独立站赚钱法律风险：GDPR 罚款上限 2000 万欧元或营收 4%

开头：先把罚单这笔账摆出来

GDPR的罚款上限是2000万欧元或全球营收的4%，取较高者；生效头20个月，监管机构开出的罚单总额超过1.14亿欧元，平均每月570万欧元。

这条上限写在gdpr.eu的GDPR说明页上；同一页写着它2018年5月25日生效，2016年经欧洲议会通过后生效。

1.14亿欧元总额里，能查到分项的是2020年1月17日意大利监管机构对Eni Gas e Luce的两笔罚款，850万欧元和300万欧元，合计1150万欧元。罚单按单笔案子记，不按“小站平均罚多少”记；1150万欧元是两笔公司的账，剩下的是数百张罚单的合计。这篇讲的不是谁靠独立站赚了多少，是哪些动作会踩线、踩了罚多少、怎么提前防。

• GDPR罚款上限：2000万欧元或全球营收4%，取较高者
• 头20个月罚单总额超过1.14亿欧元，平均每月570万欧元
• 数据泄露须在72小时内通知所在辖区的监管机构
• 员工不少于250人或从事高风险处理，须保存处理活动清单
• 本篇讲FTC广告披露、GDPR数据与Cookie、CCPA加州隐私三块，以及中国人做独立站的自查顺序

独立站赚钱的路子就那么几种，卖货、卖虚拟资源、挂广告、做联盟，独立站赚钱的5种模式把进项拆过一遍；2026年还能不能做，2026年还能做独立站赚钱吗讲的是流量和竞争。这篇不聊进项，聊进项背后要守的规则，把引流、收集、留存三段最容易踩的线拆成能照着做的清单。

独立站赚钱的法律风险，主要是这三部规则在管你

管独立站赚钱的域外规则，主要是三部：美国FTC的Endorsement Guides，管广告代言和披露；欧盟GDPR，管数据与Cookie；加州CCPA，管消费者隐私。GDPR写明，只要针对欧盟境内的人或收集与其相关的数据，就对任何地方的组织施加义务。

钱从哪来不违法，违法的是怎么让人掏钱

FTC的Endorsement Guides核心是一句真实广告原则：代言必须诚实，不能误导。原句的落点是“endorsements must be honest and not misleading”。这句话管的不是你有没有产品，是你怎么让人相信这个产品。

再往下拆一层：代言必须反映代言人的真实意见，不能用来做出营销方本身无法合法做出的宣称。你自己不能合法说“这个保健品治癌”，找个代言人来说也不行。产品宣称的天花板在你这里，不在代言人那里。

还有一条容易被忽略：广告里的代言人如果是营销方的亲属或员工，除非明确说明这层关系，否则广告具有误导性。FTC用的词是“relative or employee”。请家里人拍个使用视频说好用，不标关系，就踩在这条上。

FTC的使命原句是“vigorously enforce the law to protect Americans from anticompetitive, unfair, and deceptive business practices”。翻成大白话：不公平和欺骗性的商业行为，是它执法的靶子。广告披露、评价真假、折扣原价，都归在“欺骗性”三个字下面。

GDPR为什么管得到中国人

GDPR是欧盟起草并通过的，但它的义务不按国界分。原句写得很直：“it imposes obligations onto organizations anywhere, so long as they target or collect data related to people in the EU”。只要你的站对着欧盟的人，或者收集了跟他们相关的数据，你在哪不重要。

时间线要记住：2016年经欧洲议会通过后生效，2018年5月25日起所有组织被要求合规。很多“我们刚做站，应该不用管”的想法，在这条日期面前站不住。

哪些东西算个人数据？姓名、邮箱是明摆着的。位置信息、种族、性别、生物数据、宗教信仰、网络Cookie、政治观点，也算。Cookie被单独点了名。你在站上装一个统计工具，它写的Cookie能识别到人，就落在个人数据里。

哪些动作算处理？收集、记录、组织、结构化、存储、使用、删除，都算。原句的收尾是“so basically anything”。建一个表单收邮箱是处理，把订单导进表格是处理，删掉一个客户资料也是处理。

