一家加州SaaS公司去年收到爱尔兰数据保护委员会的3400万欧元罚单，罪名是"非法向美国传输欧盟用户数据"。这家公司在美国本土只有12名员工，欧盟用户占比不到8%。
GDPR（通用数据保护条例，General Data Protection Regulation）的管辖逻辑像一把没有安全锁的狙击枪——它不问你公司注册在哪，只问你的子弹有没有落到欧盟境内。
两条"钩子"：怎么判断你被盯上了
GDPR第三条写得很清楚，域外管辖靠两条路径。第一条叫"设立机构"（Establishment）：你在欧盟有办公室、子公司、甚至一个全职远程员工，条例自动生效。
第二条叫"目标指向"（Targeting），这是绝大多数美国公司的踩雷点。只要你向欧盟居民提供商品或服务，或监控其行为，GDPR就适用——无论你在欧盟有没有实体存在。
怎么算"目标指向"？原文列了几个信号：网站有欧元定价、德语/法语版本、欧盟客服电话、针对欧盟市场的SEO关键词、在欧盟投广告。反过来，纯英文网站+美元定价+仅向美国发货，理论上可以争辩"无意 targeting"，但争议空间正在缩小。
一个残酷的事实：即使你没打算 targeting 欧盟用户，只要他们找到你、注册、你收集了数据——你就可能入圈。GDPR的立法者早料到公司会搬去欧盟以外规避监管，第三条就是专门堵这个洞。
"个人数据"比你想象的宽
很多人以为GDPR只保护姓名、邮箱、电话。错。IP地址、Cookie标识符、设备指纹、甚至通过分析能定位到具体个人的行为数据，都算"个人数据"（Personal Data）。
你装了Google Analytics？你在处理个人数据。用了Hotjar录屏？你在处理个人数据。网站有联系表单？你在处理个人数据。
更隐蔽的是：匿名欧盟访客也可能触发合规义务。如果你的分析工具收集了欧盟访客的IP地址并分配持久化Cookie标识符，即使这些人从未注册、从未购买——技术上你已"处理"其个人数据。
公司规模不影响GDPR是否适用，只影响执法概率。两人初创公司有欧盟注册用户？技术上受GDPR约束。年营收百万美元但零欧盟用户？条例不生效。风险大小是另一回事，法律义务是0或1的问题。
那些"假装合规"的骚操作
我见过太多网站把GDPR当成UI任务。一个写着"我们使用Cookie"的横幅，点确认前追踪器已经全开——这不是合规，这是合规cosplay。
真正的合规要求前置同意（Prior Consent）：非必要Cookie和分析脚本必须在用户明确选择加入后才能加载。默认勾选、继续浏览即同意、把拒绝按钮藏在三级菜单——这些在2024年的执法实践中都被判违规。
数据本地化是另一个误区。有些公司以为把欧盟用户数据存在法兰克福服务器就安全了。但GDPR的核心限制是"跨境传输"：即使数据在欧盟境内生成，要传回美国处理或存储，仍需合法机制——标准合同条款（SCCs）、充分性认定，或最新的欧盟-美国数据隐私框架认证。
2023年Meta因向美国传输数据被罚12亿欧元，用的就是SCCs。机制存在不等于自动合规，还得做"传输影响评估"（TIA），评估美国法律（如FISA第702条）对数据接收方的影响。
小公司怎么办：不是不做，是聪明地做
完全屏蔽欧盟IP是最干净的方案，但会损失潜在市场。更务实的做法是分层处理：
第一层，流量分析。用Plausible、Fathom等隐私优先工具替代Google Analytics，它们默认不收集个人数据，GDPR合规成本趋近于零。
第二层，表单和注册。给欧盟用户单独的数据处理条款，明确告知数据用途、保留期限、第三方共享对象。拒绝按钮要和接受按钮同等显眼，颜色、大小、位置都不能搞小动作。
第三层，跨境传输。如果必须用美国云服务，优先选择已获欧盟-美国数据隐私框架认证的服务商（AWS、Azure、Google Cloud已认证），并保存认证记录。
记录是关键。GDPR执法看证据链：你什么时候更新了隐私政策？用户同意的记录存了多久？数据删除请求多久响应？没有文档的合规等于没有合规。
爱尔兰数据保护委员会2023年报告显示，针对非欧盟企业的调查中，67%的违规源于"未记录同意流程"而非技术缺陷。小公司不是被罚得多，是被查到时拿不出自证材料。
一个反直觉的趋势：GDPR合规正在成为B2B销售的门槛。欧盟企业采购SaaS时 increasingly 要求供应商提供数据处理协议（DPA）和传输影响评估。你的竞争对手做了，你没做，丢单的可能不是合规部门，是商务团队。
最后说个细节。有家公司把隐私政策的"最后更新日期"设成自动显示当天，以为显得"很重视"。审计时被发现两年没实质更新，被罚了——形式主义在数据保护领域行不通。
你的网站上个月有多少欧盟访客？Cookie同意横幅的拒绝按钮，用户平均要花几秒找到？
热门跟贴