网站GDPR合规指南：完整核查清单

不符合GDPR要求的网站会面临什么风险？

不合规的网站，可能面临CNIL处以最高2000万欧元或全球营业额4%的处罚。GDPR自2018年5月起适用于所有收集个人数据的企业，哪怕只是通过联系表单收集一个邮箱地址。企业规模并不能提供保护：一位客户、一名员工，甚至一个竞争对手的投诉，就足以引发调查。在正式处罚之前，CNIL可以公开发出整改通知，这会对本地企业的声誉造成长期损害。需要说明的是：本文是面向企业主的操作性核查清单，不能替代针对您具体情况的专业法律意见。

GDPR核查清单的8个要点是什么？

一个合规的网站需要满足8项基本要求：法律声明、隐私政策、提供真实选择的Cookie提示条、精简且通过HTTPS加密保护的表单、数据处理登记册、与分包商签订的合同、明确的数据保存期限，以及应对数据访问或删除请求的处理流程。下表总结了每一项所需采取的具体行动。

法律声明和隐私政策有什么区别？

法律声明用于标明网站的运营主体，隐私政策则用于说明您如何处理用户数据。前者是所有专业网站的强制要求：公司名称、地址、托管服务商、联系方式。后者需要针对每一项数据处理，详细说明目的、法律依据、保存期限以及访客享有的权利。直接从别的网站复制粘贴的文本是个陷阱：它描述的是别人的数据处理方式，既不符合您的实际情况，也会遗漏您真正在做的处理行为。请用简洁清晰的语言撰写，并在每次新增工具时及时更新这个页面。

Cookie与用户同意：实际操作中如何合规？

规则很简单：在访客明确表示同意之前，不得植入任何用于流量统计或广告投放的Cookie。用户的同意必须是自愿且知情的：“全部拒绝”按钮应与“全部接受”按钮一样醒目，不能有预先勾选的选项，并且用户应能随时通过一个常驻链接改变主意。继续浏览网站不能被视为已表示同意。只有网站正常运行所必需的Cookie（如购物车、登录状态）才可豁免。官方建议由CNIL发布：这才是应当遵循的权威依据，而不是您所用建站系统的默认设置。

小微企业最常犯的错误有哪些？

最常见的错误包括：Cookie提示条没有拒绝按钮、表单收集的信息过多，以及对删除请求置之不理。此外还有：网站部分页面仍使用未加密的HTTP、未经同意就用名片信息发送营销邮件、使用千篇一律的通用隐私政策、没有数据处理登记册，以及潜在客户的数据被无限期保留。这些问题的整改成本都不高：大多数只需几个小时的工作量就能解决。真正的风险，是误以为GDPR只针对大企业而选择什么都不做。

如何处理数据访问和删除请求？

您必须在1个月内答复任何数据访问、更正或删除请求。具体做法是：在隐私政策中注明一个联系方式，核实请求人的身份，然后提供数据副本或确认已删除数据。请为每一次请求及您的回复保留书面记录。同时也要留意数据的其他副本：备份文件、邮件营销工具、CRM系统中的数据。对小微企业而言，写在一页纸上的处理流程就已足够，前提是要真正落实执行。

如何让网站从上线之初就合规？

最经济的做法，是从设计阶段就融入合规要求，而不是事后再补救。Ready2GEO的网站默认交付时即已合规：HTTPS加密、提供真实选择的Cookie提示条、法律声明、隐私政策和精简表单，从490 €的Essentiel套餐（需求确认后5天内上线）到最多8个页面、含预订与支付功能的990 €Business套餐均是如此。29 €/月起的托管服务包含维护，因此可以持续维持合规状态。免费报价，24小时内回复。同时也别忘了另一项监管要求：数字无障碍，详见我们关于网站无障碍性的指南。