联系方式
全国免费服务热线
400-7558988
固话：0769-85075888-6618
手机：13925591357
传真：0769-85075898
邮箱：net04@gtggroup.com
地址：广东省东莞市松山湖园区科技八路2号华灿产业园
物联网出海欧盟：GDPR 合规指南 —— 过了 EN 18031 不等于过了 GDPR
物联网出海欧盟：GDPR合规指南——过了EN 18031不等于过了GDPR
很多厂商把网络安全认证和数据保护合规混为一谈，以为测了EN 18031-2（隐私保护部分）就等于过了GDPR。大错特错。EN 18031-2和GDPR确实有重叠，但两者是完全不同的东西：一个是产品技术标准，一个是法律合规义务。
打个比方：EN 18031是体检报告，证明你身体各项指标正常；GDPR是法律，规定你不能做什么、必须做什么。体检合格不代表你不会犯法。
我的产品到底碰不碰GDPR？
一句话总结：只要你的产品处理了欧盟居民的个人数据，不管你公司在哪、产品在哪生产，GDPR都管你。
很多厂商觉得：我是中国公司，产品在中国生产，GDPR管不着我吧？GDPR的管辖原则是属地+属人，只要满足以下任一条件就适用：
- 产品在欧盟境内销售或使用（属地）
- 处理了欧盟居民的个人数据（属人）
换句话说，你的智能摄像头卖到了德国，德国用户用你的APP看监控——这就处理了德国居民的个人数据，GDPR管你没商量。跟你公司注不注册在欧盟没有任何关系。
特别提醒：生物识别数据（指纹、人脸、虹膜）和健康数据属于GDPR第9条的特殊类别数据，保护要求比普通个人数据高得多，不能简单靠用户同意就处理，必须有额外的法律依据和安全保障。
EN 18031和GDPR到底是什么关系？
一句话总结：EN 18031-2覆盖了GDPR的部分技术要求，但GDPR还有大量管理和法律义务是EN 18031不管的。
EN 18031-2能帮你覆盖GDPR的这些技术点：
- 数据传输加密（TLS）
- 敏感数据存储加密
- 访问控制和身份认证
- 数据最小化（不收集不必要的数据）
但GDPR还有这些EN 18031完全不管的义务：
- 合法性基础：你凭什么处理用户数据？（同意、合同履行、合法利益等）
- 告知义务：你有没有清晰告诉用户收集了什么、用来干嘛、存多久
- 用户权利：访问权、更正权、删除权（被遗忘权）、可携带权、限制处理权
- DPIA：高风险处理必须做数据保护影响评估
- 数据泄露通知：发现泄露后72小时内通知监管机构
- 数据处理协议（DPA）：和云服务商、代工厂之间要签协议
- 跨境传输：数据从欧盟传到中国，必须有适当保障措施
所以说，过了EN 18031只说明你的产品技术上达到了隐私保护的基线，但GDPR合规还差得远。
物联网厂商最容易在GDPR上踩的四个坑
坑一：生物识别数据当普通数据处理
智能门锁、人脸门禁这些产品，指纹和人脸数据属于GDPR第9条的特殊类别数据。很多厂商的做法是：用户录指纹时弹个同意框，就觉得合法了。不够。特殊类别数据的处理需要明确同意（explicit consent），而且同意必须是具体的、知情的、可撤回的。更重要的是，你得证明除了生物识别就没有别的替代方案——如果密码也能开门，那你处理指纹的合法性基础就站不住脚。
趋势：越来越多厂商开始做本地生物识别处理——指纹/人脸特征在设备端提取和比对，原始数据不上云。这代表了行业方向。
坑二：用户说删数据，你根本删不了
GDPR给了用户"被遗忘权"——用户要求删除个人数据，你必须在30天内响应。但很多物联网产品的架构根本做不到：
- 数据散落在设备本地、APP、云平台、备份系统里，不知道哪有副本
- 备份系统为了数据安全不允许单独删除某条记录
- 第三方数据处理方（云服务商）不配合删除
结果就是用户投诉到监管机构，一查一个准。
坑三：数据从欧盟传到中国，啥保障都没有
绝大多数中国厂商的云服务器在国内，欧盟用户的数据自动就传回了中国。但GDPR对跨境传输有严格要求：必须有适当保障措施，比如标准合同条款（SCC）、绑定公司规则（BCR），或者依赖充分性认定（中国目前没有）。
很多厂商连SCC都没签，数据直接裸奔传输，这是严重违规。
坑四：数据泄露了，捂着不说
GDPR要求：发现个人数据泄露后，72小时内通知监管机构；如果泄露对用户有高风险，还要通知受影响的用户。
很多厂商的第一反应是"先别声张，悄悄修了再说"。但只要被监管机构发现你瞒报，罚款直接翻倍——因为瞒报本身就是独立的违规行为。
物联网厂商的GDPR合规清单（5步走）
- 做数据盘点（Data Mapping）：把产品全流程的数据流向画出来——收集了什么、存在哪、传给谁、存多久、谁能访问。这是所有GDPR工作的基础，没做这步后面全是空谈。
- 确定每类数据的合法性基础：不是所有数据都靠"同意"。设备运行必需的数据（如WiFi配置）可以靠"合同履行"；用户可选功能的数据（如健康数据分析）才需要"同意"。生物识别数据必须"明确同意"。
- 建立用户权利响应流程：指定专人负责处理用户的访问/删除/更正请求，30天内响应。技术上要确保能定位并删除所有副本（包括备份）。
- 签好数据处理协议（DPA）和标准合同条款（SCC）：和云服务商、APP开发方、代工厂之间都要签DPA；数据从欧盟传到中国的，要签欧盟委员会标准合同条款（SCC）并做传输影响评估（TIA）。
- 做DPIA（数据保护影响评估）：处理生物识别、健康数据、大规模监控的，必须做DPIA，记录风险和缓解措施。这不是走形式，监管机构查的时候第一就要看这个。
GDPR和CRA、EN 18031怎么一起搞省力？
一句话总结：以EN 18031测试为技术底座，往上叠加GDPR管理流程，再为CRA的全生命周期要求做准备。一次投入，三重合规。
很多厂商的做法是东一榔头西一棒子——EN 18031找A实验室做，GDPR找B律师写，CRA等2027年再说。钱花了不少，效果还不好。建议一体化推进：
- 技术层：EN 18031的测试（加密、认证、最小化）同时满足GDPR的技术安全要求和CRA的产品安全要求
- 流程层：漏洞管理流程同时满足EN 18031、GDPR数据泄露通知、CRA漏洞报告义务
- 文档层：风险评估报告同时用于EN 18031技术文档、GDPR的DPIA、CRA的网络安全风险评估
- 组织层：指定一个人（或团队）统筹所有数据保护和网络安全事务，避免各搞各的
写在最后
GDPR不是猛虎，但也不是纸老虎。它的核心逻辑就一句话——用户的数据用户做主，你处理就得负责。把这个想明白了，合规其实没那么难。