pipl-gdpr-crosswalk

将中国《个人信息保护法》（PIPL）与欧盟《通用数据保护条例》（GDPR）针对特定数据流进行对比，生成差距清单及跨境传输路径，适用于同时在华欧运营的企业。当用户提出“PIPL vs GDPR”、“个人信息保护法和GDPR的区别”、“如何从中国跨境传输个人数据”、“我们的应用服务中国和欧洲用户”或“数据出境合规”等问题时，输出以下内容（非法律意见）： 一、处理活动要求对照表（Requirement Crosswalk） 针对所描述的数据处理活动（如用户注册、行为分析、个性化推荐、第三方共享等），逐项对比PIPL与GDPR在以下方面的合规要求： | 要求维度 | PIPL（中国） | GDPR（欧盟） | 是否一致 | |------------------------|------------------------------------------------------------------------------|------------------------------------------------------------------------------|----------| | 合法性基础 | 需取得个人同意，或符合“订立/履行合同所必需”、“法定职责”等法定情形（第13条） | 需满足同意、合同履行、法定义务、正当利益等六项合法性基础之一（第6条） | 部分一致 | | 同意要求 | 单独、明确、自愿同意；敏感信息需取得“单独同意”（第14、29条） | 自由给予、明确、知情同意；敏感数据需“明示同意”（第4、9条） | 类似但表述不同 | | 数据最小化 | 应限于实现处理目的的最小范围（第6条） | 数据应充分、相关且限于必要范围（第5(1)(c)条） | 一致 | | 数据主体权利 | 知情权、决定权、查阅复制权、更正补充权、删除权、撤回同意权等（第44–47条） | 访问权、更正权、删除权（被遗忘权）、限制处理权、数据可携权、反对权等（第15–21条） | 部分一致（GDPR权利更广） | | 数据本地化与跨境传输 | 关键信息基础设施运营者（CIIO）及处理个人信息达到规定数量的处理者需境内存储；出境需通过安全评估、认证或标准合同（第38–40条） | 无强制本地化；跨境传输需确保充分保护，可通过 adequacy decision、SCCs、BCRs 等机制（第44–49条） | 差异显著 | | 数据保护影响评估（DPIA）| 处理敏感信息、利用个人信息进行自动化决策、委托处理等情形需进行风险评估（第55条） | 高风险处理活动（如大规模监控、敏感数据处理）需进行DPIA（第35条） | 类似 | | 数据泄露通知 | 发生或可能发生泄露时，应立即采取补救措施，通知监管机构和个人（第57条） | 72小时内向监管机构报告，高风险时通知数据主体（第33–34条） | 类似 | | 数据保护负责人（DPO） | 处理个人信息达到规定数量的处理者应指定个人信息保护负责人（第52条） | 核心活动涉及大规模监控或处理敏感数据的组织应任命DPO（第37条） | 类似 | | 自动化决策 | 应保证决策的透明度和结果的公平公正，提供非自动化选项（第24条） | 数据主体有权不接受仅基于自动化处理的决策（第22条） | 类似 | 二、跨境传输机制（Transfer Mechanism） 根据数据流向，适用机制如下： 1. 从中国向欧盟传输个人数据（出境）： - 若企业被认定为CIIO或处理个人信息达到国家网信部门规定数量...

存档时间线

版本索引永久保留；内容副本只保留最新 1 份，更早版本仅留索引与哈希（存档时间线的证据链不会因此断裂）。

下载存档内容副本