2026 年法国电商 RGPD：CNIL 合规、Cookie 同意与数据保护义务

1. RGPD 概览 — 法国电商经营者必须了解的内容

Reglement General sur la Protection des Donnees，在国际上更广为人知的名称是 欧盟 GDPR，即欧洲议会和理事会第 (EU) 2016/679 号条例。它于 2018 年 5 月 25 日 起在全部 27 个成员国直接适用，在 2026 年，它是任何向法国销售的电商经营者必须掌握的最重要法规。法语缩写 RGPD 在行政、司法和商业实践中被广泛使用，包括 CNIL 决议、行业行为准则以及 Cour de cassation（最高法院）判例。

与其他成员国相比，法国之所以要求格外严格，在于三层法律的叠加。第一，RGPD 本身规定了实体规则：合法依据、目的限制、数据最小化、准确性、存储限制、完整性与保密性，以及统领一切的问责原则。第二， Loi Informatique et Libertes （1978 年 1 月 6 日第 78-17 号法律，2018 年经第 2018-493 号法律大幅修订，2019 年又经第 2018-1125 号法令修订）针对法国的具体情况对 RGPD 进行了调整——包括数字同意年龄（15 岁）、健康数据和司法数据的额外手续，以及规范 Cookie 和追踪器的著名第 82 条。第三，CNIL 的决议、建议、référentiels（参考标准）和沙盒成果构成了一层厚厚的操作指引，法国法院将其视为准约束性规范。

为什么电商处于 CNIL 的重点关注之下

在线商家几乎集合了 CNIL 所审查的所有处理类别：大规模处理身份和联系数据、支付数据、用于个性化的行为画像、向美国广告技术供应商的跨境传输，以及为再营销活动而长期保留 CRM 数据。CNIL 2024-2027 年战略规划明确将 电商、移动应用和数字广告 列为优先执法领域。仅在 2026 年，CNIL 就针对零售商结案了多起备受关注的案件，涉及不合规的 Cookie 横幅（视觉设计偏向“接受”）、CRM 保留时间过长（不活跃潜在客户保留超过 3 年）以及第 30 条记录缺失或过时。

对于每月有几千笔订单的典型中小型店铺，合规负担确实存在，但完全可以应对：在 CMP（Cookiebot 或 OneTrust）、记录模板和清晰的升级处理手册的支持下，集中投入几周即可完成。拥有数十万条记录、服务器端广告技术和国际仓库的大型经营者则需要结构化的 RGPD 计划，并且几乎总是需要一名全职 DPO。

您实际会用到的合法依据

• 履行合同（第 6.1.b 条） ——处理订单、配送、退货、发票和售后支持的主要依据。无需同意；这些数据是履行合同所必需的。
• 法定义务（第 6.1.c 条） ——涵盖会计保留（根据 Code de commerce 为 10 年）、开票要求、税务记录和反洗钱核查。
• 正当利益（第 6.1.f 条） ——防欺诈、IT 和网络安全、某些配置下的基础网站分析、面向专业人士的 B2B 推广。需要书面的平衡测试（LIA — 正当利益评估）。
• 同意（第 6.1.a 条） ——营销 Cookie、行为广告追踪器、面向非客户的 B2C 电子邮件/短信推广、推送通知以及任何可选的个性化功能都需要同意。

电商经营者容易误判的核心原则

CNIL 的检查报告年复一年地指出同样的错误：注册表单的必填字段过多（违反数据最小化 原则），客户账户永久保持活跃（违反存储限制 原则），非结构化的 Slack 和 Notion 导出泄露个人数据（违反完整性与保密性 原则），以及仪表板或报告中包含不必要的标识符（违反目的限制 原则）。这些问题都可以在平台设计阶段解决——而这正是 RGPD 第 25 条（设计和默认的隐私保护） 所要求的。

2. CNIL — 法国数据保护机构

CNIL 究竟是什么

Commission Nationale de l’Informatique et des Libertes 由 1978 年 1 月 6 日的 Loi Informatique et Libertes 设立，远早于现今形态的欧盟。它是法国对 SAFARI 丑闻的回应——1974 年曾有人试图以唯一的国家识别码将每位法国公民的行政档案相互关联——也是世界上最古老的独立数据保护机构之一。

