美国的 GDPR：面向美国企业的完整指南

引言：欧洲之外的 GDPR

GDPR 是什么，以及为何对全球至关重要

《通用数据保护条例》（GDPR）是欧盟的全面数据保护与隐私法律，于2018年5月生效。GDPR为组织如何收集、处理、存储并保护欧盟数据主体的个人数据设定了严格要求。GDPR已成为全球数据隐私的“黄金标准”，并启发了世界各地的类似立法，例如美国的《加州消费者隐私法》（CCPA）以及巴西的《通用个人数据保护法》（Lei Geral de Proteção de Dados Pessoais，LGPD）。其核心原则包括数据处理透明度、数据最小化、问责制以及个人权利，这些原则重塑了全球企业管理隐私合规的方式。

为什么美国公司需要关注

GDPR 合规 并不局限于在欧洲境内设有实体的公司；其域外适用范围可延伸至世界任何地方的企业——只要它们向居住在欧盟的个人提供商品或服务，或监测其在线行为即可。例如，这包括销售电子产品、提供 SaaS 服务，或通过分析或定向广告来追踪行为。从美国运营的美国企业同样不受欧洲法律的约束豁免；欧盟监管机构已针对美国境内企业采取了执法行动，表明 GDPR 义务正在跨境范围内得到积极执行。GDPR 不合规可能导致高额罚款，最高可达 2000 万欧元或全球年总收入的 4%，因此理解 GDPR 要求对于维护客户信任、品牌声誉，并避免监管罚款或审查至关重要。

GDPR 适用于美国吗？

GDPR 的域外适用范围（第 3 条）

《通用数据保护条例》（GDPR）第 3 条规定了其适用范围延伸至欧盟境外，而美国企业主要通过两种方式被纳入其中：

• 提供商品或服务： 当美国组织主动面向欧盟居民进行业务推广时，无论是否需要付款，都可能被纳入其中。比如：拥有可使用欧盟语言（德语、法语、意大利语）的官网；接受欧元或其他欧盟货币作为付款方式；向欧盟国家发货；或明确面向欧盟居民开展市场营销。即使是诸如 SaaS 平台、移动应用或新闻通讯（newsletter）等免费的服务，只要它们是有意提供给欧盟居民的，也可能适用 GDPR 规定。
• 监测欧盟个人的行为： 如果组织在欧盟范围内追踪个人的行为，这包括追踪 cookies、监测 IP 地址和购买模式，或通过分析或预测性决策进行行为广告。

GDPR 何时适用？

当组织在向欧盟数据主体提供商品或服务，或监测其行为的情况下处理其个人数据时，GDPR 即适用。要判断贵司的美国业务是否在适用范围内，请查看以下常见情形：

• 欧盟客户群： 向位于欧盟的用户销售产品（实体或软件）或提供电子商务服务。
• 欧盟网站访问者： 通过网站 cookies 或任何其他分析工具跟踪来自欧盟访问者的用户数据。
• 欧盟员工数据： 处理为在欧洲区域办事处或子公司工作的员工薪资或人力资源（HR）数据的美国公司。
• 面向欧盟居民的营销： 通过电子邮件活动或社交媒体广告向欧盟居民进行营销的美国公司。

解释GDPR的管辖范围

GDPR的管辖范围取决于数据主体所在的位置，而不是公司处理个人数据的地点。即使是一家总部在美国、没有欧盟办公室、没有欧盟服务器、也没有欧盟法律实体的公司，只要它处理的是欧盟居民个人的个人数据，仍可能受到GDPR约束。对于从事跨境数据处理的组织（在多个欧盟国家开展业务），由一個主要监管机构（Lead Supervisory Authority，LSA）充当牵头监管方。LSA通常位于公司的主要欧盟机构所在地，或是在作出处理决定的地点。没有欧盟业务存在的美国公司无法享受LSA的“one-stop-shop（一站式）”机制，可能需要就其在每个有用户的欧盟国家回答监管机构的要求。

