一、结论先行：不是「选一个遵守」，而是「叠加履行」
中国《个人信息保护法》与欧盟《通用数据保护条例》（GDPR）是两套独立的规则体系，不存在互相替代关系。一家同时在中国和欧盟开展业务的企业，必须同时满足两套要求：对中国境内自然人的个人信息处理适用个保法，对欧盟境内数据主体适用 GDPR。
实务中的正确做法不是「按更严的那个执行」这么简单，而是逐项比对、按较严标准设计、对冲突项单独处理。因为两者在若干制度上不是「严宽」关系，而是「结构不同」——例如跨境传输的合法机制、同意之外的合法性基础、个人权利的类型，都存在无法简单套用的差异。
二、十项核心对比
| 维度 | 中国《个人信息保护法》 | 欧盟 GDPR | 实务影响 |
|---|---|---|---|
| 适用范围与域外效力 | 境内处理活动；境外处理境内自然人个人信息，以向境内提供产品或服务、分析评估境内自然人行为为目的的，同样适用 | 设立在欧盟的实体；境外实体向欧盟数据主体提供商品服务或监控其行为，同样适用 | 均采效果原则，需分别判断触发条件 |
| 合法性基础 | 第十三条列举七项：同意、订立履行合同必需、履行法定职责义务、公共卫生事件等紧急情况、新闻报道舆论监督、已合法公开信息、其他 | 第六条列举六项：同意、合同履行、法定义务、重大利益、公共任务、合法利益 | GDPR 有「合法利益」弹性基础，个保法无对应项 |
| 同意标准 | 自愿、明确；处理敏感个人信息、向他人提供、公开、跨境提供等须单独同意 | 自由给出、具体、知情、明确的意思表示；特殊类别数据须明示同意 | 均要求可撤回、可证明，形式要求接近 |
| 敏感/特殊类别数据 | 第二十八条：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹及不满十四周岁未成年人信息 | 第九条：种族民族、政治观点、宗教哲学信仰、工会成员、基因、生物识别、健康、性生活性取向 | 清单不完全重合，须取并集管理 |
| 个人权利 | 知情、决定、查阅复制、可携带、更正补充、删除、解释说明 | 知情、访问、更正、删除（被遗忘）、限制处理、可携带、反对、不受自动化决策约束 | GDPR 多出「限制处理」「反对权」 |
| 隐私/数据保护官 | 第五十二条：达到规定数量的处理者应指定个人信息保护负责人 | 第三十七条：特定情形须指定数据保护官（DPO） | 触发条件不同，可能需同时设置 |
| 影响评估 | 第五十五、五十六条：五类情形须评估，报告与记录保存至少三年 | 第三十五条：高风险处理须做数据保护影响评估（DPIA） | 方法可共用，侧重点不同 |
| 跨境传输机制 | 安全评估、标准合同、认证三条路径 | 充分性认定、标准合同条款（SCC）、约束性公司规则（BCR）等 | 机制不互认，须分别满足 |
| 泄露通知 | 第五十七条：立即采取补救措施，通知监管部门与个人 | 第三十三、三十四条：知悉后72 小时内通知监管机构，高风险时通知数据主体 | GDPR 有硬性时限，应按 72 小时设计流程 |
| 罚则 | 第六十六条：情节严重可处五千万元以下或上一年度营业额百分之五以下罚款 | 第八十三条：最高二千万欧元或全球年营业额百分之四，取较高者 | GDPR 罚则以全球营业额为基数，金额风险更高 |
三、三个结构性差异需要特别注意
第一，合法性基础的弹性不同。GDPR 的「合法利益」为企业在营销、反欺诈、内部管理等场景提供了同意义务之外的依据；个保法没有这一项，第十三条规定的情形更为封闭。因此在中国的处理活动，不能照搬欧盟的「合法利益评估（LIA）」结论。
第二，个人权利的类型不同。GDPR 的「限制处理权」与「反对权」在个保法中没有对应条文。面向欧盟数据主体的产品，必须单独设计这两项功能，不能只做查阅、删除、可携带。
第三，跨境机制的互不认。欧盟的充分性认定不覆盖中国大陆，中国的安全评估结论也不为欧盟承认。中欧之间的数据传输，需要在中国侧走安全评估/标准合同/认证，在欧盟侧走 SCC 或 BCR，两条线并行。
四、出海企业的双重合规设计方法
- 建一张映射表：按业务场景列出「处理的个人信息类别—涉及的法域—适用的合法性基础—需履行的告知与同意—跨境路径」，一个场景一行，避免笼统按「中国版」「欧盟版」两套文档并行。
- 告知与同意文本分层：以场景为单位撰写告知文本，同一场景下按法域差异补充专项条款（如 GDPR 要求的 DPO 联系方式、限制处理权的行使方式）。
- 权利响应走同一入口：建立统一的个人权利请求受理渠道，内部按法域分流，对外呈现一致体验。响应时限取较严者（GDPR 原则为一个月）。
- 跨境路径分别申报：中国侧按第三十八条选择路径并完成评估或备案；欧盟侧签订 SCC 并完成传输影响评估（TIA）。两套文件均须留档。
- 事件响应按 72 小时设计：以 GDPR 的 72 小时为内部红线，中国的通知要求在该时限内一并完成，避免两套流程打架。
- 年度审查合并：把个保法的影响评估与 GDPR 的 DPIA 合并为一次作业、两份报告，减少重复劳动。
五、执法与救济机制的差异
实体规则的差异容易看到，机制差异才决定风险的真实分布。
| 比较项 | 中国《个人信息保护法》 | 欧盟 GDPR |
