George El-Hage
对于 电子名片 而言，只要您的业务涉及欧盟或与欧盟有往来，GDPR 合规就绝非可有可无——违规代价极其高昂。最高罚款额可达企业全球年营业额的 4% 或 2000 万欧元（以较高者为准）。
我曾协助数十家企业的法务团队解答过同一个核心疑问：“我们的电子名片平台符合 GDPR 吗？”在主导研发 Wave Connect 的企业级解决方案 并使其同时满足 SOC 2 Type II 与 GDPR 双重严苛标准的过程中，我深入洞察了哪些是真正的合规关键，哪些只是营销噱头。本指南将为您提供逐条法规拆解、平台评估清单，以及我亲眼见过的常见合规误区。
- GDPR 是否适用于您？ 剧透一下：只要名片包含姓名和电子邮箱，答案就是适用的
- 法规条款逐条拆解： 直接影响电子名片的 8 项 GDPR 条款
- 如何评估名片平台： 我与企业客户合作时使用的 7 项自查清单
- 常见合规误区： 许多团队反复踩坑的 6 个 GDPR 错误
- 部署自查清单： 部署前、部署中及部署后的全流程合规步骤
为什么 2026 年电子名片的 GDPR 合规至关重要
最能引起企业法务团队重视的莫过于这组数据：仅 2023 年一年，GDPR 罚款总额就高达 19.7 亿欧元。Meta 被处以 12 亿欧元罚款；Amazon 被处以 7.46 亿欧元；Google 被处以 9000 万欧元。这些可不是缺乏经验的初创小公司，它们都拥有完备的专职合规部门。（数据来源：欧华律师事务所（DLA Piper）2024 年 1 月发布的《GDPR 罚款报告》。）
那么，为什么您需要特别关注电子名片？
因为每张电子名片都在处理个人数据，毫无例外。在 GDPR 的定义下，姓名、电子邮箱地址、电话号码、职位头衔无一不是个人数据。当您为团队部署电子名片平台的那一刻起，就已经引入了一项必须向您的数据保护官（DPO）报备的全新数据处理活动。
究竟哪些企业需要关注这一合规问题？涉及的企业范围远比您想象的更广：
- 欧盟本土企业 ——这是毋庸置疑的
- 拥有欧盟客户或合作伙伴的美国或英国企业 ——只要有欧盟居民扫描您的名片，GDPR 便自动适用
- 各地的受监管行业 ——金融服务、医疗保健和律师事务所即便身处欧盟境外，也普遍将 GDPR 作为基线标准
- 设有欧盟子公司的任何企业 ——即便只是在都柏林设有一处办事处，整个平台也必须全面合规
当我为一家 200 人的金融服务公司部署 Wave 时，对方的法务团队首先提出了三个核心问题：数据托管在哪里？你们是否签署 DPA？能否即时彻底删除数据？Wave 完美满足了这三项要求。在评估任何平台时，这也正是您应该设定的衡量标准。
GDPR 是否适用于您的电子名片？
简要回答：几乎必然适用。
GDPR 第 2 条 对其管辖范围作出了广泛界定。任何涉及个人数据的处理行为——而包含姓名、电子邮箱、电话号码或职位的电子名片显然属于个人数据——只要数据控制者或数据主体有一方位于欧盟境内，均受该法规管辖。
很多企业容易混淆的关键在于：您的企业是数据控制者，而非平台供应商。电子名片平台仅作为数据处理者。这意味着合规的法定主体责任由您的机构承担，平台的作用是为您提供实现合规的技术工具。
Schrems II 判决带来的挑战
如果您是一家使用美国托管平台的欧盟企业，还需要面对额外的合规要求。Schrems II 判决 废止了《欧美隐私盾协议》（EU-US Privacy Shield），这意味着向美国服务器传输个人数据至少需要签订标准合同条款（SCC），并完成数据传输影响评估，以证明该美国供应商提供了充分的保护。
我的建议是：优先选择提供欧盟本地数据托管的平台；或者更进一步，采用白标域名，将数据完全置于您自身的掌控之下。这样即可彻底免去 Schrems II 带来的合规烦恼。