GDPR对美国实体的适用性

哪些美国公司属于 GDPR 范围？

如果美国公司在向欧盟居民提供商品或服务，或监测其行为的同时处理欧盟居民的个人数据，则必须遵守 GDPR。通常受 GDPR 约束的企业类型包括：

• 电子商务： 任何向欧盟客户销售产品或服务的美国在线商店，包括向欧盟发货，或将网站翻译成欧洲语言。
• SaaS 提供商： 向欧盟客户销售以软件即服务（SaaS）形式提供的软件，并由这些客户将其数据托管在该平台上的美国公司。
• 营销与广告技术（Ad-Tech）： 使用跟踪像素、Cookie 或基于 IP 的定向定位来监测欧盟访客行为，以开展定向营销活动的科技公司。
• 跨国公司： 具有子公司和办事处、处理欧盟居民数据的美国母公司。
• 酒店与旅游： 处理欧盟游客个人数据的酒店、航空公司和预订平台。
• 健康与研究： 开展临床试验、其中包含来自欧洲参与者的生物技术公司或研究人员。

哪些主体受 GDPR 约束（数据控制者、数据处理者）

GDPR 区分了处理个人数据的组织的两种关键角色：

• 数据控制者（Controllers）： 确定个人数据处理目的和方式的组织。例如，决定如何收集和使用用户数据的美国 SaaS 公司通常属于数据控制者。
• 数据处理者（Processors）： 在数据控制者的授权下，并依照其指示处理个人数据的组织。例如，为欧盟或美国公司提供支持的美国本土云服务商或分析服务商。

两种角色都承担 GDPR 义务。数据控制者负责合法处理、透明度以及对数据主体权利的落实和问责。数据处理者必须实施适当的技术和组织层面的安全措施，保留处理记录，并与数据控制者签署《数据处理协议》（Data Processing Agreements, DPAs）。GDPR 明确对数据处理者施加直接的法律义务，因此对美国服务提供商而言合规至关重要。

GDPR 是否适用于在国外的美国公民？

GDPR 的保护依据是所在地，而不是公民身份。居住在欧盟的美国公民在其个人数据由当地或针对性组织处理时，能够完全受到 GDPR 的保护。美国公民作为游客、学生或商务出行者访问欧盟时同样适用：当向其提供任何服务或对其行为进行监测时，他们将受到 GDPR 规定的保护。

GDPR 是否适用于在美国的欧盟公民？

一般而言，居住或旅行于美国的欧盟公民在其数据被美国公司处理时，除非该公司会专门针对或监控欧盟境内的个人，否则不会受到GDPR的保护。GDPR并不以公民身份作为判断标准；它关注的是数据主体所在的位置以及处理个人数据的组织的定向/瞄准行为。

GDPR是否适用于美国政府？

GDPR对美国政府（联邦或地方）机构的适用范围较为有限，因为这些机构通常不会向欧盟居民提供商业商品或服务，也不会按照GDPR法规所定义的方式开展行为监测。然而，美国政府的承包商和供应商在处理欧盟个人的个人数据时，可能仍需承担GDPR义务，特别是在其作为欧盟境内组织的数据处理方（processor）时。为欧盟居民提供数字服务的美国联邦机构（如旅游推广、教育项目、签证申请系统）需要遵守GDPR要求。

美国公司的GDPR要求

美国公司遵守 GDPR 的要求

处理欧盟居民个人数据的美国公司必须履行若干义务；合规不是可有可无，也不是“需要部分做到就行”。GDPR 要求是旨在保护个人权利与自由的法律要求：

• 欧盟代表： 根据第 27 条，若公司在欧盟境内没有设立，则必须指定一名代表，该代表位于数据主体居住的欧盟成员国之一。该代表作为主管监督机构和数据主体的联络点。
• 处理活动记录（ROPA）： 组织必须根据第 30 条维护书面记录，列出所有处理活动，包括处理目的、数据类别、与之共享数据的接收方以及保留期限。
• 安全措施： 根据第 32 条，组织必须实施适当的技术和组织措施，以应对诸如数据加密、访问控制、全面日志记录以及事件响应程序等数据保护风险。
• 数据泄露通知： 如果发生的数据泄露可能对欧盟数据主体的个人数据造成风险，组织必须根据第33条规定，在发现后的72小时内通知欧洲监督机构以及受影响的个人。
• 在规定期限内处理数据主体访问请求（DSARs）。 组织必须实施程序，在一个月内响应与更正、删除、限制处理、反对以及数据可携带性相关的 DSAR。