CNIL 是一个 独立行政机构（autorite administrative independante，AAI），即由国家拨款，但在行使职权时不受政府层级约束。2026 年，它约有 290 名员工，其中包括强大的技术团队（CNIL LINC 实验室）、行业检查队伍、法律专家，以及负责作出处罚的 Comite（formation restreinte，限制性委员会）。

CNIL 可以对网店行使的权力

• 现场、在线和书面检查 ——CNIL 工作人员可以到访您的仓库、调取服务器日志并检查您的 CMS 配置。自 2022 年以来，在线检查（远程审计）急剧增加，主要针对 Cookie 横幅和广告技术标签。
• 正式通知（mises en demeure） ——要求在规定期限内整改的行政命令。如今许多通知都是 公开的，这会带来巨大的声誉压力。
• 行政罚款 ——根据 RGPD 第 83 条，对最严重的违规行为，最高可处 2,000 万欧元或全球年营业额的 4% （以较高者为准）；根据 2022 年引入的简易程序，Cookie 违规最高可处 营业额的 2% 的罚款。
• 按日计罚的禁令（astreintes） ——CNIL 可以责令采取具体整改措施，并对不遵守的情况按日加收罚款（例如每天 5,000 欧元）。
• 点名曝光 ——处罚决定越来越多地连同商家名称在 cnil.fr 上全文公布；媒体也会系统性地报道。

CNIL 执法的演变

CNIL 2024-2027 年战略规划宣布执法方向明确转向 更多、更快、更有针对性 。根据 2022 年 3 月 24 日法令引入的简易处罚程序，限制性委员会的单个成员即可针对明显违规行为——尤其是 Cookie 同意问题——对中小企业处以最高 20,000 欧元 的罚款。到 2026 年，仅这一渠道每年就针对小商家结案数百起执法行动。

DPO 与 CNIL：任命程序

如果您任命了数据保护官，必须通过 CNIL 专用门户 正式指定 。指定信息包括 DPO 的联系方式，随后可被公开查询。在检查过程中，CNIL 将 DPO 视为主要联系人：DPO 缺失、名不副实或不履职，在处罚决定中屡屡被列为加重情节。

3. Cookie 同意 — 横幅是强制性的

法律基础：Loi Informatique et Libertes 第 82 条

在法国，Cookie 和其他追踪器受 Loi Informatique et Libertes 第 82 条规范，该条转化了电子隐私指令（2002/58/EC，经 2009/136/EC 修订）第 5(3) 条。规则很简单： 凡在用户终端上存储或访问信息，而这并非提供用户明确请求的在线通信服务所严格必需的，都需要事先获得同意.

CNIL 在 第 2020-091 号决议 （2020 年 9 月 17 日的建议）及配套指南中明确了操作规则，并通过截至 2026 年的执法实践加以补充。核心要求概述如下。

2026 年合规的 Cookie 横幅必须做到什么

• 在获得同意前阻止所有非必要 Cookie。 在用户点击“接受”（或作出细分选择）之前，不得触发任何分析、广告标签、Hotjar/Clarity 或 Facebook Pixel。
• 在同一层级提供“全部接受”和“全部拒绝”。 拒绝必须和接受一样容易；两个按钮的视觉权重必须相同（颜色对比、大小、位置）。
• 清楚列出各项目的 ——受众测量、广告、社交分享、个性化等，并能针对每个目的分别给予或拒绝同意。
• 允许随时撤回 ，通过一个常驻的重新打开机制（通常是页脚中的小 Cookie 图标）。
• 保留同意证明 ——同意 ID、时间戳、CMP 版本、目的、供应商列表、截断后的 IP——保存期限为同意有效期加上合理的举证期（CNIL 建议最多为撤回后 6 个月）。

