中小企业的GDPR与AI：你真正关心的问题

这取决于是哪些数据、使用哪种工具、基于什么法律依据。把个人数据（姓名、邮箱、合同内容、健康或财务数据）粘贴到AI工具中，等于把这些数据传递给了第三方供应商：该供应商实际上成为这些数据的处理方，而你在数据主体面前仍然要承担责任。

使用免费的消费者版方案时，你输入的内容可能被用于训练模型，也没有适当的合同保障：在这种情况下，实际操作规则是不要输入个人数据或机密数据。而使用排除训练用途、并提供数据处理协议的商业版/企业版方案时，情况就变得可控，但仍需逐案评估。

GiBSeS — 区分'哪些数据、哪种工具、哪种合同保障'，正是我们帮助中小企业在不暴露风险的前提下使用AI时，首先要做的筛选。

GDPR（欧盟通用数据保护条例，2016/679号法规，自2018年5月25日起生效）基本上要求你做到三件事：知道自己处理了哪些个人数据、为什么处理；只为明确目的、依据有效的法律依据进行处理；并采取与风险相称的保护措施。这不是一次性的义务，而是一种必须能够被证明的工作方式（问责原则，即accountability）。

对中小企业来说，这意味着几份'活的'文件：处理活动登记册、隐私告知、与供应商的协议、安全措施。不需要无穷无尽的官僚程序，需要的是你声明的内容和实际做法之间的一致性。

GiBSeS — 如果你不确定现有的东西和缺失的部分，梳理真实现状正是我们工作的起点。

法律依据是你可以处理某项个人数据的法律理由：没有至少一个法律依据，处理行为就是违法的。GDPR第6条规定了六种法律依据，包括同意、履行合同、法定义务和合法利益。对中小企业而言，大多数日常经营性的处理活动（处理订单、开具发票、回复客户）依据的是合同或法定义务，而不是同意。

同意主要用于诸如未经请求的营销或画像分析等活动，必须是自由给予、具体明确且可撤回的。要注意：当某个法律依据变得不方便时，你不能随意更换。

GiBSeS — 为每项处理活动分配正确的法律依据，是我们在GDPR诊断中最先解决的事项之一。

是的。数据最小化原则规定，你只能收集与所声明目的相适应、相关且限于必要范围的数据。如果你抱着'以防万一'的心态收集数据，就已经违反了这一原则。目的限制原则同样适用：为某一目的收集的数据，未经新的法律依据，不能用于不相容的其他目的。

对中小企业来说，最小化也是一种便利：收集和保存的数据越少，一旦发生数据泄露，风险就越小，管理成本也越低。'永久保存一切'几乎总是一个问题，而不是一种资源。

GiBSeS — 减少所处理的数据、设定合理的保存期限，正是我们即使在合规之外也会带来的那种简化。

DPIA（数据保护影响评估，第35条）在某项处理活动可能对个人权利和自由造成高风险时是强制性的。条例明确列举了三种情形：基于画像分析、产生重大影响的系统性评估；对特殊类别数据（如健康数据）进行大规模处理；以及对公共区域进行系统性监控。

各国监管机构还会公布需要做DPIA的处理活动的补充清单，因此也要查阅你所在辖区监管机构的清单。当AI涉及画像分析、评分或针对个人的决策时，DPIA往往就变得非常必要。

GiBSeS — 在项目启动前就判断某个AI项目是否触发DPIA义务，正是我们始终坚持的风险/收益分析。

是的，变化很大。自动化画像分析和评分是最敏感的处理活动之一：它们提高了需要做DPIA的可能性，也要求对数据主体加强透明度，因为他们有权知道自己被画像分析，以及大致采用了什么逻辑。如果评分结果产生重大影响（例如拒绝提供某项服务），还会涉及关于自动化决策的第22条。