CCPA只管加州居民，但数据经纪商也在内

CCPA是2018年的加州消费者隐私法，赋予消费者更多对其个人信息的控制权。2020年11月，加州选民通过Proposition 24，也就是CPRA，修正CCPA，新增的保护从2023年1月1日起生效。

它只管加州居民。加州居民的定义是居住在加州（即使暂时离开该州）的自然人。一个德州用户、一个英国用户，不在这部法的权利范围里。但你的站如果做美国市场，加州人口摆在那，很难完全绕开。

适用对象里有一条值得注意：CCPA适用于许多企业，包括数据经纪商。这个身份跟你卖不卖货没关系，跟你有没有把用户数据拿去做交易有关系。

规则的时间点也要知道：CCPA法规2020年8月14日生效，附加修正2021年3月15日生效。2021年10月21日，加州隐私保护局通知州总检察长准备承接规则制定职责，六个月后规则制定权从总检察长转过去。规则在谁手里，会影响以后怎么解释。

三部规则各管哪一段

把独立站的动作拆成三段，分工就清楚了。引流这一段，管的是你怎么说、找谁说，归FTC的广告披露。收集这一段，管的是你收什么、有没有告诉人、依据是什么，归GDPR和CCPA的隐私政策。留存这一段，管的是数据存多久、Cookie放多久、用户要删你删不删，归GDPR的删除权和Cookie规则。

这三段不是并列的，是有先后的。引流阶段说错话，FTC找上门；收集阶段没告知，GDPR和CCPA都能罚；留存阶段该删没删，用户可以直接提请求，处理不好就是第二张罚单。只做中间一段的站，页脚有政策，引流和留存的记录拿不出来，真查起来还是空的。

真实案例拆解：罚单账怎么算，钱集中在哪

能算的只有罚单：头20个月总额超过1.14亿欧元，平均每月570万欧元；单笔能查到分项的是Eni Gas e Luce的两笔，850万加300万，合计1150万欧元。

做了什么，账怎么算

GDPR的罚款分两级，上限是2000万欧元或全球营收的4%，取较高者。注意“取较高者”四个字：一个年营收1000万欧元的公司，4%是40万欧元，低于2000万欧元，取较高者后按2000万欧元算；一个年营收10亿欧元的公司，4%是4000万欧元，高于2000万欧元，按4000万欧元算。

罚款之外还有一条并行的：数据主体有权就损害寻求赔偿。监管罚你是一笔，用户告你是另一笔，两笔不互相抵扣。

FTC这边，页面没有写罚则金额。能查到的只有它的使命原句，以及具体案子的和解数字。所以拿FTC做“罚多少”的估算，是没有官方口径的。

钱集中在哪

GDPR的罚单集中在违反隐私与安全标准这一类。原句写“levy harsh fines against those who violate its privacy and security standards, with penalties reaching into the tens of millions of euros”。数千万欧元的量级，对应的是有规模的公司。

能查到分项的两笔是2020年1月17日意大利监管机构对Eni Gas e Luce的850万欧元和300万欧元。8.5加3，合计1150万欧元。这两笔放在1.14亿欧元总额里，剩下的部分是数百张罚单的合计。

FTC侧的案子，看两个数感受量级。Progress Residential与Owner Pretium Partners支付4975万美元，就欺骗性租赁定价等指控与FTC及各州和解。Amazon根据上一年25亿美元的和解协议，加速并扩大向符合条件的消费者付款。这两个都不是小站能碰到的数字，方向也不在独立站上。

现在怎样

规则仍在执行。头20个月的数据是历史的切片，不是终点。Eni那两笔是2020年的，说明这套罚款从生效初期就在用，不是纸面上的条款。

CCPA侧也一样，法规2020年8月生效，修正2021年3月生效，规则制定权2021年10月从总检察长转给加州隐私保护局。规则在往前走，没有往回收的信号。

这个案例不能当行情看的地方

罚单对象是大公司，不是独立站卖家。Eni Gas e Luce是能源公司，Progress Residential是租房公司，Amazon是平台。拿它们的罚款金额反推“我这个站会被罚多少”，推不出来。金额的算法是营收的4%或2000万欧元取高，你的营收基数跟它们不在一个量级。