禁止事项

• 预先勾选的复选框 ——同意必须是主动作出的。
• 没有替代方案的 Cookie 墙 ——根据 CNIL 2022 年的 Cookie 墙指引，只有在提供真正等效的替代方案（通常是定价合理的「付费或同意」模式）时，以接受 Cookie 作为访问内容的条件才是合法的。
• 视觉偏向 ——彩色的“接受”按钮对比灰色的“拒绝”按钮，是多起 CNIL 罚款中被点名的典型违规。
• 「Continuer la navigation」（继续浏览）式的默示同意 ——仅滚动页面或跳转到其他页面并不构成同意。
• 捆绑同意 ——用一个“接受”按钮涵盖 30 家不同供应商而无细分控制，不符合“具体”要求。

Cookiebot、OneTrust 等 — 如何选择 CMP

同意管理平台（CMP）可自动完成横幅展示、同意采集、供应商管理和证明存储。法国使用最广泛的两款 CMP 是 Cookiebot （Usercentrics 集团，丹麦）和 OneTrust （美国，提供欧盟数据驻留选项）。两者都与 IAB TCF v2.2 框架集成，都提供按 CNIL 指引预先配置的法国本地化模板，也都可以通过 Google Tag Manager 进行服务器端渲染。

值得考虑的法国替代方案： Axeptio （巴黎，「French Tech」标签）、 Didomi （巴黎，在 Euronext Growth 上市）、 Sirdata Choice，以及开源的 Tarte au Citron。无论您选择哪款 CMP，作为控制者，合规责任仍由您承担——根据第 28 条，CMP 只是处理者。

4. 隐私政策 — 每家店铺都必须发布的文件

RGPD 第 13 条和第 14 条：告知义务

RGPD 第 13 条和第 14 条详尽列出了必须提供给数据主体的信息：直接收集数据时须 在收集时 提供（第 13 条），间接收集时须在合理期限内提供（第 14 条，最长一个月，例如通过营销数据经纪商进行数据补充）。

法国电商隐私政策的必备内容

• 控制者的身份和联系方式 ——完整法定名称、SIREN、注册地址、电子联系方式。
• DPO 的联系方式 （如已任命；例如 rf.pohsruoy@opd).
• 处理目的及合法依据 （逐项说明）——订单处理（合同）、会计保留（法定义务）、新闻通讯（同意）、防欺诈（正当利益）等。
• 接收方或接收方类别 ——承运商（Colissimo、Chronopost、Mondial Relay、DPD France）、支付处理商（Stripe、Adyen、PayPal、PayTR）、CRM 工具、广告技术供应商。
• 跨境传输 ——如有任何数据离开 EEA，须写明目的国、保障措施（DPF、SCC、BCR、例外情形）以及获取副本的途径。
• 保留期限 ——按数据类别和目的分别说明，而不是笼统的「在必要期限内」。
• 数据主体权利 ——访问、更正、删除、限制处理、可携带、反对、与自动化决策相关的权利，以及向 CNIL 投诉的权利。
• 数据来源 （数据并非直接从数据主体处收集时）。
• 是否存在自动化决策 （包括画像），并提供有关其逻辑和后果的有意义信息（例如基于欺诈评分的拦截、动态定价）。

实用撰写建议

CNIL 已经明确表示——尤其是在其 2022 年《清晰易懂信息的具体步骤》指引中——隐私政策必须 简明、透明、易懂且易于获取，并使用 清晰平实的语言。长篇累牍的法律术语不合规。2026 年普遍接受的模式是两层式告知：顶部是简短、便于浏览的摘要（表格、图标、平实的法语），下方按目的提供更详细的内容。

在每个页脚、每个表单的同意复选框附近以及每封交易邮件（订单确认、发货通知、售后）中都放置隐私政策链接。隐私政策必须 有版本号并注明日期；实质性变更须通知数据主体。

5. 第 30 条记录与数据保护官（DPO）

第 30 条记录：问责制的支柱

根据 RGPD 第 30 条，每个控制者和每个处理者都必须维护一份书面的处理活动记录（Registre des activites de traitement，RAT）。这是法国电商 DPO 最值得保持更新的文件，因为 CNIL 检查员在每次审计开始时首先要求查看的就是它。