此外，这类AI系统也可能被欧盟人工智能法案（AI Act）归类为高风险系统，从而产生额外的义务。GDPR与AI Act在这里会有交叉，需要一并解读。

GiBSeS — 让同一系统上的GDPR义务与AI Act义务相互对应，正是我们进行的那种整合性解读，以避免重复或遗漏。

不是自动违反，但你需要有合法的传输依据。将个人数据传输到欧洲经济区以外，只有在具备充分保障措施的情况下才被允许：欧盟委员会的充分性认定决定、标准合同条款（SCC）、有约束力的企业规则，或极少数其他例外情形。对于美国，自2023年起存在《数据隐私框架》（Data Privacy Framework）：如果你的供应商加入了该框架，向该实体的传输就受到保护。

如果供应商未获得认证，就需要使用SCC，并配合对实际风险的评估（这是Schrems II判决留下的要求）。实际要点是：仅仅'使用一个美国工具'是不够的，你需要知道究竟由哪种保障机制来覆盖这一传输。

GiBSeS — 核实每一个云/AI供应商所依据的传输保障机制，是我们在选择工具时默认纳入的一项检查。

SCC是欧盟委员会批准的合同范本，由数据的输出方和输入方签署，用以在数据从欧盟流向没有充分性认定的国家时，保证达到适当的保护水平。正因为其标准化，SCC是中小企业最常用的工具之一。

自Schrems II判决之后，仅有SCC还不够：还需要配合一项传输影响评估（transfer impact assessment），核实目的地国家的法律是否仍然允许可能使这些保障失效的数据访问。许多供应商已经在其合同中包含了SCC，但核实的责任仍然在你。

GiBSeS — 真正阅读供应商合同中的传输条款，而不是想当然地认为没问题，是我们减少供应商锁定和风险的方式之一。

几乎总是你作为数据控制者（决定处理的目的和方式），而供应商作为数据处理者（代表你处理数据）。这意味着，对客户和监管机构而言，主要责任仍然在你，即使数据实际上是由供应商管理的。你不能以'那是工具在处理'为由，把合规责任推卸出去。

正因如此，第28条要求签订一份专门的合同，即数据处理协议（DPA），规定供应商可以和不可以对数据做什么。没有DPA，把数据交给供应商本身就是一种违规行为。

GiBSeS — 核实每个供应商都签有一份合理的DPA，是我们在采用任何工具之前所做的具体检查之一。

DPA（Data Processing Agreement，数据处理协议）是第28条要求的合同，你需要与每一个代表你处理个人数据的供应商签署：云服务、ERP系统、邮件营销工具、AI工具，在某些情况下甚至包括会计师。它规定了处理对象、期限、目的、数据类型、安全义务、次级供应商的使用，以及关系终止后的处理方式。

大多数正规供应商会提供可在线接受的标准DPA。你的任务是核实它的存在和内容是否合理，并妥善保存：一旦发生检查或数据泄露，这是最先被要求出示的文件之一。

GiBSeS — 建立一份包含相应DPA的供应商清单，是那种能让日后每一次审计都变得快得多的基础性工作。

数据主体拥有一系列你必须能够满足的权利：查阅自己的数据、更正、删除（即所谓的'被遗忘权'）、限制处理、可携带以及反对。通常你必须在收到请求后一个月内答复，除非情况例外或请求过于频繁，否则应免费办理。

对中小企业来说，实际问题往往不在于权利本身，而在于是否有组织能力去回应：知道某个人的数据存放在哪里，并能快速提取或删除。如果数据散落在十种不同工具中且没有地图可查，每一次请求都会变成一场小噩梦。

GiBSeS — 随时知道客户数据存放在哪里，不仅是法律问题，也是运营秩序问题：这是良好数据梳理带来的正面副作用之一。

第22条规定，当某项完全基于自动化处理的决定对个人产生法律效力或造成重大影响时（例如授予贷款、录用、拒绝提供服务），个人有权不受此类决定的约束。存在一些例外，例如该决定是履行合同所必需的，或基于明确同意做出的。

