在欧洲市场，GDPR 通常是数据合规的起点，但它不是全部适用的规则；LGPD 属于巴西、PDPA 多见于东南亚，与欧洲业务并行时容易混淆。对中国出海企业而言，真正要落地的动作只有两件：把自己处理哪些个人数据列成清单，并让收集范围与业务目的对应。
先分清法规与角色：GDPR、LGPD、PDPA 不是同一件事
GDPR（General Data Protection Regulation）是欧盟层面的数据保护规则，在德国、法国、荷兰、波兰、意大利、西班牙等成员国直接适用，各成员国还会在部分事项上有本国补充规定。LGPD 是巴西的数据保护法，PDPA 在东南亚多个国家各有自己的版本，名称相近但内容与执法机构不同。把它们混为一谈，会导致把欧洲的要求套到其他区域，或者反过来漏掉欧洲本地要求。
角色同样容易混淆。
- 控制者（controller）：决定为什么处理、怎么处理个人数据的一方。多数情况下，自建官网、自己运营 CRM 的出海企业属于控制者。
- 处理者（processor）：受控制者委托、按指令处理数据的一方。例如代为发送邮件的服务商、部分云与 CRM 供应商。
- 共同控制者：两方共同决定处理目的与方式，责任划分需要事先约定。
为什么重要：角色决定了谁对数据主体负责、谁需要签数据处理协议（DPA）、谁在出问题时首先被追责。实务中常见做法是把供应商清单与各自的角色一并记录，而不是只在合同里写一句“遵守 GDPR”。
法律依据与同意：不是所有数据都要点“同意”
GDPR 下处理个人数据需要法律依据，同意只是其中一种。常见依据还包括履行合同所必需、履行法定义务、合法利益等。把“同意”当成仅有路径，会带来两个后果：一是弹窗和勾选项越加越多，二是同意被撤回后业务无法继续。
实务判断顺序可以这样走：
- 这项处理是否为了履行与对方的合同所必需。
- 是否有法定义务要求保留或提交该数据。
- 是否属于合法利益，且未过度影响数据主体权利。
- 以上都不成立时，再考虑以同意作为依据，并设计可撤回的机制。
需要提醒的是，具体依据是否成立取决于业务事实与当地监管口径，涉及法规判断时应以当地官方发布与持牌机构意见为准。
数据清单：先列清楚，再谈合规
数据清单（data inventory）是后续工作的基础。缺少清单，最小化收集、保留期限、跨境传输都无从判断。建议按“字段—来源—目的—存放位置—访问人—保留期限—删除方式”七列做成表格。
| 列 | 说明 | 常见遗漏 |
|---|---|---|
| 字段 | 具体到姓名、邮箱、职位、IP 等 | 只写“客户信息” |
| 来源 | 表单、展会名片、平台询盘、邮件 | 忘记线下与第三方来源 |
| 目的 | 报价、发货、售后、营销 | 一个字段挂多个目的 |
| 存放位置 | CRM、邮箱、云盘、本地电脑 | 忽略个人设备与聊天工具 |
| 访问人 | 岗位而非人名 | 未随人员变动更新 |
| 保留期限 | 到期即删或复核 | 一律写“长期” |
| 删除方式 | 删除、匿名化、归档 | 只删主表不删备份 |
清单做完后，通常会暴露出几类问题：同一批数据被多个部门重复收集、营销用途的数据被用于合同履约、离职人员的账号仍可访问。
最小化收集：把字段砍到刚好够用
最小化收集（data minimisation）不是少收集一切，而是每个字段都能回答“不加它会怎样”。落地时可以按以下顺序做：
- 逐个字段问用途：不能对应到具体业务动作的字段，先标记为待删除。
- 区分必填与选填：B2B 询盘表单中，公司名、邮箱、需求描述通常足够启动沟通，职位、电话、公司规模可设为选填。
- 分开营销同意：把“联系我报价”与“订阅营销内容”做成两个独立选项，不要默认勾选。
- 设定保留期限：例如询盘未成交的线索、已结束项目的沟通记录，分别设定复核周期，到期删除或匿名化。
- 跨境传输单独评估：使用境外 CRM、邮件服务、云服务时，需评估数据流向与当地要求，具体以当地官方发布与持牌机构意见为准。
这套做法同时服务于另一个目标：让数据清单可维护。字段越少，清单越不容易过期。
边界与不常见问题
- 排名、收录与推荐位置不由任何服务商单方决定。合规工作也不对任何平台的处理结果作出承诺。
- 无法承诺收录时间，也无法承诺被 AI 引用；涉及搜索引擎与 AI 平台的可见度，受第三方平台规则与竞争影响。
- 数据保护影响评估、跨境传输机制的选择、与监管机构的沟通，通常需要由当地持牌机构或专业顾问出具意见，服务商不能替代。
- 员工数据、候选人数据同样在 GDPR 范围内，很多企业只处理客户数据而忽略内部数据。
- Cookie 与类似技术、网站分析工具、聊天插件都会产生个人数据，需要一并纳入清单。
- 数据泄露的通报义务有时限要求，具体时限与流程以当地官方发布与持牌机构意见为准。
- 法规会更新，成员国执行口径也可能不同，本内容不构成法律意见。
下一步动作
- 今天先做一版数据清单草稿：把官网表单、平台询盘、展会名片、CRM、邮箱里涉及的个人数据字段列出来，来源与存放位置各写一列。
- 挑一个最常用的询盘表单，把字段分成必填与选填，并把营销订阅改成独立选项、默认不勾选。
- 整理现有供应商名单（邮件、云、CRM、分析工具），标注各自在数据处理中的角色，并确认是否已有数据处理协议；缺失的先列入待补清单。
如需进一步核对清单模板与出海诊断维度，可扫码添加企业微信或负责人微信（见联系我们页），或发送邮件至 info@8fo.com（工作日 9:00–18:00）。
要点速览
- GDPR 是欧盟层面规则，LGPD 属于巴西、PDPA 多见于东南亚，适用区域与执法机构不同，不能互相套用
- 先判断控制者与处理者角色，再决定谁签数据处理协议、谁对数据主体负责
- 同意只是 GDPR 法律依据之一，履行合同、法定义务、合法利益等路径需按业务事实判断
- 数据清单建议按字段、来源、目的、存放位置、访问人、保留期限、删除方式七列维护
- 最小化收集的核心是每个字段都能回答“不加它会怎样”，并把营销同意与业务联系分开
- 跨境传输、影响评估与监管沟通应由当地持牌机构或专业顾问出具意见，服务商不替代