记录中应包含的内容

• 控制者、共同控制者、代表和 DPO 的名称及联系方式。
• 处理目的——每个目的一行（订单管理、客户账户、新闻通讯、推广、会员忠诚度、防欺诈等）。
• 数据主体类别和个人数据类别的描述。
• 数据已经或将要披露给的接收方类别，包括第三国的接收方。
• 如适用，向第三国或国际组织的传输，并记录相应的保障措施。
• 如可能，各类数据的预期删除期限——即著名的「保留期限」一栏。
• 如可能，技术和组织安全措施的总体描述。

何时必须任命 DPO

RGPD 第 37 条规定了必须指定 DPO 的三种情形。对电商经营者而言，最相关的是：

• 核心活动包括需要对数据主体进行大规模、定期且系统性监控的处理操作。 这通常涵盖大型会员忠诚度计划、行为推荐系统、持续的潜在客户评分以及大规模再营销。
• 核心活动包括大规模处理特殊类别数据 （健康、生物识别、宗教、政治）或与刑事定罪相关的数据。纯粹销售普通商品的电商通常不会触发这一条，但药妆、处方眼镜、生物识别尺码测量及类似垂直领域则会。

即使并非强制，CNIL 也强烈建议在员工约达 50 人、年在线营业额达 1,000 万欧元，或 CRM 中活跃客户记录超过 100,000 条时指定一名 DPO。DPO 可以是内部人员，也可以是外部（共享）人员，且必须直接向最高管理层汇报。

DPO 的独立性与资源

RGPD 第 38 条和第 39 条保障 DPO 的独立性：不得因其履行职责而受到处罚或解雇，必须为其提供必要的资源，并且必须适当、及时地让其参与所有与个人数据相关的事项。Cour de cassation 已（在 2023-2024 年的多项判决中）确认，对 DPO 进行报复——例如在其提出批评意见后将其边缘化——属于不法行为。

6. 数据主体权利 — 访问、更正、删除、可携带

八项权利一览

• 访问权（第 15 条） ——获得处理情况的确认及数据副本。
• 更正权（第 16 条） ——更正不准确的数据，补全不完整的数据。
• 删除权 / 被遗忘权（第 17 条） ——在规定情形下要求删除（撤回同意、数据不再必要、非法处理等）。
• 限制处理权（第 18 条） ——在争议期间冻结处理。
• 数据可携带权（第 20 条） ——以结构化、常用且机器可读的格式获取个人数据，并在技术可行时将其传输给另一控制者。
• 反对权（第 21 条） ——尤其是针对直接营销的反对权，这一权利是绝对且免费的。
• 与自动化个人决策（包括画像）相关的权利（第 22 条） ——有权不受仅基于自动化处理、并产生法律效力或类似重大影响的决策约束。
• 向监管机构投诉的权利（第 77 条） ——在法国即为 CNIL。

实践中如何处理 DSAR

对于 数据主体访问请求（DSAR） ，必须在收到后 一个月内 作出答复，复杂请求可延长两个月。答复必须免费，除非请求明显没有根据或过度（这种情况很少见）。只有在对请求者身份存在合理怀疑时，才能要求其提供身份证明——CNIL 已对多家经营者处以罚款，原因是它们系统性地要求提供护照扫描件，这属于过度要求。

稳健的 DSAR 工作流包括：受理渠道（网页表单 + 专用邮箱，如 rf.pohsruoy@opd），根据风险调整的身份验证步骤，对所有系统（CRM、ERP、订单数据库、工单系统、营销平台、广告技术 ID 关联）进行结构化检索，由审核人员遮蔽第三方数据，以及通过安全下载（加密 ZIP、有时效的链接）进行交付。

电商中的删除权：现实中的边界情况

纯粹的删除很少是绝对的。对于网店，典型做法是：

• 从 CRM 和营销工具中删除——完全删除。
• 对超过 5 年（商业诉讼时效）的订单记录进行匿名化——用哈希化的假名标识符替换姓名和地址，但保留发票金额和商品信息以供会计使用。
• 根据 Code de commerce 第 L.123-22 条，将发票在中间存储中保留 10 年 ——法定义务优先于删除请求。
• 在您的反洗钱/反恐融资政策所声明的保留期内保存欺诈评分决策——通常为业务关系结束后 5 年。