能从小站角度用的，不是金额，是违规类型。广告没披露、评价造假、Cookie没同意、泄露不通知，这四类不管站大站小都成立。罚则的上限对小站是一个远的天花板，但违规本身是实的。

中国人能不能做：能，但要看你的用户在哪

能。GDPR的原句写明“if you process the personal data of EU citizens or residents, or you offer goods or services to such people, then the GDPR applies to you even if you're not in the EU”；CCPA只看用户是不是加州居民。两部法都不问你的公司注册在哪。

触发条件一：处理欧盟公民或居民的数据，或向他们提供商品服务

第一个触发条件是处理欧盟公民或居民的个人数据。第二个是向他们提供商品或服务。满足一个就够，不用两个都满足。一个英文站卖数字产品给德国买家，收邮箱、收付款信息，第一个条件就成立了。

个人数据的范围前面列过，Cookie在里面。哪怕你不收邮箱，只在站上装了统计和广告工具，写Cookie识别访客，也可能落进“处理个人数据”。

触发条件二：面向加州消费者

CCPA的触发看用户。只有加州居民享有它给的权利，加州居民是居住在加州（即使暂时离开该州）的自然人。你的站如果做美国市场，有加州订单，就有加州消费者。

适用对象包括数据经纪商，这一条把“我不卖货，只做数据”的也框进来了。做独立站的人一般不碰数据买卖，但装了一堆广告像素、把用户画像传给广告平台，边界在哪，自己要先弄清楚。

官方页没有写中国大陆能不能用，也没有支持地区名单。这块以官方为准，没有的内容不补。

不想自己扛合规，去做平台店行不行

有人会想，独立站要自己写隐私政策、自己管Cookie，那我去平台开店，平台是不是替我扛。答案是不全扛。GDPR的义务落在处理数据的组织身上，平台店卖家同样在处理欧盟买家的数据，收件人姓名、地址、邮箱都在你后台。平台给你一份模板，不等于你的处理活动就有了法律依据。

FTC的广告披露同理。平台店上的评价、达人合作、折扣原价，还是你这个卖家在对外说，规则管的是说的人。平台能给你工具，不能替你承担说错话的责任。两边怎么选，跨境电商和独立站哪个好做那篇把流量和运营的差别拆过，合规这一层，两边都要自己过一遍。

怎么开始：先做信息审计，再写隐私政策

第一步不是写隐私政策。gdpr.eu的checklist第一条写的是“Conduct an information audit to determine what information you process and who has access to it”。先盘清你手上有什么，再谈怎么写。

第一步：信息审计

动作：把站上所有收集点列出来。结账页、订阅框、评论表单、客服邮箱、分析工具、广告像素、联盟追踪链接，一个不漏。每个点记四件事：收哪些字段、存在哪、谁能看、留多久。

理由：不列清单，你写出来的隐私政策就是抄模板。模板里写“我们可能收集你的位置信息”，你实际没收集，是过度声明；模板里没写“我们用某某像素”，你实际在用，是漏报。两种都不算合规。

出问题怎么回查：拿这张表和checklist第一条对，看有没有哪个收集点说不清谁有权访问。说不清的那个，就是下一步要补的洞。这是操作层面的做法，官方要求的是审计这个动作本身。

第二步：给每项处理找法律依据

GDPR的原文是“Processing of data is illegal under the GDPR unless you can justify it according to one of six conditions listed in Article 6”。处理数据不是默认合法，是要你举出六种条件里的一个。举不出来，处理就是非法的。

六种条件这里不逐条展开。要讲的是选哪条带来的后果不一样。选“同意”，有额外义务，包括给数据主体持续撤回同意的机会。选“正当利益”，必须能证明做过隐私影响评估。

这两条的差别在举证。选同意，你要拿得出同意的记录；选正当利益，你要拿得出评估的过程。两种都要求你留下东西，不是嘴上说说。出问题回查的时候，监管要看的也是这些东西。

