法规解读
2 / 2
出海企业为什么必须做隐私合规？
出海企业必须做隐私合规，因为全球已有超过130个国家和地区立法，一旦触发监管审查，轻则应用下架、业务暂停、用户流失，重则巨额罚款与品牌受损。本文说明自2018年 GDPR 后合规重心为何转向数据保护，以及为何合规体系要匹配企业出海生命周期、成为海外发展的基石。
出海隐私合规的四大暗礁（上）
出海隐私合规最容易触礁的有四个维度：各国法规框架差异、合规实践细节差异、特定行业与人群的专门立法（AI、生物识别、健康、儿童），以及产品数据处理实践识别的高门槛。本文面向出海企业逐一说明这四类暗礁为何难以一次越过，以及它们如何影响产品与技术设计。
为什么隐私合规是出海企业的救生圈
全球已有超过130个国家和地区设立隐私保护法律，出海企业一旦遭遇监管审查，轻则应用下架、业务暂停、用户流失，重则巨额罚款、媒体曝光与舆论风波。本文说明全球监管现状、监管审查的实际代价，以及为什么要把隐私合规做成贯穿出海生命周期的长期能力而非事后补救。
隐私数据资产保卫战：出海企业该守住什么
个人数据既是出海业务的核心资产，也是最容易招致监管处罚的风险点，值得像守护财务资产一样守护。本文说明哪些情形会触发海外隐私合规、为什么要把个人数据当资产按采集到销毁的全生命周期管理，以及守不住数据资产可能带来的应用下架、业务暂停、巨额罚款与品牌损失。
什么是隐私合规？出海企业必懂的定义与范围
隐私合规指按各法域要求合规处理个人数据，覆盖采集、存储、处理、传输、交换到销毁的全生命周期。本文面向出海企业，说明它为何因多法域交叉、法规时效多变而复杂，为何既是法律问题又需要技术支撑，以及全球已有超过130个国家和地区立法、大型企业为何组建专职合规团队。
法规研究 ｜美国 FCC IoT 网络安全标签之“国家安全声明”规则
美国 FCC 就涉及高风险国家产品申请 IoT 网络安全标签发布拟议规则
法规研究 ｜2024 年美国隐私权法案
2024年美国隐私权法案（APRA）由美国代表凯西·罗杰斯和参议员玛丽亚·坎特韦尔宣布，旨在在美国建立全面的国家数据隐私和安全标准。
法规分析｜美国 IoT 网络安全标签
美国联邦通信委员会（FCC）已批准一项针对无线消费者物联网产品的自愿性网络安全标签程序。该程序为消费者提供FCC物联网标签，表示符合最低网络安全标准。
隐私快讯 | 一文搞定 App Store 春季新要求
本文为您提供了关于App Store在隐私声明和签名方面新要求的完整指南。
法规研究 | 深度解读白宫最新行政命令：出海企业数据合规策略影响几何
行政命令旨在阻止“受关注国家”由于国家安全风险，访问和利用美国个人的大量敏感个人数据和美国政府相关数据。
隐私快讯 | 欧盟《数据法案》生效
欧盟数据法案于2024年1月11日生效，旨在解决数据共享和使用中的问题。 它为访问、获取和分享数据，特别是与互联网连接的产品，设定了明确的规则。
DMA 解读：守门人的认定门槛与核心义务
欧盟《数字市场法案》（DMA）2024 年 3 月施行，把符合门槛的大型平台指定为「守门人」。本文梳理认定标准（75 亿欧元年营业额或 750 亿欧元市值、4500 万月活终端用户、1 万商业用户）、数据与互操作义务，以及最高全球营业额 20% 的罚款。
印度发布暗黑模式指引
印度中央消费者保护局在官方公报中发布了《禁止和规范暗黑模式 2023 年指引》，以打击欺诈性的电子商务行为。
挪威请求 EDPB 将 Meta 行为广告禁令扩至全欧
2023年9月28日，挪威数据保护局请求 EDPB 就 Meta 爱尔兰在 Facebook、Instagram 上的行为广告禁令作出具有约束力的决定，要求永久化并扩至整个欧盟/EEA。本文梳理 GDPR 第 6(1)(b)/(f) 条法律基础之争与行为营销的合规边界。
美国 NIST 发布电动汽车充电桩网络安全准则草案
美国 NIST 发布 IR 8473 草案，为超级快速充电（XFC）基础设施定义网络安全配置文件。桑迪亚实验室在 12 款充电产品中发现明文用户名、密码等漏洞。本文梳理 EV/XFC 生态四大领域、四项任务目标与 NIST-CSF 五大功能，说明为何出海车企迟早要对齐这套标准。
HIPAA 下网络追踪技术的合规义务
美国 HHS OCR 正在全国范围审查医疗机构网站的网络追踪器。本文说明受监管实体使用 Cookie、追踪像素等技术时何时触及 PHI、何时须与追踪技术提供商签订 BAA，以及认证页、非认证页与 App 三类场景下的 HIPAA 合规要求。
印度 DPDP 法案：七项原则与数据受托人义务
印度《数字个人数据保护法案 2023》已获议会两院通过，违规最高罚款 25 亿卢比（约 3100 万美元）。本文梳理法案七项处理原则、数据受托人与重要数据受托人义务、个人权利、儿童数据保护及豁免情形，并对照 GDPR 概念，供出海企业逐项检查印度市场合规。
应用隐私标签怎么填才不出错？
苹果2020年、谷歌2022年先后强制应用提交“隐私营养标签”。Mozilla 调查发现 Google Play 下载量前40的应用中80%的标签与隐私政策不一致。本文讲清隐私标签的合规要求，以及 iOS 与 Google Play 的开发者自查步骤，避免上架审核趋严下的下架风险。
《加州隐私权法案》CPRA 合规指南
CPRA 于2023年1月1日生效、7月1日执法，在 CCPA 基础上新增更正权与限制敏感个人信息使用权。本文讲清谁需遵守、隐私政策必备内容、消费者新权利、对服务商与承包商的合同义务，以及风险评估、网络安全审计与执法变化，并附企业自测清单。
安卓定位合规：地理位置怎么采集才不踩线
承接谷歌3.91亿美元位置追踪和解，本文从工程角度讲地理位置的常见获取方式（GPS/基站/WiFi/IP）、安卓 LocationManager 的四种 provider，以及隐私政策、请求同意、最小化使用三步合规做法，帮出海 App 把定位采集做到不踩线。
GDPR 数据泄露 72 小时上报：判断与操作指南
GDPR Article 33 要求控制者自“知悉”个人数据泄露起72小时内向监管机构上报，逾期或被追责。本文讲清三步判断是否需上报、72小时如何计时起算、上报给谁、报什么，以及72小时内查不清时先报后补的做法，帮出海企业在时限内从容应对。
