GDPR与CCPA

两部海外隐私法的共同特点是管辖范围不看企业注册在哪里，只看服务对象在哪里：欧盟的GDPR（通用数据保护条例）规定，只要欧盟居民能注册某项网络服务，无论运营该服务的组织是否设在欧盟境内，都必须妥善处理这些居民的个人数据，且违法罚款极其严厉（最高可达全球年销售额2%或1000万欧元中较高者，恶意侵权翻倍）；美国的CCPA（加州消费者隐私法）同理保护加州居民，但保护范围比GDPR更进一步，把”能识别出某个家庭”的信息也纳入了保护对象，并赋予用户拒绝个人数据被出售或共享给第三方的权利。这提醒一个容易被忽视的现实：判断一项数据业务要不要遵守某国隐私法，看的不是公司注册地或服务器物理位置，而是”这项服务的用户里有没有该辖区居民”——这也是为什么”域外管辖”成了跨境互联网服务合规工作中绕不开的话题。