GDPR
《通用数据保护条例》（General Data Protection Regulation，GDPR）是欧盟于2018年正式实施的数据隐私保护法规，适用于处理欧盟居民个人数据的所有组织和企业，无论其是否位于欧盟境内。该条例确立了个人数据收集、存储、处理和传输的基本原则，赋予数据主体访问、更正、删除等权利，并对违规行为规定了严格的罚款制度，是目前全球影响最广泛的数据保护法规之一。
核心事实
时间轴 (近 90 天)
金融、医疗、法律等受强监管行业的数据出境和第三方处理往往受到《个人信息保护法》、GDPR 或行业监管规则的严格限制。
SOX、GDPR、等保等合规框架越来越强调可归因性，共享凭证或借用人类账号的代理会构成审计缺陷。
跨组织数据共享需要细粒度权限控制、审计追踪与合规框架，共享方保留撤回与限制使用的权利，这与欧盟 GDPR 等数据保护法规的精神一致。
欧盟GDPR和国内个人信息保护法都对告知的颗粒度有要求，这是“按钮旁应加简短说明”主张的法理背景。
企业在评估第三方 AI 代码服务时通常会关注：服务商是否提供数据不留存或不用于训练的承诺、是否支持私有化部署或专有云、传输与存储是否加密、访问日志能否审计，以及是否符合所在行业与地区的监管要求（如数据安全法、GDPR 等）。
欧盟GDPR与ePrivacy指令要求营销邮件须获得事先同意（opt-in），并保障数据主体的访问与删除权。
GDPR规定数据泄露通知时限为72小时，美国50个州均有泄露通知法。
医疗AI的合规要求涉及数据隐私（如HIPAA、GDPR）、模型可解释性（如Grad-CAM热力图）和临床验证流程。
欧盟《通用数据保护条例》（GDPR）第22条赋予个人对自动化决策的解释权，信贷、保险定价等场景尤其敏感。
GDPR的目的限制原则要求：收集个人数据的目的必须具体、明确且合法，后续处理不得与初始目的相冲突。
还有 40 条时间轴事件
全部知识事实 (20)
Privacy by Design理念早在1990年代由加拿大信息与隐私专员Ann Cavoukian提出，包含七项核心原则
90%已验证GDPR规定违规企业可面临高达全球年营收4%或2000万欧元（取较高者）的罚款
90%已验证Privacy by Design原则已被纳入GDPR第25条，成为具有法律约束力的合规要求
85%已验证GDPR是欧盟于2018年实施的数据隐私法规，违规罚款最高可达全球年营业额的4%
85%已验证2023年Meta因违反GDPR向美国传输欧洲用户数据，被处以12亿欧元罚款
85%已验证GDPR于2018年正式生效，违规最高罚款可达企业全球年营业额的4%；CCPA于2020年在加州生效
80%已验证欧盟《通用数据保护条例》（GDPR）于2018年生效，确立了数据最小化、目的限制、知情同意等核心原则
80%已验证中国已实施《数据安全法》和《个人信息保护法》，对企业数据出境提出严格要求
80%已验证欧盟GDPR、美国HIPAA以及中国《数据安全法》均对敏感数据的跨境传输和第三方处理设有严格限制
80%已验证数据驻留（Data Residency）指数据必须存储在特定地理区域或司法管辖范围内的要求，是企业数据合规体系中的核心概念
80%已验证根据GDPR规定，数据控制者在发现个人数据泄露后72小时内必须向监管机构报告
75%已验证欧盟2018年实施《通用数据保护条例》（GDPR），确立了数据本地化的法律框架
75%已验证GDPR是欧盟于2018年实施的数据隐私法规，要求数据处理者证明数据收集合法性、提供明确退出机制并响应数据删除请求
75%已验证GDPR第17条赋予用户'被遗忘权'（Right to Erasure），要求企业在用户提出请求时删除其个人数据
75%已验证欧盟GDPR立法强制要求数据可携带权（Right to Data Portability）
75%已验证欧盟GDPR自2018年实施以来，已对谷歌、Meta等科技巨头累计开出超过40亿欧元罚款
75%已验证主权AI需求的兴起与欧盟GDPR、中国数据安全法、印度个人数据保护法案等本地化立法密切相关
75%已验证欧盟曾通过《通用数据保护条例》（GDPR）和《数字服务法》（DSA）规范科技巨头的行为
70%已验证GDPR 第 28 条要求数据控制者与数据处理者签订数据处理协议（DPA），明确处理目的、保留期限和次级处理商清单
70%已验证GDPR 第44条规定个人数据向第三国传输需满足充分性认定或签署标准合同条款
70%