第三步：隐私政策写清处理与依据

隐私政策的要求是形式加法条。形式这一层，原文写“in a concise, transparent, intelligible and easily accessible form, using clear and plain language, in particular for any information addressed specifically to a child”。简明、透明、可理解、易获取，用清晰平实的语言。写给小孩看的部分尤其要这样。

法条这一层，第13、14条要求在收集个人数据时向用户告知特定信息，即使不是直接从用户处收集，也要提供类似信息。什么叫不是直接收集？你从联盟平台拿到一个订单的用户邮箱，这个邮箱不是你从用户手里收的，告知义务还在。

第12条还要求，让人容易向你提请求，比如删除请求，并且快速、妥善地回应。所以隐私政策不能只写“我们尊重你的隐私”，要写清怎么提请求、找谁提、多久回。

出问题怎么回查：拿政策逐段对第13、14条要求的信息项，缺哪项补哪项。再看政策里的联系方式和实际能收到邮件的邮箱是不是同一个。

第四步：处理活动清单

员工不少于250人，或从事较高风险数据处理的组织，必须保存最新、详细的处理活动清单，并准备应监管机构要求出示。这是硬要求。员工少于250人的组织，官方也说应该做评估，理由是这会更容易满足GDPR的其他要求。

清单要写什么，原文列得很具体：处理目的、处理的数据种类、组织内谁有权访问、哪些第三方（及其所在地）有权访问、采取了什么保护措施（比如加密）、计划何时删除。

这张表和第一步的信息审计表不是一张。信息审计是给自己看的全景，处理活动清单是要拿给监管看的正式记录。前者字段可以糙一点，后者每一栏都要能对上实际动作。

出问题怎么回查：随便挑一条处理活动，问三个问题。目的是什么，谁能看，什么时候删。三个答案里有一个是“大概”“应该”，这条就没写实。

第五步：加密、假名化、匿名化，加内部安全政策

原文的要求是“Encrypt, pseudonymize, or anonymize personal data wherever possible”。能加密就加密，能假名化就假名化，能匿名化就匿名化。三个词是三个强度，匿名化最彻底，假名化次之，加密是保底。

还要为团队成员制定内部安全政策，并建立数据保护意识。这一条经常被跳过，因为它是“对人的要求”，不是“对系统的要求”。一个客服能随手把订单表导出来发到私人邮箱，前面所有的技术措施都白做。

另外两条原则要落进来：默认和设计即数据保护，采取适当的技术和组织措施；计划以可能对个人权利和自由造成高风险的方式使用数据时，做数据保护影响评估。后者要有流程，不是等出事了再补。

第六步：数据泄露72小时通知流程

发生数据泄露且个人数据暴露时，要在72小时内通知所在辖区的监管机构。72小时不是工作日，是从你知道泄露开始算的小时数。

要建的不只是“通知监管”这一步，还有“通知数据主体”的流程。原文写“Have a process in place to notify the authorities and your data subjects in the event of a data breach”。两拨人，两条线，都要提前想好谁发、发什么、从哪发。

出问题怎么回查：假设现在发现泄露，倒推72小时，看你能不能在一小时内说清泄露了什么数据、涉及多少人、通知模板在哪。说不清，流程就是没建。

怎么做：Cookie同意和消费者权利请求是日常动作

Cookie这一块，gdpr.eu列了五条硬要求：除严格必要Cookie外先取得用户同意；同意前用平实语言说明每个Cookie追踪什么；记录并保存同意；拒绝也要能用服务；撤回和给出一样容易。

Cookie五条逐条拆

第一条的边界在“严格必要”。登录状态、购物车、支付安全，这些是让服务跑起来必需的。严格必要Cookie一般无需取得同意，但要向用户解释它做什么、为什么必要。解释这一句不能省，省了就变成“我没告诉你我放了什么”。

第二条的规定落到弹窗上，就是不能只写“我们使用Cookie改善体验”。要写清每个Cookie追踪什么数据、目的是什么。分析型和营销型要分开列，不能打包成一个“同意”。

第三条是记录。用户点了同意，你要存下这个动作，包括什么时候点的、同意的是哪几项。日后用户说“我没同意过”，你拿不出记录，等于没同意。

第四条最容易做错。弹窗一出来，两个按钮，一个“全部接受”，一个“全部拒绝”，拒绝完直接跳走或者不让进站。原句要求的是拒绝某些Cookie后仍能访问服务。用不给进站来逼同意，是踩在这条上。

