文 | 吴迪

GDPR采用“总-分-责”的三级立法结构，11章内容形成了从原则到规则、从权利到义务、从监管到救济的完整闭环。

第一章“一般条款”明确了立法目的、适用范围与核心定义，其中第3条的长臂管辖规则奠定了其全球适用的基础。

第二章“原则”确立了合法性正当性透明性、目的限制、数据最小化、准确性、存储限制、完整性与保密性、问责制七项核心司法原则，是所有数据处理活动应遵循的基本司法原则。

第三章“数据主体权利”系统规定了知情权、访问权、更正权、删除权、限制处理权、数据可携权、反对权、自动化决策拒绝权八项可执行权利，构建了个人对数据全生命周期的控制权体系。

第四章“控制者与处理者的义务”是规则核心，明确了企业的合规义务体系，包括合法性基础要求、隐私设计与默认保护、数据保护影响评估、数据泄露通知、数据保护官任命等核心制度。

第五章“个人数据向第三国或国际组织的传输”构建了跨境数据传输的完整规则体系（我国企业涉及境外数据传输需重点予以关注），确立了充分性认定、标准合同条款、绑定公司规则等合法传输路径。

第六章“独立监管机构”、第七章“合作与一致性”规定了欧盟各成员国数据保护机构的职权与协作机制，确保规则适用的统一性。

第八章“救济、责任与处罚”、第九章“特定处理场景的特别规定”、第十章“委托法案与实施法案”、第十一章“最终条款”分别规定了救济途径、处罚机制、特殊场景适用规则、立法授权与过渡安排，形成了完整的制度落地体系。

GDPR的规制体系建立在三大制度支柱之上，三者共同构成了其“史上最严数据保护法”的制度基础，每一项制度都有明确的适用场景与判断标准，而非抽象的原则性规定。

（一）长臂管辖规则的适用标准：依据密切联系原则的“靶向性”判断是核心

GDPR第3条规定的长臂管辖规则包含三个层级的适用场景：一是属地适用，即设立在欧盟境内的控制者或处理者的所有数据处理活动，无论数据是否在欧盟境内处理，均适用GDPR；二是属人适用，即设立在欧盟境外的控制者或处理者，只要向欧盟境内的数据主体提供商品或服务（无论是否收费），或者监控欧盟境内数据主体的行为，也适用GDPR；三是国际公法适用，即根据国际公法适用欧盟成员国法律的场景。

在司法实践中，判断是否构成“向欧盟境内提供商品或服务”的核心标准是“靶向性”，即企业是否明确以欧盟用户为目标市场。

【判断依据】欧盟数据保护委员会（EDPB）在2020年发布的指南中明确了判断靶向性的参考因素：是否使用欧盟国家的语言或货币、是否针对欧盟用户投放广告、是否提供欧盟境内的配送服务、是否使用欧盟国家的顶级域名、是否提及欧盟用户的评价或反馈等，可以理解为对欧盟区域作为最密切联系点的应用。如果企业仅偶然被欧盟用户访问，没有任何针对欧盟市场的营销行为，一般不会被认定为适用GDPR。

（二）合法性基础的适用规则：六个选项的边界与适用场景

GDPR第6条规定了六项合法性基础，任何数据处理活动必须至少满足其中一项，这是GDPR合规的第一道门槛。六类基础的适用场景有明确的边界：

（1）同意（或理解为被许可）：适用于没有其他更合适合法性基础的场景，特别是营销类、非必要的数据处理活动，同意必须满足自由、具体、知情、明确四个要件，默认勾选、捆绑同意、模糊表述等均属无效（参考格式条款限制权益的角度理解）；

（2）合同履行（履行契约所必须的紧迫合理性）：适用于为订立或履行与数据主体之间的合同所必需的数据处理，简要理解为因合同履行必要性所使用的数据，例如电商平台处理用户收货地址用于配送商品；

