至今，罚款规模是这样的：

3206 笔摊下来，平均一笔约 221 万欧元——罚的不只是巨头。

最高那笔（Meta 12 亿欧元）不是因为被黑客拖库，而是因为把欧盟用户数据传到了美国。这说明 GDPR 的重点不只在【别泄露】，还在【别乱传】。

2026 年欧盟的统一执法主题是【透明度与告知义务】（GDPR 第 12 至 14 条）——也就是：你的隐私政策有没有用普通人看得懂的话，说清你把数据拿去干什么了。政策文档写得含糊，本身就算违规。

三、日本 2026 年新法与中国这边的罚单

日本在 2026 年 7 月通过了个人信息保护法修正案（7 月 17 日公布，两年内分期生效），第一次引入行政罚款：

注意它的算法是【没收违法所得】，不是按营业额比例罚。 另外两个设计很值得注意：十年内再犯乘以 1.5、主动申报减一半——这是明确鼓励自己先说出来。

中国这边同样在收紧：2026 年 6 月，携程因未落实数据出境安全评估、违法出境个人信息，被上海网信办依据《个人信息保护法》罚款 1000 万元；金融领域截至 6 月 10 日已开出 56 张数据安全与个人信息保护罚单、总额超 7000 万元，其中百万元以上 24 张（2025 年全年只有 1 张）。被点名的常见问题集中在三处：隐私政策不透明、账号注销难、未成年人信息保护缺失。

四、特定商业交易法：不是保护数据，是要求把话说清楚

前三部法保护的是【数据】，第四部保护的是【知情权】。日本的特定商业交易法要求线上商店必须把交易条件写明，通常放在页面底部一个固定的入口里。

最常见的三种不合格写法：地址省掉门牌号、运费写【按实收取】、发货时间写【确认后尽快】。这三种都会被认定为【没有写明】。

下单前的最终确认页还要再列六项：商品数量、销售价格、付款的时期与方法、交付时期、申请期间、撤回与解除的条件。 违反了可能被下业务改善指示甚至停业命令。

五、动手 Demo：把四部法律的罚则摆到一张表上

先算一下 GDPR 的平均罚款额，再看日本新法的几个倍数关系——这些数字决定了合规预算值多少。

total, cases = 71.0, 3206          # 累计罚款（亿欧元）、案件数
print("  平均 %.0f 万欧元一笔" % (total * 10000 / cases))
print("  最高一笔是平均值的 %.0f 倍" % (12 * 10000 / (total * 10000 / cases)))
print("  十年再犯 ×1.5、主动申报 −50%%：差 %.1f 倍" % (1.5 / 0.5))

实跑输出：

--------------------------------------------------------------------
个人信息保护——四部法律管着同一件事
--------------------------------------------------------------------
  网站只要收姓名、邮箱、电话、住址，就掉进个人信息保护的射程。
  教材点了三部法，再补上中国这部：

  法律               适用地     主要管什么                     代价
  ----------------------------------------------------------------------------------
  个人信息保护法     中国       收集、使用、跨境提供           携程被罚 1000 万元
  个人信息保护法     日本       告知、第三方提供、生物信息     2026 新增课征金
  GDPR               欧盟       处理合法性、跨境传输           累计罚单超 71 亿欧元
  特定商业交易法     日本       卖东西必须写清条款             停业命令
  ----------------------------------------------------------------------------------
  名字最容易撞车的两对：中国的个人信息保护法和日本的个人信息保护法
  不是同一部；GDPR 是欧盟的，管的是【欧盟居民的数据】，
  不看网站开在哪。

  GDPR 的罚款到底多狠（2026 年中的最新口径）：

  指标                    数字
  --------------------------------------------
  2018 年至今累计罚款     超 71 亿欧元
  公开记录的案件数        3206 笔
  最高单笔                Meta 12 亿欧元
  2026 上半年新增         超 6 亿欧元
  欧盟每日违规通报        443 起（同比 +22%）
  --------------------------------------------
  3206 笔摊下来，平均一笔约 221 万欧元——罚的不只是巨头。
  最高那笔不是黑客拖库，而是【把数据传到了美国】。2026 年欧盟的
  统一执法主题是【透明度与告知义务】：隐私政策写得让人看不懂，
  本身就算违规。

  日本 2026 年 7 月刚改完法，新增了行政处罚：

  新变化                     怎么算
  ------------------------------------------------------
  行政课征金（首次引入）     金额＝违法所得利益
  触发门槛                   涉及 1000 人以上且情节严重
  十年内再犯                 罚额 ×1.5
  主动申报                   罚额 −50%
  法人罚金上限               1 亿日元
  未满 16 岁                 需法定代理人同意
  新增保护对象               特定生物特征个人信息
  ------------------------------------------------------

  【特定商业交易法】管的不是数据，是【卖东西时有没有写清楚】。
  线上商店必须有这么一页，通常挂在页脚：

  必须写明的     具体到什么程度
  ------------------------------------------------
  卖的人是谁     公司全名；个人经营写本名
  谁负责         运营统括责任者姓名
  地址电话       写实际经营的地址，不能只写邮箱
  价格           含税；价格之外的费用要写具体金额
  付款与发货     有哪几种付款方式，下单后几天发
  退换规则       能不能退、几天内、运费谁出
  ------------------------------------------------
  最常见的三种不合格写法：地址省掉门牌号、运费写【按实收取】、
  发货时间写【确认后尽快】。这三种都会被认定为没有写明。

看第一行：平均 221 万欧元一笔。这个数比【最高 12 亿】更有威慑力——它意味着中小公司也会被罚，只是金额小一些。 看第三行：再犯与主动申报之间差 3 倍。日本新法用这个倍数明确告诉你：出事了自己先说，比藏着划算得多。 最后看第四张小节的表：特定商业交易法罚的是【没说清】，不是【说错了】。 地址、运费、发货时间、退换条件——四样里少一样，就可能被认定违规。

30 秒实验

1. 打开你公司网站的隐私政策页，试着读第一段——你能看懂它在说什么吗？
2. 找一个电商网站的页脚，看看有没有【公司信息 / 交易条件】这类入口，里面写了哪几项。
3. 想想你的网站收集了哪些个人信息，其中哪一项是【其实不必要】的。

常见误区

1. 错误：我做的是国内站，GDPR 与我无关。——纠正：GDPR 看的是数据主体，不是服务器位置。 只要网站服务欧盟居民，它的要求就适用。
2. 错误：隐私政策随便抄一份就行。——纠正：2026 年欧盟的统一执法主题就是【透明度与告知义务】。 抄来的政策描述与实际处理不符，本身就是违规点。
3. 错误：特定商业交易法只影响日本企业。——纠正：只要向日本消费者卖东西，就要按它写。 跨境销售同样在管辖范围内——这一条对做日本市场的中国卖家尤其重要。

• ☐ 下一节（7-7 支持HTTPS连接的功能：重定向）

相关笔记

• 域名的获取 —— 上一节讲名字，这一节讲收数据要守的规矩
• 支持HTTPS连接的功能 —— 保护传输中的数据，是合规的第一步
• 个人信息的管理 —— 个人信息在制度层面怎么管
• 日趋严格的欧盟个人信息管理 —— GDPR 的另一套讲法
• 防范针对 Web 应用的典型攻击手段 —— 数据收进来之后怎么守住
• 🕸️ Web技术原理 · 索引