人工智能服务走向全球，GDPR-CCPA 准备工作简述

若您正在筹备AI服务，海外隐私保护法规——尤其是GDPR（欧洲）和CCPA（美国加州）——绝对不容忽视。或许您会质疑："明明在韩国开发的产品，为何还要顾及海外法律？"但请注意，GDPR和CCPA均以当地用户为适用对象。本文将全面解析GDPR·CCPA的适用标准、罚金制度及应对策略。

💥 实用小贴士

AI服务的法律适用依据是用户所在位置而非服务提供商国籍。只要存在一名欧洲或美国用户，就可能成为GDPR·CCPA的适用对象。

🇺🇸 CCPA（加州消费者隐私法案）

CCPA是2020年1月起实施的美国加州隐私保护法案。作为全美最严厉的隐私保护法规，全球化运营企业必须严格遵守该法规。

CCPA适用标准

适用标准为：全球年销售额达2500万美元（约合340亿韩元）以上、持有加州居民数据5万条以上、或数据销售收入占总收入50%以上。满足任一条件即适用CCPA。

CCPA适用示例

仅凭高营收不构成适用条件，关键在于与加州居民的数据关联性。CCPA的核心特征是"选择退出"机制，消费者享有拒绝数据销售的权利、查阅数据收集共享记录的权利以及要求删除数据的权利。

GDPR是自2018年5月起在欧盟(EU)及欧洲经济区(EEA)实施的个人信息保护法规。该法规是全球最严格的隐私保护条例之一，核心原则为"用户同意"与"个人数据主权"。

GDPR适用标准

其特点在于无论营收规模大小，只要欧盟用户使用服务或在欧盟境内追踪用户行为，就必然适用该法规。例如，韩国开发的AI应用若被欧洲用户下载使用，即属于GDPR适用对象。

只要有1名欧洲用户注册或进行行为分析，即适用该条例。即使是零营收的小型初创企业，也无例外地适用。

GDPR令人畏惧的关键在于其罚金规模。违规最高可处2000万欧元（约合290亿韩元）或全球年营业额4%的罚款（以较高者为准）。

最高2000万欧元（约合290亿韩元）
或全球年营业额的4% → 择高者
GDPR罚款示例：
- 年销售额100亿韩元 → 100亿 × 4% = 4亿 → 最高4亿韩元罚款
- 年销售额1万亿韩元 → 1万亿 × 4% = 400亿 → 受限于上限2000万欧元（290亿）

无论初创企业或大型企业均适用，且销售额越高罚金呈几何级增长。特别需保障用户数据查阅·删除·迁移权、被遗忘权等强力用户权益，未经同意处理数据将面临严重法律风险。

销售额越高，罚金越重。

每项违规约产生340万韩元罚款，故意违规时罚款累积至约1020万韩元，且个人及集体诉讼数量增加时，诉讼金额将呈几何级增长。

罚款标准为每起违规最高2,500美元（约340万韩元），故意违规则为7,500美元（约1,020万韩元）。违规数量累积可能引发集体诉讼，伴随巨大风险。例如泄露1,000条个人信息时，若属故意违规，总罚款可能飙升至约102亿韩元。

👉 CCPA的威胁在于"数据泄露数量"，GDPR的威胁则在于"企业营收规模"。

GDPR的可怕之处在于"与销售额无关，以用户为基准"，而CCPA的可怕点在于"大型企业 + 加州居民数据"。