电子名片的 GDPR 合规要求（条款逐一拆解）
让我们深入细节。以下是直接影响您部署和管理电子名片的八项 GDPR 核心条款。📋
第 5 条：数据最小化原则
您的电子名片应仅收集业务所必需的数据。如果平台在您所需之外抓取接收者的设备信息、IP 地址或行为分析数据，即构成违规。请向您的供应商明确提问：除了用户主动提供的信息外，你们还会收集哪些数据？
第 6 条：数据处理的合法依据
处理名片上的数据必须具备合法的法律依据。对于大多数电子名片应用场景，依据通常为 用户同意（接收方主动选择保存您的名片）或 合法利益（在商务场景下交换 联系方式）。请务必留存文档，明确记录您所依据的法律基准。
第 17 条：删除权（被遗忘权）
这一条至关重要。当有人要求删除其个人数据时，您必须做到真正彻底删除。不是打上标记，也不是推迟 30 天排期处理。而是即刻彻底删除。 我曾实测过多个平台的数据删除功能。部分平台能做到即时清除；另一些平台则在隐私政策中隐匿了 30 天的保留期——这便留下了明显的合规隐患。
第 25 条：从设计着手保护隐私（默认隐私设计）
名片平台应当将隐私保护作为底层默认设计，而非后期修补的附加功能。基于浏览器的平台在这方面具备天然的架构优势：无需安装应用程序，意味着无需审查任何多余的设备权限——无需访问通讯录、相机、位置或存储空间，因而完全免去了根据第 25 条进行权限合规抗辩的麻烦。
第 25 条正是基于浏览器的架构脱颖而出的地方。在协助 IT 团队进行合规审查时，基于 App 的平台往往会引发更多质询：“为什么需要访问通讯录？为什么申请相机权限？”而像 Wave 这样基于浏览器的名片则完全不存在这些攻击面——在终端设备层面没有任何敏感权限需要审计。
第 28 条：数据处理者的资质与义务要求
与电子名片供应商签署数据处理协议（DPA）是一道不可妥协的红线。DPA 必须明确界定处理哪些数据、处理目的、保留期限以及合同终止后的数据处理方式。如果供应商无法按要求提供合规的 DPA，请果断放弃。
第 30 条：数据处理活动记录
法规要求企业必须妥善保存所有数据处理活动的登记簿。您的电子名片部署必须完整记录在册：收集的数据类型、合法依据、保存期限以及任何第三方传输情况。我见过不少团队在部署平台后遗漏了更新第 30 条记录，半年后在 DPO 内部审计时才被查出，场面往往非常尴尬且棘手。
第 32 条：数据处理的安全性
端到端加密、严格的访问控制、定期的安全评估。正是在这一环节，诸如 SOC 2 Type II 等权威认证展现出了真正的价值——它们是供应商达到严苛安全标准的第三方独立背书，而绝非空洞的营销标签。
第 33-34 条：数据泄露通报
如果您的电子名片平台发生数据泄露，您必须在 72 小时内向监管机构通报。该倒计时从数据处理者（即您的平台供应商）通知您之时起算。请确保在 DPA 中明确包含具有明确时限的数据泄露通报条款——理想情况下要求其在 24 至 48 小时内通知您，以便您在 72 小时法定最后期限前留有足够的评估和应对时间。
如何评估电子名片平台的 GDPR 合规性
我在服务每家企业客户时都会使用这七个问题进行评估。如果某个平台无法清晰明确地回答全部七个问题，那就亮起了合规红灯。🔐
- 数据托管在哪里？ 欧盟、美国还是多区域？该平台是否提供仅限欧盟境内的托管服务？
- 能否提供 DPA？ 是否包含责任上限、子处理方名单和数据泄露通知条款？
- 数据删除有多快？ 实时、24 小时还是保留 30 天？
- 除了用户提供的信息，您还会收集哪些数据？ 设备信息？IP 地址？行为追踪数据？
- 是否拥有第三方安全认证？ SOC 2 Type II、ISO 27001 或同等认证？