即便在例外情形下，你仍然必须保障一些权利：清晰的告知、获得人工介入的可能性、表达自己意见的可能性以及对决定提出异议的可能性。实际上：AI可以辅助决策，但必须有人能够进行真正意义上的干预，而不是象征性的。

GiBSeS — 设计人工介入AI结果的环节，使其真正有意义而非流于形式，是我们以可辩护的方式整合AI的方法之一。

如果你遭遇的数据泄露会对个人权利造成风险，你必须在知悉后毫不迟延地通知监管机构，且无论如何不得超过72小时。如果对数据主体的风险较高，你还必须直接告知他们本人。并非所有泄露事件都需要通知，但所有事件都必须在内部进行评估和记录。

72小时很快就会过去：因此最好提前准备一套最基本的应对流程（谁负责评估、谁负责决策、对外沟通什么内容），而不是在恐慌中临时应对。一次处理得当的数据泄露，其影响要远小于一次被隐瞒或处理不当的事件。

GiBSeS — 在真正需要之前就准备好事件响应流程，是我们向中小企业建议的投入回报比最高的举措之一。

GDPR规定了两档行政处罚。对于较轻的违规行为（例如缺少登记册或DPA），处罚最高可达1000万欧元，或全球年营业额的2%，以较高者为准。对于较严重的违规行为（基本原则、法律依据、数据主体权利、非法传输），处罚可上升至2000万欧元，或年营业额的4%。

实践中，对中小企业而言，处罚会根据违规的严重程度、配合态度和所采取的措施来衡量：很少一开始就处以顶格处罚。但除了罚款之外，声誉损害和民事赔偿往往比罚款本身影响更大。

GiBSeS — 目标不是害怕罚款，而是能够安心地证明自己是有条理地做事的：这正是我们在项目中带来的那种纪律性。

是的，这是两部不同的法规，可能同时适用。GDPR保护个人数据：只要你处理与个人相关的信息，就会适用。欧盟人工智能法案（AI Act）则根据风险等级来规范人工智能系统，无论该系统是否处理个人数据。一个对客户进行画像分析的AI系统，两者都会适用。

在两者交叉的地方，义务是叠加的，但不应重复履行：一份完善的DPIA与AI Act所要求的文件，在一定程度上可以相互支撑。对中小企业而言，风险在于把两者当作两个独立的世界，做两次不协调的工作。

GiBSeS — 将GDPR与AI Act作为一个统一体系来解读，避免重复劳动，正是我们在AI Act学院（Academy AI Act）项目中所做的那种简化。

本地部署，或者更广泛地说，使用由你自己掌控的基础设施来运行AI和系统，从根本上减少了若干问题：没有欧盟境外传输、不会把输入内容交给第三方模型、可以直接控制谁能访问。这是一项强有力的数据主权策略，尤其适合敏感或具有战略意义的数据。但这并不能免除你GDPR的其他义务：法律依据、最小化原则、数据主体权利和安全措施，仍然是你的责任。

也要说明，本地部署意味着更多的运营责任（更新、备份、物理安全）。它不是万能答案：只有在数据本身值得这样做时，才是正确的选择，需要通过成本/收益分析来评估。

GiBSeS — 根据数据的真实价值，而不是跟风，逐案决定云端还是本地部署，正是我们独立于供应商这一方法的核心。

GDPR建立在问责原则之上：仅仅合规是不够的，你必须能够证明这一点。具体来说，这意味着要有条理清晰、持续更新的文件：处理活动登记册、隐私告知、与供应商的DPA、必要时的DPIA、违规事件登记册，以及数据主体请求的记录。一份清晰的审计追踪能把一次检查从噩梦变成走过场。

当AI工具介入时，可追溯性变得更加重要：知道使用了哪些数据、用了什么工具、用于哪个决策。这是'我们相信'和'我们能够证明'之间的区别。

GiBSeS — 在采用AI的同时就建立审计追踪，而不是事后补做，正是我们整合工具的方式：从定义上就具备可追溯性。

可以，但这是最敏感的领域之一。员工和求职者的数据在任何意义上都是个人数据，而劳动关系使得以同意作为依据变得困难（同意必须是自由给予的，而在存在从属关系的情况下这很难做到）。用AI进行简历自动筛选、绩效评估或监控，往往会触及第22条，也可能需要做DPIA。