（3）法定义务：适用于控制者为履行欧盟或成员国法律规定的义务所必需的数据处理，例如企业履行税收申报义务处理员工涉税信息；

（4）保护核心利益（“紧急避险”）：适用于为保护数据主体或其他自然人的重大利益所必需的数据处理，例如疫情期间处理健康信息用于医疗救治；

（5）公共利益：适用于为了公共利益或行使公权力所必需的数据处理，例如政府部门处理人口普查信息；

（6）合法利益（弹性条款）：适用于控制者或第三方追求的合法利益，且该利益未凌驾于数据主体的权利和自由之上，这是唯一的弹性条款，适用时需要进行利益平衡测试。

（三）处罚机制的层级适用：违规程度的判断标准

GDPR第83条规定的层级化处罚机制，并非简单按照“一般违规”和“严重违规”一刀切，监管机构在决定处罚金额时需要综合考量以下因素：违规的性质、严重程度和持续时间；违规的故意或过失程度；为减轻损害采取的措施；之前的违规记录；与监管机构的合作程度；违规行为的类型，涉及的数据类型、数量和敏感程度；受影响的数据主体数量；对数据主体造成的损害程度；为发现、调查和纠正违规行为所采取的措施；违规行为的发生是否由于控制者或处理者已经实施的组织和技术措施；其他加重或减轻情节。

从近年的执法案例来看，监管机构在决定处罚金额时，重点关注违规行为的主观过错程度和对用户权利的影响程度。比如Meta在2023年被处12亿欧元罚款，核心原因是其在欧盟法院已经明确认定跨大西洋数据传输机制违法的情况下，仍然持续违规传输用户数据，属于明知故犯的故意违规，因此被处以接近顶格的处罚。而一些中小企业的无意违规，且没有造成实际损害的，通常只会被要求整改，很少被处以高额罚款。

2025年欧盟委员会提出的《数字综合法案》提案，是GDPR实施以来最重大的一次修订，核心调整包括三个方面：一是拟引入“数据主体相对性”标准，即如果企业在现有技术条件下无法通过合理成本识别具体数据主体，则相关数据不被视为个人数据，这将大幅降低中小企业处理匿名化数据的合规负担；二是简化低风险数据处理场景的合规要求，对员工数据处理、家庭或私人活动处理等场景豁免部分合规义务；三是强化对AI自动化决策的监管要求，要求高风险AI系统的个人数据处理必须开展额外的算法影响评估（该条将对目前AI发展形势下的数据处理提出更高要求，需保持关注）。目前该提案仍在欧洲议会审议阶段，预计2026年底前会正式通过实施。

从律师实务角度，企业构建GDPR合规体系应当采取“分层分级”的实施路径：首先开展全面的数据资产梳理，建立数据清单，明确所有个人数据的来源、处理目的、存储位置、传输路径、留存期限等基础信息，这是所有合规工作的基础；其次开展差距评估，对照GDPR的规则要求，识别现有数据处理活动中的合规风险点，按照风险等级排序，优先整改高风险问题；第三建立合规管理体系，包括用户同意管理机制、数据主体权利响应机制、数据泄露应急响应机制、定期合规审计机制等，将合规要求嵌入业务全流程；最后针对跨境业务场景，建立跨境数据传输合规机制，根据数据流向选择合适的传输路径，定期评估传输的合法性。

对于同时开展中欧业务的企业，建议构建“双法域一体化”合规体系，在数据收集、存储、使用等基础环节采取“就高不就低”的标准，满足更严格的合规要求；在跨境传输、数据出境等差异环节分别制定符合两边监管要求的专项方案，避免出现合规冲突。需要特别注意的是，不要试图用一套合规方案同时满足两边的要求，二者在很多规则上存在实质性差异，比如合法性基础、跨境传输、敏感信息范围等，必须分别制定针对性的合规策略。

GDPR实施八年来，其制度价值已经得到全球范围的广泛认可，以个人数据主权为核心、全生命周期管控为路径、高威慑力处罚为保障的规制模式，已经成为全球数据治理的主流范式。尽管不同国家的立法基于本土国情存在具体规则差异，但核心原则正在逐步趋同，这为跨国企业构建一体化合规体系提供了基础。

随着数字经济的全球化发展，数据跨境流动的需求与日俱增，全球数据监管的协同性也在不断提升。对于企业而言，数据合规已经从边缘性的法律问题，转变为核心的战略议题。深入理解GDPR的框架体系与规则逻辑，不仅是开展欧盟业务的必备前提，更能为企业构建全球统一的合规体系提供参考范本，帮助企业在日益收紧的全球监管环境中获得竞争优势，实现商业发展与合规风险的平衡。