- 我们终止服务后，数据如何处理？ 删除时间表是怎样的？能否提供数据销毁证明？
- 平台是否在名片接收端的体验中植入自身品牌？ “Powered by”标识和向接收者发送的拉新邮件都存在潜在的 GDPR 合规风险——因为这会在未经同意的情况下，将您的供应商作为数据控制者直接引入您的联系人。
- “我们符合 GDPR” 写在官网上，却拿不出任何证明文件
- 无法提供 DPA，或者在被问及只回答“稍后给您答复”
- 数据保留长达 30 天（在收到删除请求后）
- 仅限美国托管，且未提供 SCC 或传输影响评估
- 索取超出必要的 App 权限——一张名片居然需要读取通讯录、相机和定位？
- 向接收者发送营销拉新邮件——平台给您的联系人发邮件吸引其注册（未经同意便引入了新的数据控制者）
去年我对多个平台的数据删除功能进行了测试。某平台在不到 5 秒内就彻底删除了我的测试档案；而另一家虽然确认了删除，但通过直链在 28 天内依然可以访问。这就是真正合规与“形式合规”之间的本质差距。
真正符合 GDPR 的电子名片平台究竟是什么样？
下面我将以 Wave Connect 为例，带您了解真正的合规在实践中是如何落地的——因为打造这个平台正是为了完全满足这些严苛的合规要求。
双重认证体系：SOC 2 Type II + GDPR
SOC 2 涵盖安全控制（加密、访问管理、事件响应）。GDPR 则保障数据权利（知情同意、数据擦除、可携带性）。二者缺一不可。一个仅有 SOC 2 却忽视 GDPR 的平台，在合规上只能算做了一半。Wave 同时具备这两项资质，并由独立机构进行年度 SOC 2 审计。关于 SOC 2 对电子名片意味着什么，我专门写了一篇深度解读文章。
通过白标域名保障数据主权
有一点常常被大多数人忽视：当您团队的电子名片托管在 cards.yourcompany.com 而非 vendor-name.com/your-card 上时，您就掌握了完整的数据主权。数据直接通过您的域名传输。这对于满足 Schrems II 裁决合规以及有严格数据驻留要求的组织而言，是一项至关重要的差异化优势。
基于浏览器的纯网页端架构 = 更少的数据泄露风险点
无需安装 App，意味着不需要申请设备权限，不读取通讯录，也没有后台数据同步。从 GDPR 第 25 条的角度来看，基于浏览器的平台在架构上更容易接受审计，因为潜在的安全暴露面被降到了最低。
实时数据删除
所谓实时，就是字面意思——无需排队等待，绝非“30 个工作日内处理”。一旦用户或管理员发起删除请求，数据即刻被彻底清除。这正是第 17 条的要求，也是您的 DPO 会重点审查的要点。
绝无任何推销拉新行为
这一点对 GDPR 合规的重要性往往被低估。当平台给名片接收者发送推广邮件邀请注册时，该供应商在未经联系人同意的情况下，实际上已经成为了他们数据的数据控制者。Wave 绝不这样做——您的联系人永远只属于您。
条款明确的 DPA
Wave 提供包含责任上限、透明子处理方名单、24 小时内数据泄露通知以及合同终止时数据销毁证明的 DPA。如果您正在评估企业级平台，这就是您理应要求的合规标准。
电子名片部署中常见的 GDPR 误区（及规避方法）
这些误区我都见过，而且不止一次。😬
误区一：以为官网上写着“符合 GDPR”就代表获得了官方认证
GDPR 并无官方认证机构。任何人都可以在其主页上宣称“符合 GDPR”。您真正需要的是切实的证据：DPA、数据处理活动记录、第三方安全审计（SOC 2、ISO 27001）以及关于其如何保障数据主体权利的具体文档。请务必核实真凭实据。
误区二：忽视美国托管平台在 Schrems II 裁决下的跨境合规风险
