参考《个人信息保护法》、《数据安全法》、GDPR 及 CAN-SPAM Act

邮件系统的合规要求涉及多个法律管辖区域。对于国内企业，《个人信息保护法》和《数据安全法》对邮件数据的存储、处理和跨境传输提出了严格的合规要求。对于涉及境外用户的企业，GDPR 和 CAN-SPAM Act 也需纳入合规范围。

《个人信息保护法》下的邮件合规

邮件数据的个人信息属性

根据《个保法》第四条，邮箱地址本身属于个人信息（可直接或间接识别到特定个体）。邮件正文中包含的姓名、身份证号、联系方式等信息属于敏感个人信息。企业处理邮件数据时必须遵循《个保法》的告知-同意原则。

处理规则

• 最小必要：邮件系统仅收集和处理运行所必需的邮件地址和内容
• 告知同意：收集用户邮箱用于营销或数据分析必须单独征得同意
• 数据留存的限制：邮件数据的存储期限不应超过实现目的所需的最短时间
• 删除权：用户请求删除邮件数据时，企业必须在合理期限内完成

《数据安全法》的跨境传输要求

邮件系统如果使用了国际邮件服务或存储了涉及境外用户的邮件数据，可能触发《数据安全法》的跨境数据传输要求：

• 数据分类分级：对邮件数据进行分类分级管理，确定核心数据和重要数据
• 安全评估：向境外提供的邮件数据需进行安全评估
• 个人信息保护影响评估：涉及个人信息的跨境邮件交换应进行 PIA（Privacy Impact Assessment）
• 本地化存储：关键信息基础设施的邮件数据应在中国境内存储

GDPR 合规要求

如果发送邮件给欧盟境内的数据主体：

• 正确处理请求：为邮件订阅用户提供清晰的数据删除和访问请求接口
• 数据处理协议 (DPA)：使用第三方邮件服务时签订 DPA（数据处理协议）
• 数据泄露通知：邮件系统发生数据泄露应在 72 小时内通知监管机构
• 数据处理记录 (ROPA)：保留邮件数据处理活动记录

CAN-SPAM Act 合规

发送给美国用户：

• 邮件必须包含准确的 From/To/Reply-To 头部信息
• 邮件主题行不得误导
• 必须提供明确的退订方式（List-Unsubscribe 头部），退订请求需在 10 个工作日内处理
• 商业邮件必须在邮件内容中标明为广告/促销