GDPR数据流的五个环节：从设备采集到删除，每一环都有坑

原创

GTG-Hardy
GTG-Hardy

GTG网络安全实验室

2026年10月9日 09:30
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一台智能摄像头卖到德国，从开机那一刻起就在处理个人数据：画面、声音、设备 ID、Wi-Fi 信息、大致位置。

这些数据在欧盟产生，然后依次经过采集、存储、使用、传输、删除五个环节，每一环都对应着 GDPR 的具体义务。

不少厂家做合规的顺序是反的：先问“要不要做 DPIA”，再问“隐私政策怎么写”，结果连自己数据流向哪都说不清。这篇想讲清楚三件事：每个环节 GDPR 管的是什么、制造商最容易在哪踩坑、怎么用一张表把五个环节过一遍。

01

方法选择：为什么按数据流梳理，比逐条对照法条更省事

责任在你身上，而且要你能证明。第 5(1) 条列了七项原则：合法公平透明、目的限制、数据最小化、准确性、存储限制、完整性与保密性。

紧接着第 5(2) 条补了一句关键的话——控制者必须能够证明自己遵守了这些原则，这就是问责制（accountability）。

翻译成大白话：合规不是“我觉得我做了”，而是“我能拿出来东西证明我做了”。而能证明的前提，是你知道数据在哪、流向哪。

五个环节各自对应哪些条款：

02

环节拆解：五个环节，GDPR分别管什么

采集：最小化与合法性基础。第 5(1)(c) 条原文：

personal data shall be adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed (\"data minimisation\")

最常见的坑是出厂默认全量采集：摄像头默认开云录像、默认上传事件截图；手环默认 24 小时采心率。默认值本身就是合规决策，落在第 25(2) 条的“默认数据保护”上。

另一个误判是把“用户勾了同意”当万能钥匙——第 6 条给了六种合法性基础，设备运行必需的数据（比如 Wi-Fi 配置）用合同履行更合适；生物识别、健康数据属于第 9 条特殊类别数据，需要更严格的依据。

存储：期限与位置。 期限写“业务需要期间”，等于没写——第 5(1)(e) 条要求存储不得超出实现目的所必需的时间。这些都要落进第 30 条的处理活动记录（RoPA）：数据类别、处理目的、接收方、存储位置、保存期限。

使用：目的限制与二次使用。 售后收集的设备日志，后来拿去训练模型或者做广告画像——这是评估里最常被判“不符合”的一类。第 5(1)(b) 条要求目的限制；确实要用于新目的时，第 6(4) 条要求做兼容性评估，判断新目的与原始目的是否兼容，不兼容就得重新找合法性基础。

传输：别只看数据存在哪，还要看谁能访问。 数据回传国内服务器是明显的出境；容易被忽略的是远程访问——深圳工程师远程连上法兰克福的设备看日志、排故障，同样构成第 44 条意义上的传输（EDPB Guidelines 05/2021）。

删除：删得掉，还要删得全。 第 17(1) 条原文：

The data subject shall have the right to obtain from the controller the erasure of personal data concerning him or her without undue delay ...

坑不在“要不要删”，而在“删不全”。常见需要清理的位置有 8 处：设备本地存储、APP 本地缓存、云端主库、备份与归档、第三方 SDK 与子处理者、日志与埋点、客服与工单系统、测试环境与报废设备。漏掉任何一处，都可能在客户审计时被认定为没有删除能力。

03

自查清单：一张表走完五个环节

五个环节里，最容易被跳过的是“使用”，最容易被低估的是“删除”，最难解释清楚的是“传输”。

真要动手，先做一件事：把一台典型产品的数据流画出来，标出每个环节的数据类别、存储位置、责任人和期限。画不出这张图，后面所有合规文件都是空中楼阁。

广测电磁：全球数字安全合规优选伙伴

别让合规只停留在“拿证”。

面对欧盟 CRA网络弹性法案、AI法案及 GDPR/CCPA/数据法案等严苛监管，凭借CNAS(L18872)+A2LA(6947.01)双资质及前360/深信服核心网络安全专家团队，为您提供真正的“实战级”防护。

🏆 为什么GTG能为您降本避险？

• 拒绝模板：不只给报告，我们提供定制化漏洞修复方案，确保产品真安全。
• 极致省心：代写核心文档，免除繁琐填表，让合规效率提升70%。
• 全域覆盖：从消费电子到汽车、工控、医疗，一站式解决全球隐私与数据安全难题。

您的全球合规通行证，从这里开始。

[👉 立即咨询 CRA / AI法案 / 隐私合规]

更多相关内容

尽在视频号“GTG网络安全实验室”