做企业合规，很多人脑子里有两个“误区模板”：只要碰到个人数据就一定被 GDPR 管，以及“中国这边只能靠同意”。
文章是给 AAAA 这种出海公司的现实版小抄：在 GDPR 这边，它不是“管全世界”，而是看你有没有在欧盟设点，或者是不是盯着欧盟个人做生意、做监控。在欧盟做日志分析、产品优化，很多时候可以走合法利益加 LIA，而不是到处弹窗要同意，只是日志如果依赖非必要 Cookie 或第三方追踪，还得乖乖看 ePrivacy 的脸色。
在中国这边，PIPL 也有合同必要、法定义务这些非同意基础，只是现在很多商业分析场景，实务上还是要回到“充分告知 + 授权同意”，特别是跨境一旦触发安全评估、本地存储要求，就真的是在动技术架构了。
Q1 想明白了，后面 99 个问题都会好答很多。
#GDPR #PIPL #企业合规 #数据合规 #出海
文章是给 AAAA 这种出海公司的现实版小抄：在 GDPR 这边，它不是“管全世界”，而是看你有没有在欧盟设点，或者是不是盯着欧盟个人做生意、做监控。在欧盟做日志分析、产品优化，很多时候可以走合法利益加 LIA，而不是到处弹窗要同意，只是日志如果依赖非必要 Cookie 或第三方追踪，还得乖乖看 ePrivacy 的脸色。
在中国这边，PIPL 也有合同必要、法定义务这些非同意基础，只是现在很多商业分析场景，实务上还是要回到“充分告知 + 授权同意”，特别是跨境一旦触发安全评估、本地存储要求，就真的是在动技术架构了。
Q1 想明白了，后面 99 个问题都会好答很多。
#GDPR #PIPL #企业合规 #数据合规 #出海
