GDPR小企业合规实用指南（2026年）

介绍

**通用数据保护条例（GDPR）**于2018年5月生效，适用于所有处理欧盟公民个人数据的企业——无论其规模大小。许多葡萄牙小企业主仍然认为GDPR"只适用于大公司"，但这是一个危险的误解。

2024年，葡萄牙国家数据保护委员会（CNPD）共开出23张罚单，总额138,375欧元。葡萄牙第58/2019号法律规定中小企业最低罚款为1,000欧元，最高可达2,000万欧元或全球营业额的4%。

中小企业的基本义务

1. 处理的法律依据

同意、合同执行、法律义务或合法利益。

2. 隐私政策

每家公司都必须有清晰、可访问的隐私政策。

3. 处理活动记录

虽然GDPR为250人以下的公司提供了豁免，但如果处理不是偶尔的或涉及特殊类别数据，则此豁免不适用。

4. 数据保护官（DPO）

大多数小企业不需要任命DPO，但建议指定内部数据保护联系人。

5. 同意和Cookie

使用非必要Cookie的网站必须展示Cookie横幅并获得事先知情同意。

6. 数据主体权利

客户和员工有权访问、更正、删除、可移植性、反对和限制。公司必须在30天内回复。

葡萄牙的罚款

结论

GDPR合规不仅是法律义务，也是展示专业性和赢得客户信任的机会。

本文仅供参考，不构成法律建议。