数据合规不是选做题
2018年GDPR生效，调研数据隐私和数据合规从一个行业内部的职业道德话题，变成了有法律约束力的强制要求。中国也在2021年相继实施了《数据安全法》和《个人信息保护法》（PIPL），建立了完整的个人信息保护法律框架。对于在中国开展市场调研项目的企业来说，数据隐私保护不再是"做到更好"的加分项，而是必须满足的合规底线。
中国个人信息保护法对调研的核心要求
《个人信息保护法》（PIPL）的核心原则，和GDPR有高度相似之处：知情同意、最小必要原则、目的限制、存储限制和数据安全保障。
知情同意在调研场景中意味着：在收集受访者的个人信息之前，必须明确告知数据的收集目的、使用方式、保存期限，以及受访者的权利（包括查阅、更正和删除的权利），并获得受访者的明确授权。预勾选的同意框、暗藏在长篇条款中的授权声明——这类做法在法律层面是无效的。
最小必要原则要求，调研只能收集完成研究目标所必需的个人信息，不能借调研之名过度采集无关数据。在实际操作中，这意味着要对问卷中每一道涉及个人信息的题目问一下：如果这道题不收集，研究目标还能实现吗？如果能，这道题就不应该出现。
调研数据的存储和传输合规
在中国境内收集的个人信息，原则上需要在境内存储。如果研究项目需要将数据传输到境外（比如跨国企业的全球调研项目），需要满足《个人信息保护法》第38条规定的条件——通过国家安全评估、或依据相应的认证要求、或签订符合规定的数据出境标准合同。
数据在存储过程中，需要采取足够的安全措施防止泄露、篡改和丢失。这包括：访问权限控制（只有需要接触数据的人才有权限）、传输加密、以及明确的数据生命周期管理（数据保存多久，何时删除）。
受访者个人信息的匿名化处理
调研数据隐私保护的一个核心实践是匿名化处理。分析和交付的调研数据，应当无法追溯到具体的受访者个人。
真正的匿名化（不是假名化）要求：删除或不可逆地转换所有能够直接或间接识别个人身份的信息（姓名、手机号码、精确地理位置、特殊职业描述等）。对于高度细分的子群体数据，要注意小样本量数据的"重识别风险"——当某个子群体只有3-5人时，哪怕没有姓名，结合其他特征也可能识别出具体个人。
GDPR之后，中国企业需要做什么
对于有海外业务或全球调研需求的中国企业，GDPR的合规要求同样需要考虑。两套法律在核心原则上高度重叠，但在一些具体要求上有差异（如数据删除权的行使方式、跨境传输的合法依据等）。
最实际的建议是：如果你的调研项目涉及个人数据，在项目启动前就把数据隐私合规纳入设计——受访者知情同意的获取方式、数据传输路径、存储安全、使用期限和销毁机制——这些问题越早厘清，项目执行中的风险越小。