背景
随着数据成为核心资源，各国陆续立法保护个人信息。
主要法规：
- GDPR（欧盟，2018 年生效）：影响全球，因为适用于处理欧盟居民数据的任何组织；
- CCPA/CPRA（美国加州）；
- 《个人信息保护法》（PIPL）（中国，2021 年施行），与《网络安全法》《数据安全法》共同构成中国的数据治理框架。
这些法规在具体条款上不同，但基本原则高度相似。
核心原则
一、合法、正当、必要（最小必要）
处理个人信息必须有合法基础，且目的明确。
"最小必要"原则：只收集实现目的所必需的信息，不能过度收集。
实践含义：
- 一个手电筒 App 不需要通讯录权限；
- 一个不需要真实身份的服务，不应强制实名；
- 表单中"非必填"的字段应尽量少。
二、告知同意
收集前应明确告知：
- 收集哪些信息；
- 用于什么目的；
- 是否共享给第三方；
- 用户的权利。
并取得同意（在依赖同意作为合法基础时）。
实践要求：
- 不能默认勾选；
- 不能用冗长难懂的条款糊弄——应提供清晰易懂的说明；
- 分项同意：不能"一揽子"授权（如把"必要功能"和"营销推送"捆绑）；
- 敏感个人信息（生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等）通常需要单独同意。
三、目的限制
数据只能用于收集时声明的目的。
如果要用于其他目的，需要重新评估合法基础（如再次取得同意）。
实践含义：不能把用户注册时收集的信息，随便用于训练 AI 或转售。
四、存储限制
不应无限期保存个人信息——应设定保留期限，到期后删除或匿名化。
五、准确性与安全
- 应保证数据的准确，并提供更正途径；
- 应采取技术和管理措施保护数据安全（加密、访问控制、审计）。
六、可问责（Accountability）
组织需要能够证明自己遵守了上述原则——这是合规举证责任的一部分。
实践要求：文档化（如记录处理活动的清单、数据保护影响评估 DPIA）。
个人权利
法规通常赋予个人一系列权利：
- 访问权：知道组织持有我的哪些数据；
- 更正权：更正不准确的数据；
- 删除权 / 被遗忘权：要求删除数据；
- 可携带权：获取我的数据并转移到其他服务（GDPR 规定的数据可携带性）；
- 限制处理权 / 反对权：反对某些处理（如直接营销）；
- 撤回同意权。
实践含义：组织必须有流程来响应这些请求（通常有法定时限，如 GDPR 是 1 个月）。
跨境传输
个人信息跨境传输通常受到限制，需要满足特定条件：
- 通过标准合同条款（SCC）；
- 通过充分性认定（数据接收国被认定具有相当的保护水平）；
- 通过安全评估（中国 PIPL 要求的重要路径之一）；
- 或取得个人的单独同意。
这是一个复杂的合规领域，涉及不同法域的冲突与协调。
对企业的实际意义
一、建立数据处理清单（数据地图）
知道你收集了什么、为什么、存在哪里、与谁共享——这是所有其他工作的基础。
二、把隐私设计（Privacy by Design）融入产品
- 默认隐私设置（Privacy by Default）；
- 数据最小化（不收集不必要的）；
- 在产品设计阶段就考虑隐私，而非事后补救。
三、关注自动化决策的规定
GDPR 第 22 条等条款对完全自动化的个人决策（如自动拒绝贷款）有规定——通常要求提供人工介入、表达异议的权利，以及解释。
这对 AI 应用有直接影响（前文提到过的自动化决策解释权）。
一句话
这些原则的共同精神是：把个人数据的控制权，从收集者部分地还给个人。
说明：本文为隐私合规的知识整理，不构成法律建议。