简单来说，GDPR本身没有明文写上“必须使用HTTPS”，但它通过一系列核心安全原则，确立了对个人数据进行加密保护的法律义务，而HTTPS是实现该义务的基石性技术措施。下面我具体说一下。
一、GDPR的核心安全义务与HTTPS
GDPR规定，数据控制者必须实施适当的技术和组织措施，以确保与风险相称的安全水平，并默认遵循数据保护原则（如完整性和保密性）。在评估安全措施时，必须考虑技术最新水平、处理的性质和风险。
使用不加密的HTTP协议传输个人数据，被视为无法提供充分保护，并违反上述GDPR原则。而HTTPS通过SSL证书协议，正是满足数据传输环节“完整性和保密性”要求的最基本、最普遍的技术手段。
GDPR核心要求 / 原则 对数据处理的影响 HTTPS/TLS的对应作用
完整性与保密性 防止数据在传输和存储中被窃取、篡改或泄露。 对传输通道进行加密，并验证数据完整性。
默认数据保护 从设计阶段就将隐私保护融入，默认采用最高隐私设置。 对网站所有页面启用HTTPS，是“默认保护”的基础。
风险相称的安全措施 根据数据处理的风险等级，采取相应强度的安全措施。 被视为防范传输中被窃听或篡改风险的最低限度必要措施。
二、GDPR合规对HTTPS的具体技术要求
为确保合规，在实施HTTPS时需满足以下具体技术要求：
使用安全的协议版本：应采用TLS 1.2或更高版本（TLS 1.3更优），并禁用已过时或不安全的SSL证书版本。
强制HTTPS连接：应对网站的所有页面强制使用HTTPS，将HTTP请求重定向到HTTPS，并可考虑部署HSTS策略，防止协议降级攻击。
确保全面加密：加密需覆盖所有传输个人数据的环节，包括网站表单、移动应用API接口以及后台管理系统的访问等。
实施纵深安全策略：HTTPS是基础，但GDPR要求的安全是体系化的，还应结合强密码策略、定期安全更新、数据访问控制等措施。
三、法律后果与结论
不采用HTTPS等加密措施，会直接违反GDPR的安全要求。一旦发生数据泄露，监管机构不仅会追责泄露本身，还会审查安全措施的充分性。处罚可能包括高达全球年营业额4%或2000万欧元的行政罚款（以较高者为准），以及对违规操作的责令整改。
总结一下：从法律实践和监管角度看，在处理欧盟居民个人数据的网站或应用上启用HTTPS，不仅是一项最佳实践，更是满足GDPR安全合规义务的一项明确的、事实上的法律要求。
如果客户有特定场景（如电商支付、用户登录）下的HTTPS具体配置建议，我们可以提供更详细的信息。