《通用数据保护条例》（GDPR）的核心原则（合法性依据、透明度、数据最小化）

GDPR 合规建立在七项基础原则之上，涵盖所有个人数据处理。美国公司不仅必须遵循这些原则，还必须对每一项原则的合规情况进行证明：

• 合法性、公正性和透明度： 个人数据必须基于有效的法律依据进行处理，例如同意、合同或合法权益，并且必须通过隐私通知向个人清晰说明。
• 目的限制： 数据必须为特定、明确且合法的目的而收集，并且不得在原始目的之外重复使用。
• 数据最小化： 组织应仅收集为实现所述目的所必需的个人数据。
• 准确性： 个人数据必须保持准确且为最新状态，并应具备纠正或删除不正确数据的机制。
• 存储限制： 组织必须实施数据保留政策——一旦数据不再需要，就必须删除或进行匿名化。
• 完整性和保密性： 必须采取适当的技术措施，以保护数据免受未经授权的访问、处理、丢失或泄露。
• 问责： 组织必须通过政策、程序、审计、已签署的合同以及事件响应计划来证明持续合规。

Netwrix 数据安全解决方案 帮助美国公司通过对敏感数据进行自动化标记，发现并分类个人数据所在的位置，从而支持 GDPR 的隐私保护设计（privacy by design）原则。通过使用自动化搜索与发现机制，在整个基础设施中定位特定数据，组织可以识别并定位为在规定时间内响应数据主体访问请求（Data Subject Access Requests，DSARs）所需的个人数据。Netwrix 身份与访问治理能力 提供完整的审计追踪，记录谁可以访问个人数据、进行了哪些更改、由谁以及何时进行——从而遵循最小特权原则。

面向美国公司的 GDPR 合规清单

面向美国组织的分步合规清单

对于美国公司而言，实现 GDPR 合规需要从“告知与选择（notice and choice）”转向更具前瞻性的问责模式。以下清单可帮助组织按照 GDPR 标准简化运营：

1. 确定适用范围： 分析您的组织是否在欧盟提供商品/服务，或是否监控欧盟数据主体的行为。
2. 进行数据映射： 创建一份全面清单，明确您收集哪些欧盟个人数据、存储位置在哪里，以及谁有权访问。
3. 指定欧盟代表： 指定欧盟成员国境内的个人或机构，作为监管机构和数据主体的本地联络点。
4. 创建并维护 ROPA： 记录所有处理目的、数据类别、保存期限、数据接收方，以及安全措施的说明。
5. 记录合法依据： 确定并记录每项个人数据处理活动的合法依据（同意、合同、合法权益等）。
6. 更新隐私声明： 使用通俗语言审查并更新隐私政策，说明数据收集情况、用户权利、保留期限以及联系信息。
7. 实施同意机制： 确保同意是自由、自愿给予的，具体明确、已充分告知且毫不含糊，同时不得出现预先勾选的选项或隐藏条款。
8. 建立 DSAR 流程： 创建标准化工作流程，以验证身份并在 30 天内回应数据主体访问请求（Data Subject Access Requests）。
9. 审查供应商合同： 与所有第三方供应商更新或建立符合 GDPR 的数据处理协议（Data Processing Agreements，DPAs）。
10. 实施技术防护措施： 部署数据加密、访问控制、匿名化（pseudonymization），以及隐私设计（privacy by design），以保护个人数据。
11. 建立数据泄露通知流程： 制定事件响应计划，其中包含用于泄露检测、评估、预防以及报告的机制，以满足 72 小时的时限要求。
12. 设置数据传输机制： 实施 Standard Contractual Clauses (SCCs)，或基于适当性决定将数据从欧盟转移到美国。
13. 开展员工培训： 提供基于角色的培训，确保员工理解 GDPR 的职责与流程。
14. 记录合规工作： 保留合规记录，包括 DPIA、DPA、审计日志、政策、流程以及培训证明材料。

