自2018年5月25日生效以来，GDPR（《通用数据保护条例》）已成为数字行业核心议题，深刻影响了欧洲个人数据管理。随着ePrivacy项目的推进，企业面临诸多合规疑问。本文将解析相关法规对电商的影响、数据处理边界及合规建议。
什么是GDPR和ePrivacy？
近年来，欧盟致力于建立统一规则以维护单一市场内消费者与权利持有人的权益。在法国，个人数据保护原由1978年法律规范，后经2018年6月20日法律修订以适应GDPR。新框架强化了公民数据权利并明确了主体责任。
当前，更严格的数据保护法规成为焦点，适用于所有欧盟成员国及面向欧盟市场的国家。
什么是GDPR？
GDPR是欧盟统一法律，规范境内自然人个人数据的收集与处理。无论企业注册地在哪里（如美、法、日等国公司），只要涉及欧盟公民数据均受约束。
“数据收集”涵盖记录、组织、保存、修改、提取、查阅、使用、传输、披露、关联、限制、删除或销毁等广泛行为。
根据GDPR，网站必须允许用户控制Cookie和跟踪器。简言之，仅在用户明确同意用于特定目的后，方可收集个人数据。
什么是ePrivacy？
ePrivacy条例草案旨在规范电子通信服务（如消息、邮件等）中的隐私与数据保护，加强在线隐私并深化数据保护规范。
其核心目标是获取网民同意并提高透明度：任何数据收集行为及其目的必须告知用户。作为GDPR的特别法（lex specialis），它具体明确了电子通信领域的规定。
四大主要目标：
- 保护自然人的权利和自由：特别是在电子通信服务中尊重私生活、通信权及免受数据处理影响的权利。
- 保护法人的权利和自由：特别是在提供和使用电子通信服务时尊重通信权。
- 确保数据与服务自由流动：除非出于保护隐私、通信或免受数据处理影响而受限。
- 明确并补充GDPR：作为特别法细化电子通信领域规定。
ePrivacy的影响是什么？
若通过，该法规将立法约束Cookie和追踪器，要求用户明确授权后方可启用。主要变化包括：
- 拒绝机制简化：用户可通过浏览器设置轻松拒绝非必要Cookie。
- 强制Opt-in：仅当用户明确接受时才允许放置Cookie；拒绝后内容仍应正常显示。
- 限制数据传输：可能影响GPS等直接参与的数据传输，制约营销地理定位策略。
- 规范电话营销：广告来电需披露号码或使用强制代码标识。
- 监管政府行为：端到端加密或成强制要求，保障数据传输完全加密。
此外，该法规旨在恢复公众对数字通信渠道的信任。
ePrivacy条例何时生效？
草案自2016年起讨论，2021年2月定稿，目前正处于三方会谈谈判阶段。若达成协议将在27个成员国通过，否则需重拟。文本草案指出，条例将在官方公报公布后20天生效，两年后开始适用。
针对ePrivacy的反应和批评
服务提供商和在线营销行业主要从三方面提出批评：
- 法规混淆：GDPR与ePrivacy存在矛盾，导致法律不确定性。
- 媒体市场衰退：依赖广告的免费信息模式可能终结，因多数用户可能拒绝同意。
- 用户体验困扰：过多的批准请求可能导致网民困惑。
什么是个人数据？
个人数据指与已识别或可识别自然人相关的任何信息。识别方式包括：
- 直接识别：如姓名。
- 间接识别：如电话、车牌、社保号、地址、邮箱、声音或图像。
- 交叉分析：如结合住址、出生日期及会员身份等多组数据。
注：企业联系方式（如公司名、总机、通用邮箱）原则上不属于个人数据。但Cookie收集的购物行为、位置、设备等信息属于数字痕迹，可用于追踪和识别用户。
如何管理访客的个人数据？
网站收集信息主要用于定向广告和改善体验。在合法收集前，必须遵守GDPR和ePrivacy规定。
如何使电子商务符合RGPD要求？
1. 获取访客明确同意
预勾选复选框已成历史。访客必须以清晰、自由、具体、知情且明确无误的方式表达同意。需区分维持服务必需的数据与其他数据，后者须获知情同意。
同时，GDPR强化了以下权利：
- 更正权：用户可随时请求更正数据。
- 被遗忘权：数据保存期限应与商业活动一致。
- 拒绝画像权：反对出于营销目的的画像（合同履行、法律授权或明确同意除外）。
2. 盘点已收集数据
不再盲目收集数据。应对表单、合同、发票等所有收集点进行盘点，明确：
- 收集了哪些数据及其目的；
- 保存方式及访问权限（尤其是敏感数据）；
- 数据修改方式及保存期限。
超250人企业需正式化“数据处理记录”并定期更新；中小企业也应建立参考库以备检查并确保合规。
3. 验证数据必要性
根据GDPR，必须证明数据使用目的。尽管电商需数据进行分析和服务定制，但仍需权衡必要性以应对监管问询。
4. 约束分包商
无论数据由谁收集，企业均负全责。需确保分包商合规，并在合同中包含相关条款。
特别注意：数据必须存储在欧盟境内。需核查托管、邮件管理及账单数据服务商。若无法保证存储于欧盟，应更换服务商以避免高额罚款（最高2000万欧元或年营业额4%）。
5. 更新合同文件
销售条款、法律声明、隐私政策等需更新，明确收集目的、Cookie政策及用户权利行使方式。必须注明欧盟境内托管地址及DPO（数据保护专员）名称。建议使用生成器定制条款或咨询律师。
6. 加强数据安全
除HTTPS外，应建立泄露风险管理程序（如权限管理、保密承诺、加密工具）。若遭黑客攻击，须在72小时内通知客户及监管机构。
7. 调整内部流程
修改收集流程、处理记录，分析分包商合规性，建立权利保障及警报流程。必要时任命DPO以确保团队培训及流程安全。
8. 转化为商业机遇
GDPR不仅是合规要求，更是调整客户关系策略的杠杆。透明处理数据能赢得信任，相比非欧盟竞争对手构成优势。应将此约束视为实施尊重消费者营销方式的契机。
如何使电商平台符合ePrivacy要求？
落实ePrivacy新义务的关键要点如下：
- 具体同意：用户需为每个目的独立给予同意，而非整体性同意。
- 明确无误：通过积极行动表明同意，清楚了解目的和影响。
- 自由选择：有能力接受或拒绝，且拒绝时不受损害（如仍可访问网页）。
- 知情同意：知晓最终用途、处理负责人及同意的实际影响范围。
- 简便撤回：提供简单途径供用户随时撤回同意。
- 留存证明：数据处理者须证明用户以有效方式给予了同意。