欧洲数据合规准备清单：GDPR 下中国企业的数据清单与最小化收集

GDPR 是欧盟范围内适用的数据保护法规，对中国出海企业的直接影响是：只要你的网站、表单、邮件、CRM 或 B2B 平台店铺会处理欧洲买家的个人数据，就需要能说明数据从哪来、为什么收集、存在哪里、给谁看过。它不取决于公司注册地，而取决于是否面向当地用户开展业务。LGPD、PDPA 等是其他区域的对等法规，做法可以复用，但具体要求以当地官方发布与持牌机构意见为准。

先判断：哪些业务会触发数据保护义务

是什么：触发点不是「有没有欧洲办公室」，而是「有没有处理当地个人数据」。询盘表单、邮件订阅、展会名片、经销商联系人、招聘简历、网站分析工具，都算。

为什么重要：很多企业以为只有电商才涉及，结果在 B2B 邮件获客和展会名单上留下缺口。数据保护义务与营销动作是绑定的。

怎么做：按业务动作逐项盘点，而不是按部门盘点。

数据清单：把「有什么」写清楚

是什么：数据清单（data inventory）是一张表，记录数据类型、来源、用途、存放位置、访问人、保存期限。它是所有后续动作的地基。

为什么重要：没有清单，就无法回答买家的合规问询，也无法判断哪些数据该删、哪些该留。清单本身也是内部交接的依据。

怎么做：从现有系统导出，不凭记忆填写。读不到的数据写「未获取」，不要补推测。

• [ ] 列出所有收集入口（网站、表单、邮件、展会、平台店铺），判断标准：每个入口都能指到一个具体页面或表格。
• [ ] 标注每类数据的用途，判断标准：用途能用一句话说清，且与收集时的告知一致。
• [ ] 标注存放位置（CRM、邮箱、表格、第三方工具），判断标准：能说出服务器大致所在区域与管理员。
• [ ] 标注访问人，判断标准：每个系统都有明确的账号清单，离职即回收。
• [ ] 标注保存期限，判断标准：每类数据都有到期处理方式，而不是「一直留着」。
• [ ] 标注对外共享方，判断标准：邮件服务商、分析工具、平台方都在列。

最小化收集：少收一点，后面少做很多

是什么：最小化收集指只收集完成当前业务所必需的数据，不多要字段，不长期保留。

为什么重要：每多一个字段，就多一份告知、存储与删除责任。表单字段越多，转化通常越低，合规成本越高。

怎么做：先砍字段，再谈流程。

• [ ] 逐个字段问「没有它能不能回询盘」，判断标准：答不上来的字段先删。
• [ ] 区分必填与选填，判断标准：选填项不填也能提交。
• [ ] 表单下方写清用途与联系路径，判断标准：普通读者能看懂，不用法律术语堆砌。
• [ ] 邮件列表保留同意记录与退订入口，判断标准：退订后不再收到营销邮件。
• [ ] 设定保存期限与清理节奏，判断标准：到期数据有实际删除动作，而不只是写在文档里。
• [ ] 第三方工具逐个核对，判断标准：每个工具都能说明数据流向与关闭方式。

多语言站点与 Cookie 的常见缺口

德法荷波意西多语言站点常见问题是：主站有告知，子目录没有；英文版有 Cookie 提示，其他语言版本缺失。hreflang 与多语言结构解决的是搜索引擎识别问题，不替代数据告知。

做法上，把告知文本纳入多语言内容管理流程，与页面一起上线、一起更新。判断标准：任一语言版本单独打开，都能找到同样的告知与联系路径。

边界与不常见问题

以下事项不做承诺，也不由服务商单方决定：

• 排名、收录时间与 AI 搜索推荐位置受第三方平台规则与竞争影响，不保证排名，无法保证收录时间，也无法保证被 AI 引用。
• 数据保护合规的最终判断以当地官方发布与持牌机构意见为准，涉及合同文本、跨境传输机制、代表机构任命等事项，需由当地持牌法律或合规机构出具意见。
• 资质类服务由对应国家或地区的持牌或本地机构办理，服务商不替代当地机构。
• 法规会更新，本文不引用具体条文编号与罚则金额，执行前请复核官方文本。
• 常见但容易漏的情形：展会名片后续邮件跟进、经销商转来的终端联系人、招聘网站简历、客服聊天记录。这些通常不在网站盘点范围内，需要单独纳入数据清单。

下一步动作

1. 今天就导出一次官网表单与 CRM 的字段清单，标出没有明确用途的字段，先删或改为选填。
2. 选一个语言版本做抽查：打开页面，确认告知文本、Cookie 提示与联系路径是否齐全，把缺失项列成待办。
3. 把展会名片、邮件订阅、平台店铺三个入口补进数据清单，注明来源与保存期限；需要外部核对时，可扫码添加企业微信或负责人微信（见联系我们页），或发邮件至 info@8fo.com（工作日 9:00–18:00）。