Netwrix 合规与审计解决方案 提供全面的现成报告，涵盖数据分类、用户在文件、服务器和 SharePoint 站点上的访问权限，以及终端的安全态势——全部与 GDPR 要求保持一致。可以自动化访问审查以识别过度暴露的数据，并通过持续监控用户活动、权限变更和数据访问来提供基于证据的审计追踪。

GDPR 与美国隐私法对比

GDPR 的美国对应法规（CCPA、CPRA、CDPA、HIPAA、GLBA 等）

美国没有一部单一的联邦法律能够与 GDPR 的覆盖范围和结构相匹配。相反，美国的数据保护通过一套复杂的体系来实施，其中包括面向特定行业的联邦法规以及州级法律。

按行业划分的联邦法律：

• HIPAA: 《健康保险可携性与责任法案》(Health Insurance Portability and Accountability Act) 规范医疗行业中的受保护健康信息（PHI）。
• GLBA:《格雷姆-里奇-布莱利法案》（Gramm-Leach-Bliley Act）聚焦于金融机构，要求其规范信息共享做法，并保护敏感的客户数据。
• COPPA:《儿童在线隐私保护法》（Children's Online Privacy Protection Act）通过执行相关政策来保护儿童在网上的数据。

州级立法：

• CCPA/CPRA:《加州消费者隐私法》（California Consumer Privacy Act）是最全面的法律之一，赋予加州居民了解、删除以及停止处理其数据的权利。
• VCDPA and CPA: 弗吉尼亚的《消费者数据保护法》（Virginia's Consumer Data Protection Act, VCDPA）与科罗拉多的《隐私法》（Colorado's Privacy Act）属于类似的数据保护框架，重点关注消费者权利以及数据控制者（data controller）的义务。

对比：GDPR 与美国法律（范围、权利、执法）

与大多数美国隐私法相比，GDPR 更为细致，并强调个人权利以及组织责任。关键差异包括：

• 同意方式： GDPR 依赖于对数据处理所依据的明确界定的合法基础，其中同意必须是自愿给出、具体的、知情的且毫不含糊。美国法律通常强调选择退出（opt-out）机制，允许企业默认收集和处理数据。
• 范围与定义： GDPR 对个人数据的定义较为宽泛，涵盖任何能够识别个人的信息，并且无论处理行为发生在哪里，只要处理的是欧盟居民的数据，就适用于任何组织。美国隐私法通常具有有限的地域范围和更狭窄的定义。
• 数据主体权利： GDPR 提供全面的权利，包括访问、更正、删除、数据可携带性，以及对处理的限制或反对。美国法律通常提供更有限的权利范围。
• 处罚： 未遵守 GDPR 可能导致最高 2000 万欧元或年度全球营业额的 4% 的罚款。美国的处罚通常是固定金额（通常为每项故意违规 2,500 至 7,500 美元），而不是按收入（营业额）计算。
• 执法： 每个欧盟成员国都有自己的数据保护主管机构（Data Protection Authority, DPA），负责执行 GDPR 规定。美国的隐私法主要由州级总检察长（Attorneys General）和联邦贸易委员会（Federal Trade Commission）来执法。

美国隐私法的未来（ADPPA 和国家层面的讨论）

美国隐私法规的走向正朝着持续扩大州级立法的方向发展，越来越多的州采用了受 GDPR 启发的规定。也一直在努力通过联邦层面的数据保护法律，例如 American Data Privacy and Protection Act（ADPPA）和 American Privacy Rights Act（APRA）。此类法律可能会在一定程度上覆盖部分州级法律，并为美国全境提供统一的数据保护。尽管目前往往通过选择退出（opt-out）而非选择加入（opt-in）的方式实施，但美国的隐私立法正日益与 GDPR 类似原则保持一致，例如数据最小化（data minimization）、目的限定（purpose limitation）以及对敏感数据类别的严格保护。