如果您的电子名片供应商将数据全部托管在美国，且无法提供标准合同条款加上传输影响评估，那么您就面临着合规漏洞。《欧美数据隐私框架》确实有所帮助，但前提是该供应商已通过相关认证。务必进行核实，切勿凭空假设。
误区三：遗漏签署 DPA
第 28 条明确要求数据控制者与处理者之间必须签署 DPA。我曾见过 很多团队部署了数百张名片，却从未与供应商签署过任何 DPA。如果监管机构问起“你们的处理协议在哪里？”，一旦无法提供，就会被判定违规。
误区四：未对数据删除功能进行实际测试
切勿单方面轻信供应商的口头承诺。建议创建一个测试档案，发起删除请求，随后尝试通过直链 URL、API 或缓存链接进行访问。如果在声明的删除期过后仍能访问，就说明存在严重问题。
误区五：忽视移动端 App 的系统权限
基于原生 App 的平台通常会索取通讯录、相机、定位和存储权限。每一项权限的开启都属于数据处理活动，不仅需要依据第 5 条提供正当性证明，还要记录在第 30 条的档案中。而像 Wave 这样的纯网页端替代方案则完全规避了这一问题。
误区六：遗忘维护第 30 条规定的处理活动记录
您的处理活动记录必须将电子名片平台纳入其中。建议在系统部署上线的当周就将其录入。记录内容包括：收集的数据类别、合法性依据、保留期限、子处理方以及跨境数据传输情况。
我曾见过一些团队上线了电子名片平台后，从未更新过第 30 条相关记录。半年后 DPO 在审计中发现了这个漏洞，只得手忙脚乱地追溯补全所有文档。何必冒这样的险？建议在第一天就做好规范记录。
不同行业的 GDPR 合规特殊考量
金融服务业（GDPR + MiFID II）
金融机构面临双重监管要求：MiFID II 要求留存客户沟通记录，而 GDPR 则强调数据最小化。您的电子名片平台需要精准平衡这两点——既在法定要求下留存记录，又能在收到请求时彻底删除数据。 金融服务行业的销售团队 需要具备细粒度管理员权限与审计追踪功能的平台。
律师事务所（律师-客户保密特权 + GDPR）
律师与客户之间的保密特权对数据敏感度提出了更高要求。通过电子名片交换的联系人信息可能涉及受特权保护的事项。 律师事务所 应优先选择具备端到端加密和数据主权选项的平台——您肯定不希望客户联系人数据存放在供应商的共享基础设施上。
医疗健康行业（GDPR + 国家健康数据法规）
医疗卫生机构根据 GDPR 第 9 条处理特殊类别数据。尽管电子名片本身可能不包含健康数据，但医疗机构与特定联系人之间的关联本身就可能被视为敏感信息。采用托管在欧盟境内、通过 SOC 2 认证且具备严格访问控制的平台，是该行业的基本门槛。
SaaS 与科技行业（作为客户硬性要求的 GDPR）
即使您是一家总部位于美国的 SaaS 公司，欧盟客户在采购审查期间也会严格审核您的 GDPR 合规状况。如果您的团队使用的电子名片运行在不合规的平台上，这就会成为客户供应商评估中的一项违规发现。提前选用合规认证完备的平台，能为您在未来的采购流程中免去诸多麻烦。
企业部署电子名片的 GDPR 合规自查清单
在协助每次企业级部署时，我都会使用这份分三阶段的自查清单。您可以将其打印出来或分享给您的 DPO，逐项核对落实。✅
- ☐ 已与电子名片供应商签署 DPA
- ☐ 已核实数据托管地点（涉及欧盟业务优先选择欧盟境内托管）
- ☐ 若涉及大规模数据处理，已完成数据保护影响评估（DPIA）
- ☐ 已明确并记录数据处理的合法性依据（知情同意 vs. 正当利益）
- ☐ 已审查供应商的子处理方名单
- ☐ 已确认其实时数据删除能力（并已亲自完成实际测试）
- ☐ 已更新第 30 条规定的数据处理活动记录
- ☐ 已配置与企业内部政策一致的数据保留规则
- ☐ 已配置管理员权限（明确名片的查看/编辑/删除权限）