在不少国家，还有专门的劳动法规叠加在GDPR之上（例如关于远程监控的规定）。在将招聘或评估流程自动化之前，最好同时核查隐私层面和劳动法层面的问题。

GiBSeS — 在将人力资源流程自动化之前，同时评估隐私和劳动法两个方面，正是我们在启动项目前所做的那种360度分析。

如果你的网站使用了非严格必要的Cookie或类似技术（分析统计、广告追踪、社交平台像素），你需要事先获得用户的同意，通过一个能够让用户以对等方式接受、拒绝和自主选择的横幅来收集同意。网站运行所必需的技术性Cookie不需要同意。对于面向非客户的邮件营销，通常需要同意；对于已有客户，可以适用所谓的'软性选择加入'（soft opt-in），但有一定限制。

要注意像Google Analytics这类工具，或使用欧盟境外服务器的服务：这里隐私问题和数据传输问题会交织在一起。一个'全部接受'却没有真正拒绝可能性的横幅是不合规的。

GiBSeS — 理清Cookie、同意和追踪工具之间的关系，往往是GDPR诊断中第一个可见的速赢成果。

并非所有中小企业都有此义务。DPO在三种情况下是强制性的：如果你是公共机构；如果你的主要活动是对大规模数据主体进行常规性、系统性监控；或者如果你大规模处理特殊类别数据（健康、观点等）。许多小企业不属于这些情形，因此没有此义务。

不过，即使没有强制义务，也需要有人以专业能力来负责这件事：你可以指定内部负责人，或借助外部支持。没有强制义务，不代表没有责任。

GiBSeS — 弄清楚你是否真的需要一名DPO，还是一个较轻量的负责机制就够了，是我们最先厘清的问题之一，不会向你推销用不上的架构。

GDPR没有规定统一的期限：适用的是存储限制原则，即只在目的所需的时间内保存数据，之后删除或匿名化处理。有些期限是法律规定的（例如会计和税务凭证的强制保存期限因国家而异），其他期限则由你自行合理确定。

正确的做法是为每一类数据设定一个保存期限，并建立相应的执行机制。'永久保存'不是一种政策，而是一种累积的风险，迟早会反噬你。

GiBSeS — 为每类数据设定切合实际的保存期限，是那种能同时减少风险和混乱的简单规则之一。

第一步不是购买软件或撰写几十页的政策，而是对你今天实际处理的情况做一次诚实的盘点。收集了哪些个人数据、数据流向哪里、涉及哪些工具和供应商、依据什么法律依据。从这张地图中，真正的优先事项（通常是3-4项具体事情）会立刻浮现，你也不再需要为不存在的问题操心。

从那里开始，按比例逐步构建：先处理高风险事项，再完善文件，然后持续改进。一次到位的完美合规并不存在，正确且可证明的方向才是真实存在的。

GiBSeS — 这份初始盘点，加上真正的优先事项，正是我们与每一家中小企业合作的起点：先花半小时弄清楚你现在的位置，再采取任何行动。

是的，即使你在欧盟境内没有任何设立机构，GDPR也可能适用。GDPR第3(2)条将该条例的适用范围扩展到欧盟境外的企业，适用于两种情形：当你向身处欧盟的个人提供商品或服务时（即使是免费提供）；或者当你监控他们的行为时（例如在线追踪、画像分析、数据分析）。

重要的不是你的国籍，也不是服务器的所在地：重要的是你是否有意地面向身处欧盟境内的数据主体。仅仅是一个欧洲人访问了你的网站，这还不够；但如果你接受欧元结算、向欧盟发货、有欧洲语言版本或开展定向营销活动，那么你就落入了适用范围。