美国语境下的执法与处罚

GDPR如何对美国企业实施

GDPR 监管机构会积极对欧盟及非欧盟所在地的公司执行合规要求。处罚的影响远不止罚款，可能会波及运营、合同以及市场准入。欧盟数据保护主管机关（EU Data Protection Authorities，DPAs）有权调查任何以欧盟消费者为目标或监测其行为的公司，无论其总部位于何处。通过在欧盟成员国设立办公室或委任代表而进入相关市场的美国公司，可能在该成员国境内面临直接的法律行动。DPAs 会在调查过程中与美国的监管机构（如联邦贸易委员会（FTC））协调信息交换。执法机构可能会针对不合规公司的欧洲资产、将以直接运营方和供应商身份开展业务的公司列入黑名单，并发布公开公告以对品牌形象施加压力。

对美国公司的罚款

GDPR执法历史表明，美国的组织会被定期施以相当严厉的处罚，以确保其合规。包括在2023年开创性的12亿欧元罚款在内，许多大型美国科技公司都曾面临巨额罚款。这些严格的处罚体现了监管机构愿意施加最大压力的态度，并说明合规成本通常比处罚更低。常见的合规违规包括同意机制不足（尤其是与Cookie和行为追踪相关的部分）、跨境数据转移违法、个人数据处理缺乏充分的法律依据、技术与组织措施不足，以及泄露通报的延迟。

不合规的风险（财务、运营、声誉）

GDPR 不合规会带来多层后果，可能比对一家美国公司的长期健康造成的影响更为严重：

• 财务风险： 行政罚款分为两档——例如因未能妥善履行记录保存等不合规行为，最高可达 1,000 万欧元或全球营业额的 2%；而对于非法数据传输或缺乏充分的法律依据等情形，最高可达 2,000 万欧元或全球营业额的 4%。
• 运营中断： 数据保护主管机构（DPA）可能要求企业暂停或停止特定的数据处理活动，从而导致产品变更、服务暂停，或将某些功能从欧洲市场撤出。
• 合同层面的影响： 大多数欧盟企业会在与供应商签订的合同中加入 GDPR 合规保证；一旦发现不合规情况，可能会导致合同立即终止。
• 声誉损害： DPA 的执法决定会公开发布，并且往往会引发大量媒体报道。处于不合规状态可能会影响正在进行以及待定的合同，削弱客户和投资者的信任，并阻止企业进入新的市场。

面向美国企业的实用指导

GDPR 在实践中对美国公司的影响

GDPR 合规不仅要求准备法律文件，更需要在每个部门的工作流程中进行具体的运营层面调整。营销团队必须落实清晰的同意机制，将默认的“选择退出（opt-out）”转为明确的“选择加入（opt-in）”——在注册表单上不得出现预先勾选的选项；需提供清晰且细粒度的同意控制选项，并提供便捷的撤回方式。网站 Cookie 横幅必须提供真正的选择（接受、拒绝或选择性同意）。隐私声明应使用通俗易懂的语言，说明你收集哪些数据、原因是什么、保存多久，以及用户享有哪些权利。客户服务团队必须接受培训，理解并处理 Data Subject Access Requests（DSARs），并配备工具与流程，确保在 30 天期限内完成请求处理。同时，应审查供应商合同，以确保所有处理者及其分包处理者（sub-processors）都已签署 Data Processing Agreements（DPAs）。

美国公司常见的合规挑战

美国公司在与 GDPR 对齐时，常常会遇到结构性和文化方面的障碍：

• 文化差异： 美国的商业文化往往更偏向于广泛的数据收集，而 GDPR 强调数据最小化。这一要求促使思路从“收集所有可能在以后有用的数据”转向“只收集你现在需要、并且被允许收集的数据”。
• 技术债务： 传统/旧式系统在设计时并未考虑“privacy by design（从设计阶段就保护隐私）”，可能缺乏导出、删除或为单个用户数据隔离访问的能力。
• 组织壁垒： 个人数据往往分散在不同部门的工具中（销售 CRM、营销邮件、财务计费系统）。需要一个集中式系统来响应 DSAR 请求。
• 供应商管理： 管理供应商生态会增加复杂性，因此需要通过合适的合同来落实严格的安全措施执行，同时必须提供数据处理指令，并定期进行审查。

