适用场景
面向欧盟市场提供商品或服务、处理欧盟居民个人数据的中国出海企业，特别是应用区块链、金融科技、互联网服务等涉及数据存储与处理技术的企业。
核心要点
1. GDPR的广泛适用范围
GDPR不仅适用于在欧盟境内设立的企业，也适用于在欧盟境外但向欧盟居民提供商品、服务或对其行为进行监控的企业。这意味着只要业务涉及欧盟用户，无论公司实体位于何处，都必须遵守该条例。
2. 核心数据处理原则与主体权利
GDPR确立了合法公平透明、目的限制、数据最小化等七项核心原则。同时，它赋予了数据主体多项权利，包括访问权、更正权、被遗忘权（删除权）和数据可携带权，企业必须建立机制予以保障。
3. 企业义务与巨额处罚风险
作为数据控制者或处理者，企业负有数据保护影响评估、设置数据保护官、确保安全、记录处理活动、泄露通知等多重义务。违规处罚极其严厉，最高可达全球年营业额的4%或2000万欧元（以高者为准）。
4. 区块链技术与GDPR的潜在冲突与调和
区块链的不可篡改性与GDPR的‘被遗忘权’（要求删除数据）存在表面冲突。解决方案需从技术（如零知识证明、数据脱链）和法律（明确数据控制者身份）两个层面探索，以实现数据不可识别或合规管理。
5. GDPR的域外效力与全球影响
GDPR通过将数据流与贸易流挂钩，其影响力已超越欧盟。任何希望与欧盟进行深度经贸往来的国家或企业，都可能需要遵循其数据保护标准，使其成为事实上的全球合规基准之一。
实务建议
- 立即开展数据映射：全面梳理业务各环节所收集、处理、存储的欧盟居民个人数据类型、流程、存储位置及第三方共享情况。
- 评估合法性基础：审查并确定处理每类个人数据的合法依据（如用户同意、合同履行、合法利益等），确保符合GDPR要求。
- 建立用户权利响应机制：制定并实施内部流程，以高效响应数据主体提出的访问、更正、删除、携带数据等权利请求。
- 强化安全与泄露应对：部署适当的技术与组织安全措施，并制定数据泄露应急预案，确保能在72小时内向监管机构报告。
- 若使用区块链，进行专项合规评估：分析链上存储的数据是否构成“个人数据”，评估删除权的实现路径（如加密、哈希指针管理或链下存储敏感信息）。
- 审查并更新用户协议与隐私政策：确保其清晰、透明，用易于理解的语言告知用户数据处理实践，并获取有效的同意（如需）。
风险提示
- 误区：公司不在欧盟就无需遵守GDPR。 注意：只要业务面向欧盟用户，即受其管辖，切勿存在侥幸心理。
- 误区：区块链的匿名性可天然规避GDPR。 注意：通过地址等信息若能间接识别个人，仍属个人数据，需受规制。
- 注意：GDPR下的“同意”要求严格，必须是自由给出、具体、知情且明确的肯定性行动，预设勾选框等方式可能无效。
- 注意：不仅自身要合规，还需确保供应链中的数据处理者（如云服务商、分析工具提供商）也符合GDPR要求，可通过合同进行约束。
- 注意：数据保护官（DPO）的任命有法定条件，并非所有企业都必须设置，需根据核心业务是否涉及大规模系统性监控等条件判断。