GDPR、CCPA 和个人信息保护法对网站统计意味着什么

三部法律，各一段话

• PIPL——《中华人民共和国个人信息保护法》。和 GDPR 比较接近，特别强调敏感个人信息和出境要取得单独同意，对处理用户请求有固定时限。
• GDPR——欧盟《通用数据保护条例》。每项处理都要有合法依据（同意、正当利益等）；个人享有查阅、删除、反对和可携带等权利；数据出欧盟需要保障措施。Cookie 规则另由电子隐私规则规定。
• CCPA / CPRA——修订后的《加州消费者隐私法》。以告知和退出为核心：个人可以查看被采集了什么、要求删除，并退出“出售或共享”，后者涵盖很多跨场景广告。浏览器发出的全局隐私控制（GPC）信号必须被尊重。

对网站统计意味着什么

• 最小化。用得到的才采。事件属性里不放邮箱、姓名、手机号。
• 想清楚依据。按地区决定统计是基于同意，还是基于其他依据。
• 告知用户。隐私政策里写明统计采集什么、为什么采集。
• 响应权利请求。能找到、导出、删除某一个人的数据，也能停止采集。
• 限制保存期。明细事件数据只在需要的时间内保存。

本页只总结通行原则，不构成法律意见；具体要求取决于你的业务和所在法域。

TapCub 怎么对应

TapCub 的合规中心按站点、按访客所在地区（欧盟 / 欧洲经济区、英国、加州、美国其他地区、中国大陆及其他）配置隐私。可以设置采集档位、是否在采集前征得同意、是否尊重 GPC 和 Do Not Track、IP 截断、从事件属性里剥离个人信息、是否采集元素文字，以及各类数据的保存期。

四个地区预设——CNIL 豁免、英国统计例外、德国 DSK 基础计数器和 GDPR 完整同意——一键应用一套已知配置并锁定。中国模式（PIPL）强制采集前征得同意，并限制删除请求的冷静期上限。查阅、可携带、删除和限制处理四类数据主体请求都在控制台里处理，配置变更和请求都记在审计日志里。

常见误区

• 没有姓名就以为是匿名。在 GDPR 下，IP 地址和设备 ID 都是个人数据。
• 全世界一套设置。各地区的同意规则不同，要按地区配置。
• 什么都永久保存。保存期限制既是法律要求，也是安全措施。

延伸阅读：符合 GDPR 的网站统计和第一方数据策略。另见不让个人信息进入统计数据。