- ☐ 已核实名片接收端不包含未经授权的第三方品牌标识或数据收集行为
- ☐ 建立了处理数据主体访问请求（DSAR）的流程
- ☐ 安排了针对管理员账户的季度访问权限审查
- ☐ 建立了数据泄露通知工作流（供应商在 24 小时内通知您，您在 72 小时内向监管机构报告）
- ☐ 规划了对 DPA 条款和供应商安全认证的年度审查
如果您正在寻找一款开箱即用、完全满足上述所有要求的平台，Wave Connect 的企业版方案正是为此类场景量身打造。具备 SOC 2 与 GDPR 双重合规认证，支持白标自定义域名、即时数据删除，并提供完备的 DPA 可随时签署。
想在正式启用企业版之前先体验一下？Wave 的永久免费方案让您可以亲身体验平台的 GDPR 合规能力——无需信用卡，没有任何附加条件。
常见问题解答
GDPR 适用于电子名片吗？
是的——电子名片包含姓名、电子邮件、电话号码等个人数据，属于 GDPR 第 2 条的管辖范围。 只要您或接收方位于欧盟境内，GDPR 即适用。
如果我的电子名片平台不符合 GDPR 会怎样？
您可能面临最高 2000 万欧元或全球年营业额 4% 的罚款（以金额较高者为准）。 作为数据控制者，法律责任由您的企业承担，而非平台供应商。
我可以在欧盟使用托管在美国的电子名片吗？
可以，但前提是必须具备标准合同条款（SCC）并完成数据传输影响评估（TIA）。 采用欧盟本地托管的平台或白标域名可以大幅简化合规流程。
什么是 DPA？使用电子名片需要签署 DPA 吗？
数据处理协议（DPA）是依据 GDPR 第 28 条要求，由您（控制者）与平台供应商（处理者）之间签署的法定合同。 是的，在正式部署之前您必须签署一份 DPA。
如何核实平台的 GDPR 合规性？
向供应商索取其 DPA、子处理者清单、数据删除流程以及第三方安全认证（如 SOC 2 Type II、ISO 27001）。 市场上并不存在官方的“GDPR 认证”——请务必核查书面凭证。
GDPR 中的被遗忘权（删除权）在电子名片中指什么？
GDPR 第 17 条赋予个人要求在无不当延误的情况下删除其个人数据的权利。 您的平台应支持即时删除，而不是保留 30 天的缓冲期。
基于浏览器的电子名片比 App 更符合 GDPR 要求吗？
基于浏览器的平台在架构上更容易实现 GDPR 合规，因为它们不需要请求设备权限（如通讯录、相机、位置等），从而免去了在第 25 条下证明权限合理性的负担。
电子名片中的“默认隐私保护设计”（Privacy by Design）是什么？
GDPR 第 25 条要求平台从一开始就将数据保护融入系统架构设计中，而非事后补充。 相比 App 类方案，仅收集最低限度必要数据的网页端平台能够更自然地达到这一标准。
为了满足 GDPR 合规，我需要使用白标域名吗？
这不是硬性要求，但白标域名（例如 cards.yourcompany.com）能够简化数据主权管理，并有助于遵循 Schrems II 判决的要求。 此时数据通过您自己的域名传输，而非第三方供应商的基础设施。
根据 GDPR，平台可以将已请求删除的数据保留多久？
GDPR 要求“在无不当延误的情况下”删除数据，监管机构通常将其解释为立即或在数天内完成。 若平台在收到删除请求后仍保留数据 30 天，将带来合规风险。
作者简介：George El-Hage 是 Wave Connect 的创始人。Wave Connect 是一家通过 SOC 2 Type II 认证的电子名片平台，为全球超过 200,000 名专业人士提供服务。George 在金融服务、医疗保健和法律等强监管行业拥有 6 年以上电子名片部署经验，专注于联系人分享技术中的企业合规与数据隐私。欢迎在 LinkedIn 上与他建立联系。