第五条讲对称。给出同意点一下，撤回同意要点三下、发邮件、等回复，这就不对称。原句是“Make it as easy for users to withdraw their consent as it was for them to give their consent in the first place”。

Cookie按持续时间分会话Cookie和持久Cookie。持久Cookie按ePrivacy Directive不应超过12个月。实践中如果不管，它留在设备上的时间会远超12个月。这条要定期清，不是设一次就不管。ePrivacy Directive于2002年通过、2009年修订，因为同意弹窗普及，被称为“Cookie法”。

还有个事实：GDPR全文88页，只在Recital 30直接提到Cookie一次。Cookie的具体规则更多来自ePrivacy Directive，两部一起看，才不会只盯GDPR正文。

营销Cookie为什么最容易出事

营销Cookie追踪在线活动，帮广告商投放更相关的广告，或者限制你看到同一个广告的次数。它可以把信息与其他组织或广告商共享。原句写“These are persistent cookies and almost always of third-party provenance”。持久，且几乎总是第三方。

第三方的意思是，放这个Cookie的不是你，是广告平台。你能控制的只有“放不放”，控制不了它拿到数据之后怎么用。所以营销Cookie的同意要单独拿，不能跟分析Cookie混在一个“同意”里。混在一起，用户以为同意的是统计，实际同意的是跨站追踪。

CCPA侧：回应权利请求，给特定通知

CCPA要求受约束企业回应消费者行使权利的请求，并向消费者提供解释其隐私实践的特定通知。两件事：有人来问，你要答；没人来问，你也要主动挂出来。

知情请求每年最多两次免费。用户一年问你两次“你们收了我什么”，你不能收费，也不能拖。收到退出请求后，不得再出售或分享该消费者个人信息，除非消费者之后再次授权。

还有一条不能碰：不得因消费者行使权利而歧视，不得让消费者放弃这些权利，任何说“你放弃这些权利”的合同条款不可执行。写在用户协议里也没用，法律直接认定无效。

数据主体权利七项

第15条知情权，包括数据来源、处理目的、保存时长，最重要的是有权拿到正在处理的个人数据副本。用户来要，你要给。

第16条要求保证数据准确，个人有权更正不准确或不完整的个人数据。用户说地址写错了，你要能改。

第17条是被遗忘权，也叫删除权。数据主体可以要求删除其信息，但有五项豁免。原句举的一项豁免是行使表达自由所必需。不是所有删除请求都要照做，也不是所有都能拒绝，判断落在豁免上。

第18条限制处理。数据主体认为信息不准确、被非法使用或不再需要时，可以要求暂时改变处理方式，比如暂时从网站上撤下。

第20条数据可携。你要把用户个人数据存成容易共享、容易理解的格式；用户要求发给指定第三方，技术可行时就要发，哪怕对方是你的竞争对手。

第21条反对权。数据主体可以反对你处理其数据，你只能通过证明使用数据的正当依据来推翻反对。举证责任在你这边。

第19条是个收口条款：依第16、17、18条采取任何行动，都要通知数据主体。改了、删了、限制了，都要告诉本人。

问责原则

GDPR的问责原则有一句很硬的话：“If you think you are compliant with the GDPR but can't show how, then you're not GDPR compliant”。自认合规，但拿不出怎么合规的证明，就是不合规。而且这事不能事后补。

这句话把前面所有动作串起来了。信息审计、法律依据、隐私政策、处理活动清单、Cookie记录、泄露流程，做的不是“合规的样子”，是能拿出来给人看的证据。证据不在，动作做了也不算。

能赚多少、费用和抽成：这一节算的是省下的罚单

这个项目没有收入，只有避免的损失。GDPR罚款上限2000万欧元或全球营收4%取较高者，另加数据主体索赔；FTC页面没写罚则金额，只写执法使命。

罚则表

这张表里能当硬数字用的只有GDPR两行，FTC一栏是空的。空着比编一个数强，因为FTC页面确实没有罚则金额。

算例（写明是假设）

拿一个假设的站算一遍。假设全球营收10万美元，4%是4000美元。这个数远低于2000万欧元，取较高者，上限落在2000万欧元这一边。这是假设算例，不是真实罚单，也不是说小站只会被罚4000美元。

