免费工具 网站统计合规自查：个人信息保护法、GDPR、CCPA 逐条核对

列出你在统计什么——流量、转化、客服记录、广告归因——逐项对应第 6 条第 1 款的合法性基础，通常是同意（a 项）或正当利益（f 项）。用正当利益要有书面的利益平衡评估。

Cookie、localStorage、像素、SDK 标识都要事先同意，除非只用于传输通信，或是用户明确要求的服务所严格必需的。在用户回应横幅之前，逐个检查统计、客服、广告代码写了什么。

同意必须自由作出、具体、知情、明确，并通过清晰的肯定行为表示。预先勾选的复选框无效，告知内容还要包括 Cookie 的存续时间、第三方能否访问。

多数欧盟监管机构认为第一层没有拒绝选项属于违规，也会审查诱导接受的颜色和对比度。法国 CNIL 要求拒绝和接受一样容易。

每个页面都留一个能重新打开同意设置的链接或图标；撤回后立即停掉相关代码。

记下同意的时间、范围和当时展示的告知版本，以便日后证明。

身份和联系方式、DPO 联系方式、目的和法律依据、正当利益、接收方（写明统计和客服服务商）、跨境传输、保存期限、各项权利、撤回同意、向监管机构投诉的权利、是否必须提供、自动化决策。

代你处理数据的统计、客服、邮件、托管服务商，要签合同约定处理指示、保密、安全、分处理者、协助响应请求、到期删除。

服务商在欧洲经济区之外时，依靠充分性认定（美国只限于加入欧美数据隐私框架的公司，2023 年 7 月 10 日决定）或标准合同条款。

决定事件数据、客服记录、同意日志各存多久，写进隐私声明，并确认每个工具真的按期删除。

每个工具都要能查到、导出、更正、删除某一个人的数据。复杂请求可以再延长两个月，但要在第一个月内告知本人。

写明目的、数据类别、接收方、跨境传输、保存期限和安全措施。250 人以下组织的豁免不适用于非偶发的处理，持续运行的网站统计就属于非偶发。

传输加密、按角色授权、IP 截断等假名化措施，并定期检验这些措施是否有效。

发现泄露后 72 小时内通报监管机构（不太可能造成风险的除外）；风险高时还要通知受影响的人。

适用于在欧盟以外、但向欧盟境内的人提供商品服务或监测其行为的情形；偶发、低风险的处理可以豁免。

从页面网址和事件属性里去掉邮箱、手机号、用户 ID，IP 截断后再用，报表用不到的字段直接关掉。

EDPB 认为 ePrivacy 第 5 条第 3 款也可能覆盖追踪像素、网址里的标识等不用传统 Cookie、但从设备读取信息的技术。不要默认「无 Cookie」就豁免，要看它读了什么。

处理可能带来高风险时必须做，例如大规模画像、系统性监控。结论是不需要，也把评估过程写下来。

在加州经营的营利性企业，满足任一门槛即适用：年总收入超过 26,625,000 美元（2025 年 1 月 1 日起的调整值）；每年买卖或共享 10 万以上消费者或家庭的个人信息；一半以上收入来自出售或共享个人信息。

在收集时或之前，列出个人信息和敏感个人信息的类别、用途、是否出售或共享，以及每类保存多久。

写明消费者权利和行使方式，以及收集、出售、共享、披露的信息类别；每 12 个月至少复核一次。

「共享」指为跨情境行为广告披露个人信息，很多广告和再营销像素都算。出售或共享的，要放「Do Not Sell or Share My Personal Information」链接，或走退出偏好信号的替代方式。

收到 GPC 信号时，把它当作该浏览器（以及已知身份的消费者）退出出售、共享的有效请求，广告和再营销代码对这位访客保持关闭。

收到请求后最迟 15 个工作日停止出售或共享，并把请求转达给在此期间收到数据的第三方。

知情、删除、更正请求至少提供两种提交方式，其中要有免费电话（只在线经营且与消费者直接往来的企业，提供邮箱即可）。45 天内答复，告知后可再延长一次 45 天。

和服务提供者、承包商（统计、客服、托管），以及出售或共享数据的第三方签的合同，要包含法律和条例列出的条款。

把精确位置、账号登录凭证等敏感个人信息用于许可目的之外时，要提供「Limit the Use of My Sensitive Personal Information」链接。

明知消费者未满 16 岁时，除非本人（13–15 岁）或父母监护人（13 岁以下）选择加入，否则不得出售或共享。

不能因为对方退出或提出请求就改价格、降服务或拒绝提供；给经济激励要有告知，并和数据价值合理相关。

法律明确要求；因没有合理安全措施导致泄露，消费者可以起诉并主张法定赔偿。

请求和同意流程要易懂、选项对称，不用暗黑模式；通过暗黑模式得到的同意不算同意。

记录每个消费者请求和处理结果，至少保存 24 个月。

加州 CalOPPA 要求收集加州居民个人信息的商业网站，在隐私政策里说明如何回应浏览器的「请勿追踪」信号。

打开 GPC 后刷新你的网站，确认广告和再营销代码不再触发。浏览器隐私检测能看到 GPC 是否开启。