GiBSeS — 在进军欧洲市场之前，GiBSeS帮助你弄清楚GDPR是否、以及在多大程度上真正与你相关。

判断标准不是网站是否可被访问，而是是否有明显的意图面向欧盟市场。监管机构会考量的迹象包括：以欧元或成员国货币标价、向欧盟国家发货或配送、使用与你所在国家不同的一种或多种欧洲语言、提及欧洲客户、使用欧盟国家域名、针对欧洲进行地域定向广告投放。

反之，如果你的网站只提供英文、以美元计价、且不向欧洲配送，一个偶然主动购买的欧盟客户并不会自动使你落入适用范围。这是需要逐案评估的问题，建议做好记录。

GiBSeS — GiBSeS会分析你的销售模式，以可辩护的方式判断你是否在'定向'欧洲市场。

如果你落入第3(2)条的范围——即向欧盟的个人提供商品/服务，或监控他们的行为——通常是需要的：GDPR第27条要求你以书面方式指定一名欧盟境内代表。这不是简单的联络地址：而是一个设立在你的数据主体所在成员国之一的主体（自然人或法人），作为监管机构和用户的联系点。

该代表必须在隐私告知中注明，并须保存（或提供）处理活动登记册。请注意：指定代表并不能免除你作为数据控制者的责任，但缺少代表本身就是一项可处罚的违规行为。

GiBSeS — GiBSeS可以帮助你在选择和定位欧盟代表方面提供指导，避免把一项形式义务变成一项风险。

第27条的豁免不取决于企业规模，而取决于处理活动的性质。如果处理活动是偶发性的，不涉及大规模处理特殊类别数据（健康、生物识别数据、观点等）或刑事定罪相关数据，且不太可能对数据主体权利造成风险，那么你可以免于指定代表。公共机构同样豁免。

实际上，许多持续向欧洲销售的欧盟境外中小企业并不符合豁免条件，恰恰因为其处理活动'不是偶发性的'。对这一点判断有误是最常见的错误之一。

GiBSeS — GiBSeS帮助你正确记录自己是否可以适用豁免，还是无论如何都应该指定一名代表。

可以，但向欧洲经济区以外国家的传输需要依据第44条及以后条款规定的法律依据。三条主要途径：（1）欧盟委员会作出的充分性认定决定，如果你的国家被认定为'充分'；（2）标准合同条款（SCC），这是没有充分性认定的国家最常用的方案；（3）针对企业集团的特定保障措施，如有约束力的企业规则（BCR）。

使用SCC时，可能还需要进行传输影响评估（Transfer Impact Assessment），并采取额外的技术措施，如加密。仅仅'转移'数据是不够的：你必须能够证明所提供的保护水平与欧盟基本相当。

GiBSeS — GiBSeS会与你一起确定最适合你所在国家的传输机制，同时不给数据流程增加不必要的负担。

部分能。自2023年7月起，欧盟针对美国作出了一项基于EU-US数据隐私框架（Data Privacy Framework）的充分性认定决定：完成自我认证并列入相应名单的美国公司，可以从欧盟接收个人数据，而无需为这些数据流使用SCC。

有两点需要提醒。第一：充分性认定仅在你确实完成认证并遵守该框架承诺的前提下有效；如果你未获认证，仍然需要其他机制（通常是SCC）。第二：与之前的协议一样，该框架可能会成为司法争议的对象，因此许多企业仍将SCC作为安全网保留。

GiBSeS — GiBSeS帮助你决定是押注于该框架、SCC，还是采用组合方案，并考虑其长期稳定性。

在GDPR中，责任跟随的是数据角色，而不是产品的商业链条。谁决定处理的目的和方式，谁就是'数据控制者'，直接承担责任；代表控制者处理数据的一方是'数据处理者'。如果是你直接收集欧洲用户的数据（账户、订单、追踪），那么无论你设在哪里，你就是数据控制者。