最佳实践：数据最小化、审计、同意管理

美国企业应当超越被动应对合规要求，并采用主动、基于框架的方法：

• 从设计层面实现数据最小化： 仅收集为特定处理所需的数据，而不是出于“以防万一”而囤积数据。明确界定处理目的，并为自动删除设置数据保留计划。
• 从设计层面实现隐私与安全： 在构建新产品或新功能时，请考虑“要让它正常工作，我们需要的最少数据量是多少”，以及如何确保数据处理的安全性。
• 定期的隐私审计： 定期评估并复核数据流转、访问权限、保留做法以及安全控制，以识别并降低漏洞风险。
• 同意管理： 使用结构化的同意与偏好管理工具，跟踪谁对什么内容在何时、以何种方式、出于何种目的表示同意。
• 访问控制与最小权限： 实施基于角色的访问控制（RBAC）策略，确保员工只能访问其岗位所需的特定个人数据，并保留适当的审计跟踪（audit trails）。

美国企业可以依赖 Netwrix identity security and data protection capabilities 来实现自动化的数据发现与分类，从而贯彻 GDPR 的数据最小化和隐私保护设计原则。Netwrix 解决方案可扫描本地部署、仅云端或混合环境，以识别并对个人数据进行分类；同时，其搜索能力可支持在几分钟内而非数天内完成 DSAR 处理。 Netwrix Threat Detection and Response 会主动扫描漏洞和安全配置错误，分析异常用户活动以防范内部威胁，阻止勒索软件攻击，并为取证调查提供详细的审计跟踪（audit trails），以支持 72 小时通知期限所要求的调查与证据收集。

结论

面向美国企业的关键要点总结

GDPR 是一部欧洲法律，但其影响力是全球性的，并且会对处理欧洲数据主体个人数据的美国公司产生重大影响。GDPR 并非一种理论性的或可选的法律要求；对于任何向欧盟数据主体提供货物或服务，或监测欧盟数据主体行为的组织（包括对欧盟访问者可访问的网站、定向营销以及对欧盟消费者的数据分析），都将被严格执行。目前，美国联邦层面尚无任何一部单一法律能够与 GDPR 的全面范围、个人权利框架或执法机制相匹配。组织必须实施具体措施，包括指定欧盟代表、维护详细的处理活动记录（Records of Processing Activities，ROPA）、落实隐私与安全（privacy and security）by design（隐私与安全内建）、为每项处理活动建立合法依据，并建立成熟的流程以处理 DSAR 以及事件响应（incident response）。不合规的罚款最高可达 2000 万欧元或年全球营业额的 4%，而欧盟监管机构已表明愿意施加最高处罚。

面向全球业务的主动合规的重要性

对 GDPR 采取主动应对并不只是为了避免罚款；这是一项推动增长的长期业务战略。欧盟拥有 4.5 亿+ 消费者，经济总量合计约 18–22 万亿欧元；若未遵守 GDPR，美国企业可能会面临来自合同或数字市场的监管禁令风险。现代消费者正变得更加注重隐私，而符合 GDPR 的做法体现了企业对用户权利的承诺以及对数据的负责任处理。美国联邦隐私法规正日益不可避免，而健全的 GDPR 合规基础设施能够为降低未来的合规差距与本土返工提供支撑。

对于在应对 GDPR 要求的美国企业，Netwrix data security and compliance capabilities 提供对欧盟个人数据存放位置的可视化；并基于最小特权原则实施访问控制；可持续监控承载个人数据的终端（endpoint）上的个人数据与安全态势；对围绕个人数据的异常活动进行分析，以检测并防止安全漏洞；同时保留审计就绪所需的证据，确保符合 GDPR。

探索 Netwrix GDPR compliance solutions 了解数据安全与 Identity governance 功能如何帮助您的美国业务实现并持续满足欧盟的数据保护要求。