企业出海数据合规之（17）印度
印度二零二三年通过的数字个人数据保护法是该国首部综合性个人数据保护法，适用于境内采集及境外向境内主体提供服务相关的处理活动。中国企业须区分一般、敏感与儿童数据，处理敏感信息须取得明示同意，儿童数据须获可验证的父母同意。敏感数据强制本地化存储，跨境传输仅限政府公布的允许名单国家。新设数据保护委员会负责执法，企业须建立专属合规策略与内部审计。
企业出海数据合规之（16）土耳其
土耳其以个人数据保护法为核心构建合规体系。中国企业落地须完成数据控制者信息系统注册，无本地实体时须委任经公证授权的本地代表对接监管。处理须基于明示同意、合同履行或合法利益，并完成数据映射与最小化收集。跨境传输优先选充分保护国家，否则签订标准合同备案或申请约束性规则，特殊数据传输前须开展影响评估并报批。处理大量特殊数据的企业须任命独立数据保护官。
公共数据开发运营的春天来了？各地关于数据要素部分的实施方案
国务院于二零二五年九月八日印发批复，同意在十个区域开展为期两年的要素市场化配置综合改革试点，围绕深化要素协同配置、提升配置效率、探索新型配置方式、优化新业态新领域要素保障、促进服务业高质量发展五大目标推进改革。数据要素方面，各地实施方案聚焦公共数据共享体系建设与数据市场开发，涵盖资源汇聚、跨部门共享、授权运营服务、构建开发利用场景等举措。
迪奥（Dior）被处罚：一堂企业数据出境合规的公开课
迪奥上海公司因二零二五年五月发生用户数据泄露被公安网安部门立案，查实三项违法：未通过数据出境安全评估或标准合同备案即向法国总部传输信息，未告知境外接收方处理方式并取得单独同意，未对个人信息采取加密与去标识化措施。依据个人信息保护法第六十六条可处一百万元以下罚款，情节严重最高可达年营业额百分之五。事件还暴露其延迟五天才通知用户，违反七十二小时立即上报义务。
企业出海数据合规之（15）巴西
巴西通用数据保护法在适用范围、主体权利、处理原则及跨境传输安排上与欧盟条例高度相似，完成欧盟合规后基本可适配。中国投资者须界定自身为控制者或操作者，公开负责人信息，恪守目的限制、最小化、安全保障与禁止歧视原则，及时响应访问、更正、删除请求。跨境传输优先选充分保护国家，否则采用标准合同或集团约束性规则，违规最高可处年营业额百分之二、单项五千万雷亚尔罚款。
企业出海数据合规之（14）-美国
美国采取联邦与州双层数据隐私监管。联邦以联邦贸易委员会法为底线，辅以儿童在线隐私保护法、生物识别信息隐私法等专项规则。州层面以加州消费者隐私法及其修正案为代表，达年营收两千五百万美元等门槛的企业须保障知情、访问、删除、选择退出四大权利，须在四十五天内响应。生物识别违规每条记录可罚一千至五千美元，企业须落实数据最小化并购买网络责任保险。
企业出海数据合规之（13）欧盟
欧盟通用数据保护条例自二零一八年生效后成为全球数据合规基准，长臂管辖延伸至所有处理欧盟居民数据的境外主体，依据目标标准而非数据量判断。中国企业须从组织、制度、技术三方面搭建合规体系，因未获充分性认定，跨境传输主流路径为签订标准合同条款并备案。须七十二小时内上报泄露，一个月内响应用户请求，违规最高可处全球年营业额百分之四或两千万欧元罚款。
Cookie合规之（2）：CNIL与Cookie指南
法国国家信息与自由委员会作为欧盟数据执法急先锋，依托一站式机制对TikTok、SHEIN等开出累计逾十亿欧元罚单。其二零二零年发布的Cookie指南将设备指纹、硬件标识符纳入监管，要求同意须满足自由、特定、知情、明确四原则，禁止Cookie墙、预勾选与默示行为，须独立点击并告知处理者身份、目的及撤回方式，拒绝难度须与同意一致。开发者须分类管理Cookie并提供偏好设置选项。
Cookie合规之（1）：刚刚，谷歌又被罚了3.25亿欧
谷歌六年来第五次因个人信息保护违规被欧盟处罚，本次罚款三点二五亿欧元，累计已达六点三五亿欧元，多数源于Cookie不合规。Cookie是网站存储于用户设备的小型文本文件，用于身份识别、偏好记录与定向广告。欧盟通过电子隐私法令、通用数据保护条例及隐私和电子通信条例规制，二零零九年将同意规则由选择退出改为选择加入。法国数据保护局指南要求非必要Cookie须主动点击同意，禁止默认勾选。
企业出海数据合规之（12）英国
英国通用数据保护条例与二零一八年数据保护法约束境内控制者与处理者，亦约束向境内主体提供产品服务或监控其行为的境外组织。处理须具备同意、合同必需、法定义务等合法基础，遵循最小化与默认隐私设计；处理特殊类型数据须明示同意。除豁免外，控制者须在信息专员办公室注册并缴费，未足额最高可罚应缴费用百分之一百五十。跨境传输须确保接收地具有充分保护或签署标准合同条款。