可携带的格式与范围

可携带权涵盖 由数据主体提供的 数据（账户字段、地址、其本人输入的订单历史），并以 结构化、常用且机器可读的格式 交付——实践中即 JSON 或 CSV。它不涵盖派生数据，例如欺诈评分、客户生命周期价值计算或 RFM 聚类。在技术可行时，您必须将数据直接传输给数据主体指定的另一控制者（第 20.2 条）。

7. 跨境传输 — SCC、DPF 与 Schrems II

Schrems II 之后的法律版图

欧盟法院的 Schrems II 判决（C-311/18 号案，2020 年 7 月 16 日）宣告欧美隐私盾无效，并大幅收紧了个人数据从欧盟传输到未获充分性认定的第三国的条件。此后重建的框架有三大支柱：

• 充分性认定（第 45 条） ——欧盟委员会宣布某第三国提供实质上等同的保护水平。2026 年，这包括英国、瑞士、日本、韩国、加拿大（商业领域）、新西兰、以色列、阿根廷、乌拉圭、安道尔、法罗群岛、根西岛、马恩岛、泽西岛，以及——自 2023 年 7 月 10 日起——依据 欧美数据隐私框架（DPF） 的美国（仅限经认证的进口方）。
• 适当保障措施（第 46 条） ——对于未获充分性认定的国家，最常用的工具是新版 标准合同条款 （2021 年 6 月 4 日委员会第 2021/914 号实施决定），并需结合根据 EDPB 第 01/2020 号建议进行的 传输影响评估（TIA） ，以及静态和传输中加密、假名化、对政府访问请求提出合同性质疑等补充措施。
• 例外情形（第 49 条） ——明确同意、履行合同、公共利益等。仅可用于偶发的、非系统性的传输。

这对您的技术栈意味着什么

梳理每一个接触个人数据的供应商，并标注每项传输：

• Stripe、PayPal、Adyen ——设有欧盟实体；请在 DPA 中核实签约主体。
• Google Workspace、Google Analytics 4、Google Ads ——依据 DPF 向美国传输；通常以模块 2（控制者至处理者）SCC 作为后备。
• AWS、Cloudflare、Datadog ——传输规则取决于所选区域。欧盟区域部署 + DPF 兜底是当前的最佳实践。
• Meta（Facebook、Instagram）像素、TikTok 像素 ——向美国/中国传输；需同意 + SCC + 在 TIA 中记录风险接受。
• 邮件工具（SendGrid、Mailchimp、Klaviyo） ——核查签约主体、欧盟驻留选项和 DPF 状态。

30 分钟完成 TIA

传输影响评估是一份结构化文件，记录：数据性质、接收方、进口国、该国的法律框架（政府访问、国家安全例外）、实际被访问的可能性、已实施的补充措施，以及由此得出的剩余风险。EDPB 的六步法是事实上的标准。对每个供应商，请将 TIA 与第 30 条记录中的相应行存放在一起。

8. 泄露通知 — 72 小时倒计时

什么算个人数据泄露

RGPD 第 4(12) 条将个人数据泄露定义为 因安全漏洞导致所传输、存储或以其他方式处理的个人数据被意外或非法销毁、丢失、篡改、未经授权披露或访问。在电商领域，反复出现的场景包括：管理员账户被盗导致客户名单外泄、S3 存储桶配置错误导致发票外泄、钓鱼引发的仓库欺诈泄露收货地址、存有未加密 CRM 导出数据的笔记本电脑被盗，或撞库攻击使攻击者进入客户账户。

72 小时通知义务

根据 RGPD 第 33 条，控制者必须 在知悉后不得无故拖延，并在可行时不迟于 72 小时内通知 CNIL，除非该泄露不太可能对自然人的权利和自由造成风险。如果通知晚于 72 小时，必须同时说明延迟的原因。

