欧盟《通用数据保护条例》（GDPR）将于5月25日生效。该法律覆盖面广，对违规行为处以巨额罚款，影响全球几乎所有公司。
针对这一令人困惑的法规，Revision Legal创始合伙人、互联网法律专家John Di Giacomo为电商商家提供了权威解读。以下是经过删减润色的对话实录。
一、GDPR的核心定义与适用范围
帕梅拉·黑泽顿： GDPR是什么？
约翰·迪贾科莫： 通用数据保护条例是欧盟建立统一数据保护政策的第二次尝试。1995年的《数据保护指令》仅定义了概念，需由成员国实施；而2016年5月发布的GDPR是直接适用的法规。
其适用范围比旧指令更广：不仅适用于欧盟境内企业，也适用于在欧盟境外处理或收集欧洲居民个人信息的海外企业。
二、合规判定标准与服务商责任
黑泽顿： 即使不接受来自欧洲的订单，企业是否也受其约束？
迪贾科莫： 是的。只要从居住在欧盟的人员处收集信息或监控其活动（如通过Cookie跟踪、注册新闻通讯等），即属于管辖范围。若网站面向所有人开放，很可能受GDPR约束。
黑泽顿： 对于知名度较低的服务商（如邮件营销平台），商家是否要对其行为负责？
迪贾科莫： 是的。除CDN和托管服务外，CRM软件是关键痛点。许多服务商并不像声称的那样合规。例如，GDPR实施前获得的同意可能因不够“明确”而失效，导致商家面临风险。
三、数据收集、同意机制与用户权利
黑泽顿： 是否需要重新联系一年前订阅邮件列表的用户？
迪贾科莫： 需要。现有数据可能不符合要求。GDPR规定数据收集必须成比例（仅限特定目的）且存储时长必要。同意必须是自愿、知情且明确的，需用清晰通俗的语言说明，不可隐藏。
黑泽顿： 电子邮件营销应使用双重确认机制吗？
迪贾科莫： 取决于数据类型。关键在于确保条款易读，让用户清楚知晓同意的内容及目的。例如：“您正在订阅邮件通讯，您的邮箱将为此目的存储，我们将推送相关内容。”同时，声明中必须提及用户的新数据主体权利（如获取个人信息副本权、确认数据处理权）。
四、违规处罚与执法风险
黑泽顿： 不合规的处罚是什么？
迪贾科莫： 最高可达2000万欧元或公司全球年收入的4%（以较高者为准）。虽含比例原则条款导致具体罚金难以预估，但欧盟对此高度重视，很可能针对收集欧盟居民信息的美国公司展开广泛执法。
若企业的收入、支付账户或其他资产位于欧盟境内（包括通过PayPal、Amazon等在卢森堡等地存储的资金），数据保护机构可能查封或扣押资产。
五、快速补救措施与建议
黑泽顿： 商家可以采取什么快速补救措施？
迪贾科莫： 审查内部政策，确保数据收集、存储方式及目的符合规范；记录与供应商的合同，确保包含数据保护措施。年收入50万美元的小企业可能不是主要目标，但仍需关注事态发展。
黑泽顿： 在网站评论系统中使用Facebook会有问题吗？
迪贾科莫： 会的。若Facebook作为“数据控制者”处理数据，你可能承担连带责任。
迪贾科莫总结： 美国未来也会解决数据保护问题。请认真对待GDPR，现在做好准备总比事后解决合规失败要好。