欧盟的分销商或合作伙伴对自己的处理活动负责，而不是对你的处理活动负责。反之，如果某个供应商代表你处理数据，就需要一份第28条协议（DPA）来划分义务。要注意，不要把GDPR中的角色与其他欧盟产品法规中'进口商'的角色混淆。

GiBSeS — GiBSeS会梳理你欧洲业务中的数据流，并厘清谁是控制者、谁是处理者，以及应该用哪些合同来加以覆盖。

如果你的欧洲客户将其用户或员工的个人数据交给你处理，通常你就是代表他们的'数据处理者'（processor）。这就要求签署一份第28条协议（数据处理协议），规定安全性、保密性、经授权的次级处理者、对控制者的协助义务，以及关系结束后数据的归还/删除。

此外，由于你是在欧盟境外接收数据，就国际传输而言你也是'进口方'，需要以适当的模式（控制者-处理者模式）签署SCC。许多与欧盟客户的招投标和谈判之所以卡壳，正是因为欧盟境外供应商没有准备好DPA和SCC。

GiBSeS — GiBSeS帮助你准备好欧洲客户会要求的DPA+SCC套装，避免因一个形式上的细节而丢掉合同。

GDPR的处罚是欧盟法律中最高的之一：对最严重的违规行为，最高可达2000万欧元，或集团全球年营业额的4%（以较高者为准）；其他违规行为最高可达1000万欧元或2%。此外，监管机构还可以对数据处理和数据传输施加限制或暂停，实际上可能封锁你在欧洲的运营。

除此之外，还有声誉损害、用户投诉，以及欧洲B2B客户因你无法提供合规保障而将你排除在外的风险。GDPR不会像产品法规那样在海关'扣货'，但它可以掐断你业务所依赖的数据这一环节。

GiBSeS — GiBSeS帮助你衡量自身情况下的真实风险，并在数据资产变成问题之前将其保护好。

是的，对身处欧盟的数据主体进行'行为监控'，是第3(2)条两个适用入口之一，与是否销售商品完全无关。这包括画像分析类Cookie、广告像素、再营销（retargeting）、能够还原用户习惯或偏好的数据分析工具，以及指纹追踪技术。

如果你追踪欧洲用户，除了GDPR之外，还会适用关于Cookie的'ePrivacy'规则，通常要求在安装非严格必要的工具之前先取得用户同意。因此你需要一个合规的横幅、隐私告知，以及在适用的情况下，欧盟代表和针对所收集数据传输的合法依据。

GiBSeS — GiBSeS会核查你的追踪技术栈，并指出应在哪些地方进行调整，从而在不放弃真正需要的数据的前提下留在欧盟市场。

一条有条理的路径能减少成本和意外。简单来说：（1）核实第3条是否以及如何涉及你；（2）梳理你收集的欧盟用户个人数据及其流向你所在国家的路径；（3）确定法律依据，准备隐私告知和处理活动登记册；（4）评估第27条欧盟代表义务；（5）理顺国际传输机制（充分性认定、DPF或SCC）；（6）与供应商和客户的合同保持一致（DPA），完善安全措施。

不需要一次做完所有事：建议先从阻碍进入市场的关键点入手（代表、传输机制、B2B合同），再逐步完善其余部分。

GiBSeS — 作为独立顾问，GiBSeS会为你量身定制一份合规路线图，帮助你进入欧盟市场，而不必被单一供应商或过度复杂的方案所束缚。

很遗憾，不够。符合加州的CCPA/CPRA、加拿大的PIPEDA、巴西的LGPD或亚洲各项法律，并不等同于符合GDPR：定义、法律依据、数据主体权利、文件义务和传输规则都各不相同。有些原则相似，但差距往往恰恰出现在GDPR最为严格的地方（同意、欧盟代表、国际传输）。

好消息是，你已经完成的大部分工作——数据清单、安全措施、用户请求处理流程——都是可以复用的，只需要针对GDPR进行'调整'，而不必从零开始。

GiBSeS — GiBSeS会以你已有的合规基础为起点，只补齐在欧洲运营所需要的差距部分，避免重复投入。