通知通过 CNIL 在线门户 notifications.cnil.fr提交。通知内容必须包括泄露的性质、涉及的数据主体和记录的类别及大致数量、DPO 联系方式、可能的后果，以及已采取或拟采取的措施。

何时还必须通知数据主体

根据 第 34 条，当泄露 可能导致高风险 （对自然人的权利和自由）时，您必须以清晰平实的语言，不得无故拖延地告知受影响的个人。当财务数据、身份证件、健康数据或大量联系数据外泄时，通常即构成高风险。

存在豁免情形：如果您采取了强加密或假名化措施，使数据对未经授权方而言无法识读；或者您此后已采取措施，确保高风险不再可能发生；或者逐一通知需要付出不成比例的努力（此时改用公开通告）。

72 小时应对手册

1. 第 0 小时 ——发出警报。SOC 或系统管理员创建事件工单；立即呼叫 DPO。
2. 第 0 至 4 小时 ——分级研判。是否确实涉及个人数据？涉及哪些类别、多大数量、什么时间窗口？在日志和 IOC 轮转之前做好快照。
3. 第 4 至 24 小时 ——遏制并保全取证。轮换凭证、吊销令牌、封禁 IP、冻结数据导出。
4. 第 24 至 48 小时 ——依据 EDPB 关于个人数据泄露通知示例的第 9/2022 号指南进行风险评估。决定：是否通知 CNIL？是否通知数据主体？
5. 第 72 小时之前 ——通过 notifications.cnil.fr 提交 CNIL 通知。如果事实仍在查明中，可先提交部分通知，之后再更新。
6. 事件之后 ——根本原因分析、整改计划、在内部泄露日志中登记该泄露（第 33.5 条）、向管理层汇报。

维护泄露登记簿

RGPD 第 33.5 条要求控制者记录每一起个人数据泄露，包括事实、影响和所采取的补救措施。该登记簿须应 CNIL 要求提供。即使是未通知的泄露（因为评估为低风险）也必须连同理由一起记录——这是 CNIL 检查员最先询问的事项之一。

9. 无 Cookie 分析 — CNIL 指引与工具

为什么 CNIL 推动无 Cookie 化

过去五年来，CNIL 一直积极鼓励法国的发布商和商家转向 无 Cookie 或符合豁免条件的分析方案。理由很简单：严格配置的受众测量可以纳入第 82 条的同意豁免范围，这意味着没有 Cookie 横幅带来的摩擦，不会丢失 30% 以上选择全部拒绝的用户的数据，合规状况也清爽得多。

CNIL 受众测量豁免标准

• 严格限于为控制者自身利益测量网站受众。
• 不与其他处理相匹配（不进行跨站画像，不构建行为广告受众）。
• 不向第三方传输数据——仅允许处理者关系。
• 截断 IP 地址（IPv4 至少截断最后一个字节）并使用短标识符。
• 限制保留期限——CNIL 接受 Cookie 或标识符最长 13 个月，原始数据最长 25 个月。
• 在隐私政策中向用户提供清晰说明，并提供有记录的退出选项。

符合豁免条件的工具

• Matomo（自托管或 Matomo Cloud EU） ——历史悠久的参照标准，配有 CNIL 认可的配置指南。
• Piwik PRO Core Plan ——欧盟数据驻留（法兰克福、华沙），CNIL 豁免配置有据可查。
• AT Internet Analytics Suite（现属 Piano） ——法国企业级标准，被大型媒体集团采用。
• Plausible（欧盟托管） ——轻量级，完全不使用 Cookie。
• Fathom Analytics、Simple Analytics ——极简的无 Cookie 工具。

那么 Google Analytics 4 呢？

在欧美数据隐私框架充分性认定（2023 年 7 月 10 日）之后，GA4 在受控配置下重新变得可用：服务器端标记、IP 匿名化、未经同意不使用 User-ID、未经同意不使用 Google Signals，最好再加上第一方域名代理。不过，CNIL 仍建议尽可能 改用第一方或完全无 Cookie 的替代方案 ，尤其是那些没有工程资源来维护繁重 GA4 配置的中小企业。