这个算例的用处是让你知道自己的风险量级。营收越小，4%的绝对数越小，但罚款不是唯一的成本。用户的损害索赔、处理投诉的时间、被支付服务商要求整改，这些加起来，对小站一样难受。

合规本身要花的钱

官方文本免费，gdpr.eu的checklist免费，CCPA的规则页面免费。合规服务的报价这里不写数字。要花的主要是时间：信息审计一遍、处理活动清单建一份、隐私政策改一版、Cookie清单列一遍、泄露流程写一页。

时间的量跟站的复杂度有关。一个只卖数字产品、收款用第三方、没有客服系统的站，收集点少，清单短。一个有会员、有评论、有联盟追踪、装了好几个像素的站，收集点多，每一条都要写清谁有权访问。

钱怎么收：收款环节的合规点在哪

独立站该怎么收款，这里只写支付服务商自己公开的数字：Stripe支持135+种货币、125+种支付方式、跨境卖到195+个国家；Shopify结账转化率平均比其他平台高15%。

收款工具本身不是合规风险，风险在收款页收集了什么

收款工具是工具，合规风险落在它收集的数据上。一个结账页要收姓名、邮箱、账单地址、收货地址、卡信息。前四项都是个人数据，卡信息还要按支付卡行业的标准处理。你用第三方收款，卡信息不经过你的服务器，责任轻一截，但姓名和地址还在你手里。

Stripe页面写着2025年处理支付额1.9万亿美元，服务历史正常运行时间99.999%。Shopify的Shop Pay转化率比访客结账高最多50%。这些数字说明工具成熟，不说明用了就合规。工具越成熟，收集的数据越全，你的告知义务越具体。

结账页的隐私告知

第13、14条的要求是收集时告知。结账页是收集点，所以告知要在这里出现，不能只放在页脚的隐私政策里。用户填邮箱的那一刻，就要能点到“我们拿这个邮箱做什么”。

不是从用户手里直接收的信息，也要告知。比如你用联盟链接带进来一个订单，用户的数据先经过联盟平台，你拿到的是转过来的部分，告知义务还在。这一条经常漏，因为数据不是“我收的”，但处理是“我做的”。

收款工具在数据链条里的身份

GDPR把处理者定义为代表控制者处理个人数据的第三方，举的例子包括云服务器和邮件服务商。支付服务商、建站平台在多数场景下也在这个位置上。你是控制者，决定为什么收、收什么；它是处理者，按你的指令处理。

这个身份分清楚，才知道出了事找谁。数据泄露发生在支付环节，通知义务在你这边，因为你是控制者；工具方要配合你，但它不替你去通知监管。合同里要写清它提供什么配合，这一条比选哪家费率低重要。

独立站的钱怎么进来，广告、联盟、卖货，路子不同，收款页收集的数据受同一套规则管。Google AdSense和Mediavine对比讲的是广告这条线怎么结算，联盟营销讲的是佣金这条线怎么走。两条线都不经过你的结账页，但只要站上装了追踪，就还在Cookie规则的范围内。

坑和规则：这些动作直接踩线

FTC侧最硬的一条是代言必须反映代言人真实意见，不能用来做出营销方本身无法合法做出的宣称。虚假评价、假折扣原价、亲属或员工未披露代言，都在这条下面。

广告披露

原句写“if there's a connection between an endorser and the marketer that a significant minority of consumers wouldn't expect and it would affect how they evaluate the endorsement, that connection should be disclosed clearly and conspicuously”。相当一部分消费者不会预期、且会影响他们评价代言的联系，要清楚显著地披露。

什么叫清楚显著。放在视频最后三秒的小字，不算。要点进“更多”才看得到，不算。披露要跟广告本身在一起，看广告的人不用额外动作就能看到。

亲属或员工这一条是硬线。广告里的代言人是营销方的亲属或员工，除非明确说明这层关系，否则广告具有误导性。自己家里人、自己团队的客服出镜说产品好，不标关系，就是误导。

