基于GPS定位或IP查询网站访客所属企业是否符合GDPR规定

1. GDPR合规性与伦理判断 #

• 合规性：你的行为大概率不符合GDPR要求。GPS定位信息、IP地址在GDPR框架下都被明确认定为可识别自然人的个人数据，哪怕你最终输出的结果仅关联企业主体，只要处理过程中涉及到这类可识别个人的信息，就属于GDPR的管辖范围。
  要符合GDPR要求你必须满足几个核心前提：
  • 取得访客明确、主动、可撤回的同意，禁止默认勾选、捆绑授权的同意获取方式
  • 完整告知访客数据采集的范围、用途、存储周期、共享范围
  • 严格遵守数据最小化原则，仅采集刚好满足企业匹配需求的最低精度数据，比如城市级定位足够的情况下不得采集米级精准定位
    未满足上述前提的采集行为属于明确违规，最高可处全球年营业额4%或2000万欧元的罚款，二者取较高值执行。
• 伦理判断：该行为存在明确的伦理风险。在访客不知情或未明确授权的前提下，采集其位置信息、IP并反向匹配所属企业，本质上是在用户未察觉的状态下获取其工作所属主体信息，属于对个人隐私的侵犯，哪怕行业内有较多同类应用，也不代表该行为具备正当性，极易引发用户信任危机甚至集体投诉。

2. 仅关联企业主体时GDPR的适用性 #

GDPR仅不适用于完全匿名化的个人数据处理活动，注意这里的匿名化要求非常严格：必须保证处理后的数据无论通过任何方式、结合任何外部数据都无法反向关联到特定自然人，且该过程不可逆。
仅最终输出结果关联企业主体完全达不到匿名化的认定标准：

• 你处理过程中用到的GPS、IP本身就是可识别个人的信息，只要你没有在处理完成后完全不可逆销毁原始数据，就仍然属于处理个人数据的范畴
• 极端场景下，比如某企业当日仅1人访问你的站点，最终输出的企业归属结果本身就能间接关联到具体自然人，依然属于个人数据处理范畴
  实操中这类匹配逻辑几乎不可能达到GDPR认定的匿名化标准，所以GDPR依然适用。

内容的提问来源于stack exchange，提问作者Julian