API与GDPR：明确适用范围、义务和数据保护

使用HTTPS并不等于API符合GDPR。应先确定适用范围、处理目的和合法依据，再把数据与访问权限限制在必要范围内。

地域范围与合法依据

第3条涉及在欧盟机构活动背景下开展的处理，以及符合特定条件的、向欧盟境内人员提供商品或服务或监测其行为的处理。仅用国籍或欧洲居住身份无法概括该范围。同意只是第6条规定的合法依据之一；第9条对特殊类别个人数据另有条件。

技术控制与可证明的责任

调用者通过身份验证，并不意味着可以读取所有记录。应按对象和操作检查权限，减少返回字段并保护传输。不要在日志中写入秘密或不必要的个人数据。明确控制者与处理者、保存期限、个人权利和国际传输。处理很可能带来高风险时，第35条要求开展数据保护影响评估。

最新动态：区分谈判授权与现行法律

欧盟理事会于2026年10月21日宣布了对Digital Omnibus的谈判立场，其中涉及数据保护规则。谈判授权不等于最终通过立法。仅凭这项公告，不能把现行义务替换为拟议的修改。

为事件响应做好准备

• 更新处理文档及控制措施的证据。
• 控制者获悉数据泄露后应无不当延迟地通知监管机构，且在可行时于72小时内通知；不太可能危及权利和自由的情况除外（第33条）。
• 处理者应无不当延迟地通知控制者；日志也应受到保护并限制保存期限。

来源与适用范围

• EUR-Lex · GDPR / RGPD · 2016/679 · Art. 3, 5, 6, 9, 25, 28, 32, 33, 35, 44–49
• CNIL · API · 2023
• OWASP · API1:2023 · Broken Object Level Authorization
• Council of the EU · Digital Omnibus · 21 October 2026
• CNIL · Art. 33

编辑核验日期：2026年10月31日。

{
    "compressed_mb": 2,
    "expanded_mb": 600,
    "aggregate_budget_mb": 100,
    "first_files_valid": true,
    "expected": "stop_on_actual_overrun_and_do_not_promote"
}