评价与刷量

评价这块，FTC的小企业页面把“Featuring Online Customer Reviews: A Guide for Platforms”列为商业指引之一。指引是给平台看的，但卖家在平台上刷评价，同样落进“欺骗性商业行为”。

刷单、买好评、删差评、把差评改成好评，这些动作的罚则口径，这里没有FTC的具体金额。能写的是性质：这是违规，不是运营技巧。FTC执法使命原句里，“deceptive business practices”是明确的目标。

这里不写怎么规避检测。写规避方法，等于教人踩线，也等于把读者往罚单上推。

数据侧

三个动作最容易踩。没取得同意就用非必要Cookie；用户拒绝某些Cookie后不让进站；撤回同意比给出同意难。三条对应Cookie五条要求里的第一、第四、第五条。

还有一条是“同意了但没记录”。用户点过同意，你没存，事后拿不出来，等于没同意。这一条在检查时最先暴露，因为它是“你有没有证据”的问题，不是“你做没做”的问题。

泄露侧

泄露发生后，最容易被漏掉的是通知数据主体这一步。只建了通知监管的流程，用户那边没动，等于只做了一半。原句要求的是两拨人都通知。

另一个漏点是时间。72小时从你知道泄露的那一刻算，不是从你查清全部细节算。很多人卡在“还没查清，等查清再报”，等查清，窗口早过了。

卖虚拟资源：免费试用和自动续费的披露

卖虚拟资源的人容易忽略这块，因为没有物流、没有发货，感觉“点一下就交付了”。FTC的消费者页面把“Free Trial Scams”单列为骗局类型之一。免费试用转自动续费，如果续费条件没在试用前说清，就落在这个类型里。

虚拟资源的另一个点是评价。数字产品没有实物可拍，买家秀少，卖家容易自己写几条放上去。这几条一旦被认定为虚假评价，性质跟卖实物刷单一样。销售虚拟资源那篇讲的是选品和交付，交付之后的披露和评价，归这一节管。

用AI整理合规清单：哪几步能交给它，哪几步必须人核

AI能帮你把官方条款整理成对照表、把隐私政策草稿写成平实语言，但你的站到底处理了哪些数据、依据是哪一条，必须人自己核。GDPR问责原则的原句是“If you think you are compliant with the GDPR but can't show how, then you're not GDPR compliant”。

能交给AI的三步

第一步，条款摘录对照。把gdpr.eu checklist的条目、CCPA的权利清单，逐条摘出来，做成一张表，左边是官方要求，右边是你的站做没做。这一步是搬运和结构化，AI做得快，也不容易漏条。猎者出海的AI Agent 的写作编辑那一块，做的是按标准成稿和本地化，整理官方条款这类活可以交给它打草稿，核对原文这一步还得人来做。

第二步，隐私政策草稿。把第13、14条要求的信息项列给AI，让它按平实语言写一版骨架，每段标注对应条文号。草稿出来之后，你要逐段核对：写的处理活动是不是你真的在做，法律依据是不是你选的那一条。

第三步，Cookie清单初稿。把你站上装的工具列给AI，让它按严格必要、分析、营销三类分，标出哪些需要先取得同意。分类是初稿，实际每个Cookie追踪什么，要去工具后台一条条看。

这三步都有个共同点：AI交出来的是草稿，不是结论。草稿的好处是省掉从零开始的时间，坏处是它看起来完整，容易让人跳过核对。

必须人核的三步

法律依据的选择必须人核。Article 6有六种条件，选哪一种取决于你的业务实际。AI不知道你收这个邮箱是为了发订单通知还是为了发营销邮件，这两种用途对应的依据不一样。选错了，后面写的政策全歪。

处理活动清单的真实性必须人核。清单要写谁有权访问、哪些第三方有权访问、第三方在哪。这些信息在AI手里没有，只有你的后台和合同里有。AI能帮你排版，填不了内容。

数据泄露通知的判断必须人核。72小时从什么时候起算，要不要通知数据主体，通知里写什么，这些是判断，不是模板。AI可以给你一份通知模板，按不了那个“是否触发”的按钮。猎者出海的AI Agent 在上线运营那一块，会按周拉数据、给一张改稿单。合规清单也可以照这个方式维护：每周花十分钟，看这周有没有新装的工具、新加的收集点，有就补进清单。工具能提醒节奏，补什么还是你自己定。

