周三下午三点，柏林创业者Graham Miranda关掉第17个法律咨询窗口，打开了一个空白文档。他需要的不是50页的法律意见书，而是一张能在发布前打勾的清单。
这张清单后来成了他每个项目上线前的固定流程。不是法律论文，是一组技术和流程决策。
数据收集：先列清单，再问为什么
第一步是诚实面对你拿了什么。姓名、邮箱、IP地址、Cookie、分析工具——全部列出来。然后逐条过三关：为什么需要它？存多久？用户要求删除时能不能做到？
这三关对应GDPR的核心原则：目的限制、存储限制、删除权。很多创业公司的"不小心"就出在这里：收集了用不上的数据，或者根本不知道存了多久。
技术措施：HTTPS是底线，不是加分项
技术层的 checklist 更具体。TLS 1.3 全站 HTTPS。第三方追踪工具（Google Analytics、Facebook Pixel）没有用户同意不能用。非必要 Cookie 必须严格 opt-in，不能预勾选。
服务器位置是个成本决策。欧盟境内托管（Hetzner、OVH、Scaleway）比 AWS 便宜，还省掉标准合同条款（SCCs）的麻烦。访问日志要么去标识化，要么30天轮换。数据库静态加密。
三个立即可换的替代方案
Miranda 列了三个"quick wins"：Plausible 替代 Google Analytics，9欧元/月，欧盟托管，无 Cookie；hCaptcha 或 Friendly Captcha 替代 reCAPTCHA；欧盟本土主机商替代美系云服务。
这些替换的共同点：功能损失极小，合规风险骤降，成本往往更低。
文档：被忽视的防御工事
隐私政策要德英双语， plain language，不是法律术语堆砌。和第三方服务的数据处理协议、72小时事故通知流程、用户权利响应程序——这三份文档决定出事时你是手忙脚乱还是有章可循。
团队层面：10人以上处理个人数据的公司需要指定数据保护官。员工年度培训要留记录。访问控制按角色分配，最小权限原则。
真正的违规来自" careless "而非恶意
Miranda 的观察很直接：大多数 GDPR 违规不是故意的。是忘了加隐私政策，是无限期记录 IP，是用了美国托管的分析工具却没签 SCCs，是从未记录过数据流向。
这张清单解决的是"粗心错误"。合法的权益评估、数据保护影响评估（DPIAs）是进阶内容——但前提是基础已经打牢。
上线前的最后一道检查，5分钟足够。
热门跟贴