|---|---|---|
| 监管架构 | 网信部门统筹协调，公安、市场监管及行业主管部门在各自职责范围内监管，多部门并行 | 各成员国设立监管机构（SA），跨境案件适用「一站式」机制，由欧洲数据保护委员会（EDPB）协调分歧 |
| 罚款计算 | 情节严重的，可处五千万元以下或者上一年度营业额百分之五以下罚款，并可能责令暂停相关业务、停业整顿、吊销许可或营业执照 | 两档：最高一千万欧元或全球年度营业额百分之二（取高）；最高两千万欧元或百分之四（取高） |
| 私人救济 | 个人可提起侵权之诉；侵害众多个体权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可提起公益诉讼 | 个人可提起损害赔偿之诉；成员国允许代表机构提起代表诉讼，形成事实上的集体救济 |
| 举证责任 | 处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任（过错推定） | 控制者对造成的损害承担责任，可通过证明对损害发生无任何责任而免责 |
机制差异带来两个实务结论。第一，中国侧的合规风险更多体现为行政检查、通报与整改，因此台账、记录、可举证能力是关键；欧盟侧的合规风险更多体现为非政府组织推动的代表诉讼与监管主动调查，因此告知文本的完整性与权利响应的及时性更受检验。
第二，两套机制的资源投入不应平均分配。若主要用户在中国，重心应放在行政合规的证据链；若在欧盟有实体或用户规模较大，则需为集体救济预留准备金，并把权利响应流程做到可审计。
六、常见冲突与处理思路
| 冲突场景 | 冲突点 | 处理思路 |
|---|---|---|
| 集团统一数据仓库设在欧盟 | 中国要求境内存储与出境评估；欧盟要求充分性保护 | 中国侧先完成出境路径，欧盟侧签 SCC 并做 TIA；敏感数据考虑本地化部署 |
| 欧盟执法机构要求提供数据 | GDPR 与欧盟成员国法要求配合；中国《数据安全法》第三十六条要求经批准 | 建立法律冲突应对流程：先通知、寻求法律救济、申请中国主管机关批准 |
| 员工数据全球统一管理 | 个保法对人力资源管理所必需有单独规定；GDPR 有雇佣场景的特殊规则 | 分法域制定员工隐私声明，权限按属地隔离 |
七、常见问题
问：只在中国和欧盟以外的国家经营，需要管 GDPR 吗？
若向欧盟境内数据主体提供商品或服务（即使免费），或监控其在欧盟内的行为（如 Cookie 追踪、行为画像），即触发 GDPR 的域外适用。仅在其他国家经营且不涉及欧盟数据主体的，不适用 GDPR。
问：个保法的「单独同意」与 GDPR 的「明示同意」是一回事吗？
形式要求接近，但适用范围不同。个保法的单独同意针对特定场景（敏感个人信息、向他人提供、公开、跨境等），要求与其他事项分离取得；GDPR 的明示同意主要用于特殊类别数据。两者都需要可证明、可撤回，但触发条件需分别判断。
问：GDPR 的罚则真的会落到中国企业头上吗？
会。GDPR 的执法已多次针对境外企业，处罚基数为全球年营业额，最高百分之四。对于在欧盟有业务的中国企业，罚则风险不可低估。此外还需关注欧盟《数字服务法》《数字市场法》等配套规则。
问：能否用一套隐私政策同时满足两地要求？
可以做「主文档＋法域附件」的结构，但不宜用一份文本硬套。核心差异（合法性基础、权利类型、跨境机制、DPO 信息）必须分别呈现，否则任一法域都可能被认定告知不充分。
问：双重合规的成本很高，有优先级吗？
建议按风险排序：先解决跨境传输的合法性（最易被执法关注）、再补个人权利响应机制（投诉高发）、最后完善内部制度与培训。数据泄露响应流程因涉及 72 小时时限，应优先于一般制度建设。
八、小结：一张表、两套文件、一个入口
双重合规的落地形态可以概括为：一张场景映射表、两套法域文件、一个权利响应入口。映射表保证不漏场景，两套文件保证各自合规，统一入口保证用户体验一致。真正困难的不是理解条文差异，而是把差异落到系统与流程里——这需要法务、产品、技术的联合设计，而不是法务单方面的文档工作。
法条与依据核验：《中华人民共和国个人信息保护法》第十三条（合法性基础）、第二十八条至第二十九条（敏感个人信息与单独同意）、第三十八条至第四十三条（跨境提供）、第四十四条至第五十条（个人权利）、第五十一条至第五十二条（安全措施与负责人）、第五十五条至第五十六条（影响评估）、第五十七条（泄露通知）、第六十六条（法律责任）、第六十九条（过错推定）；欧盟《通用数据保护条例》（Regulation (EU) 2016/679，GDPR）第六条（合法性基础）、第九条（特殊类别数据）、第三十三条与第三十四条（泄露通知，72 小时）、第三十五条（数据保护影响评估）、第三十七条（数据保护官）、第四十四条至第四十九条（跨境传输）、第八十三条（罚则）；《中华人民共和国数据安全法》第三十六条（向外国司法或执法机构提供数据的限制）。特别说明：GDPR 条文序号以欧盟官方文本为准，本文所引条号为通行编号；两国罚则的具体计算基数、「情节严重」与「最高档」的适用条件由执法与司法裁量；跨法域冲突的处理（尤其执法调取数据）在实务中存在争议，文中已作提示，具体案件应逐案评估。本文不构成对任何特定法域合规状态的结论性意见。