可照抄的提示词四类

第一类：把gdpr.eu的checklist逐条贴给AI，让它改写成“我的站要不要做”的是或否判断表，每条后面留一栏“依据条文”。这一类的用处是把官方语言翻成动作语言，判断由你填。

第二类：按第13、14条的要求，让AI给一份隐私政策骨架，每段标注对应条文号，不许删任何法定义务。这一类的用处是防止漏项，不是让它替你写完整版。

第三类：把站上所有Cookie和装过的工具列给AI，让它按严格必要、营销、分析分类，标出哪些需要先取得同意，哪些需要解释但不用同意。这一类的用处是初筛，实际分类要去工具后台核对。

第四类：把已经写好的隐私政策贴给AI，让它改写成清晰平实的语言，条件是不删任何法定义务、不改法律依据、不加没做过的处理活动。这一类的用处是改表达，不是改内容。

四类提示词都指向同一件事：AI处理的是文字和结构，你处理的是事实和判断。把这两件事分开，AI才有用；混在一起，出来的是看起来合规的一堆字。

常见问题

独立站不面向欧盟，还要管GDPR吗

看有没有欧盟用户的数据。站是英文的、发货到欧盟、收过欧盟邮箱，就触发了。原句是“target or collect data related to people in the EU”，两个动作满足一个就够。

完全不面向欧盟，也没有欧盟访客的数据，GDPR不适用。但这个判断要有依据，不能靠“我觉得没有”。访客从哪来，后台的统计看得见。

GDPR罚款上限到底是多少

2000万欧元或全球营收4%，取较高者。罚款分两级。另外，数据主体有权就损害寻求赔偿，这笔跟罚款并行。

上限是2000万欧元或全球营收的4%，取较高者。具体金额看营收基数，不是一口价。

中国人做独立站，隐私政策必须写吗

处理欧盟用户数据或面向加州消费者，就要有。问题不是“有没有政策文件”，是“收集时有没有告知”。政策是告知的载体之一，结账页的即时告知也要有。

只挂一份模板，模板里写的处理活动跟实际对不上，有也等于没有。第13、14条要的信息项，一项一项对。

Cookie弹窗拒绝后还能不让用户进站吗

不能。原句要求即使用户拒绝某些Cookie，也要允许其访问服务。用不给进站逼同意，踩在第四条上。

正确的做法是拒绝后照常提供服务，只是不写非必要Cookie。功能可能少一点，比如个性化推荐没了，但站要能打开。

FTC会罚独立站卖家吗

FTC的执法对象是从事不公平和欺骗性商业行为的组织，页面没有写“只罚大公司”。这里没有FTC对独立站卖家的罚单金额，能写的是规则管到广告披露和评价真实性。

罚则金额页面没写，这里不编。能确定的是，广告不披露、评价造假，性质上是违规，不是运营技巧。

数据泄露了多久要通知

72小时内通知所在辖区的监管机构，同时要建通知数据主体的流程。72小时从你知道泄露开始算，不是从查清全部细节开始算。

两拨人，两条线。只通知监管不通知用户，等于只做一半。

员工不到250人要不要保存处理活动清单

硬要求是250人以上，或从事较高风险数据处理。不到250人，官方也说应该做评估，理由是这会更容易满足GDPR的其他要求。

建议做。清单是问责原则要的证据，自认合规拿不出清单，就是不合规。

独立站收款方式官方有规定吗

独立站收款方式，这里只写支付服务商的公开数字，比如Stripe支持135+种货币、125+种支付方式、跨境卖到195+个国家。

收款环节的合规点在收款页收集的数据，不在用哪家工具。结账页收集姓名、邮箱、地址，就是收集个人数据，告知义务跟着来。

这篇写到这里。把这些动作提前做一遍，罚单就挡在门外；等罚单来了再补，补的是钱，不是流程。