10. CRM 合规 — 推广、保留期限与营销权利

CNIL 商业推广参考标准

CNIL 的 Referentiel relatif aux traitements de donnees a caractere personnel mis en oeuvre aux fins de gestion des activites commerciales （《商业活动管理中个人数据处理参考标准》，2022 年更新，2026 年全年适用）是法国 CRM 合规的实用“圣经”。它为目的、保留期限、数据质量和安全设定了基准，CNIL 在检查中以此为底线。

B2C 推广：事先选择加入

根据 Code des postes et des communications electroniques（CPCE）第 L.34-5 条 ，通过电子邮件、短信、传真或自动呼叫系统向自然人进行商业推广，需要获得 事先自由、具体且知情的同意。有一个著名的例外—— 面向客户的软性选择加入（soft opt-in）：:

• 电子邮件地址是在销售过程中收集的。
• 推广内容涉及类似的产品或服务。
• 在收集时已告知潜在客户，并提供简单、免费的拒绝方式。
• 之后的每条消息都包含清晰且免费的退订链接。

对于向专业人士的职能地址（例如 rf.ynapmoc@tcatnoc）推广与其工作相关的产品和服务的 B2B 推广，适用选择退出机制——前提是满足第 13 条的告知要求。

CRM 保留期限基准

• 活跃潜在客户 ——最长为 自潜在客户最后一次主动联系起 3 年 （打开、点击、请求、最近一次购买）。完全不活跃满 3 年后，予以归档或删除。
• 活跃客户 ——商业关系存续期间加上相应的诉讼时效。
• 发票 ——根据 Code de commerce 保存 10 年，存放于中间档案。
• 营销选择加入 / 选择退出记录 ——同意有效期加上 3 年，用于举证。
• 不活跃的新闻通讯订阅者 ——建议在 18-24 个月零互动后开展再激活活动；36 个月后删除。

会员忠诚度计划、画像与评分

将购买历史与行为数据结合以构建细分群体（RFM、相似人群、流失评分）的会员忠诚度计划，通常需要根据第 35 条进行 DPIA。请准备好记录：画像的目的、所用数据类别、对数据主体的影响（细分、促销资格、动态定价容忍度），以及保障措施（选择退出、对边界决策进行人工复核、定期审查偏差）。

CRM 工具：哪些供应商对 CNIL 友好？

2026 年法国电商常用的 CRM 包括 Brevo （原 Sendinblue，总部位于巴黎）、 Splio, Actito （比利时，欧盟托管）、 Salesforce Marketing Cloud （美国，提供欧盟数据驻留选项 + DPF）、 HubSpot （美国，DPF）、 Klaviyo （美国，DPF）以及 Customer.io。无论选择哪种工具，都要确保已签订 数据处理协议（第 28 条） ，数据离开欧盟时已签署 SCC 模块 2，并将保留规则直接写入平台（不活跃满 N 个月后自动清除）。

常见问题（FAQ）

结语 — 让 RGPD 成为竞争优势

在法国，RGPD 合规不再是一次性的法律冲刺，而是一项持续的运营纪律。CNIL 已通过其 2024-2027 年战略规划和不断加快的处罚节奏明确表示，2026 年是在线商家必须补齐差距的一年。好消息是，各项基础构件都有完善的文档：严谨的 Cookie 横幅（Cookiebot、OneTrust、Axeptio、Didomi）、清晰的隐私政策、最新的第 30 条记录、拥有实权的 DPO、一个月内给出答复的 DSAR 工作流、针对每个非欧盟供应商的 SCC 和 TIA、72 小时泄露应对手册，以及尽可能采用的无 Cookie 分析。

将 RGPD 视为“基础管道”——内置于平台而非事后加装——的商家，一致反馈了两项附带效果：当同意横幅不再阻断一切时，分析信号可恢复 25-40%；客户信任度提升，进而转化为更好的邮件互动和更低的流失率。做对了，RGPD 就是增长杠杆。Zunapro 的法国中心为您提供模板、自动化和审计记录，让您在不拖慢工程路线图的情况下建立这样的合规体系。