GDPR 和个人信息保护法（PIPL）的同和异
2026-10-21 05:26:03
GDPR和《个人信息保护法》（PIPL）的相同点在于均以能识别自然人的信息为核心保护对象，且在数据处理中均要求提前告知并征得个人同意；不同点主要体现在定义范围、适用对象、个人权利赋予及跨境传输规则等方面。 具体如下：
相同点- 定义核心：GDPR和PIPL均以“能识别出自然人的信息”作为个人信息/个人数据的核心定义。GDPR明确“个人数据”指与已识别或可识别的自然人相关的任何信息，PIPL则强调“与已识别或可识别的自然人有关的各种信息”，二者均将“可识别性”作为关键标准。
- 数据处理原则：二者均要求数据处理者提前告知个人（数据主体）数据处理的目的、方式及数据范围，并征得个人同意。例如，PIPL第十七条规定需明确告知处理者联系方式，GDPR亦要求数据处理活动需以合法、透明方式获取个人同意。
- 保护目标：均旨在通过规范数据处理行为，保护个人隐私权及数据安全，防止个人信息被滥用或泄露。
- 定义范围：
PIPL：更侧重于互联网领域的电子信息，明确排除匿名化处理后的信息。例如，经匿名化处理无法关联到特定自然人的数据不受PIPL约束。
GDPR：覆盖范围更广，凡能直接或间接定位到自然人的信息均属个人数据，包括匿名化前的原始数据。例如，通过姓名、身份证号或在线标识符（如IP地址）可识别的信息均受保护。
- 适用对象：
PIPL：适用于中国境内的个人信息处理活动（包括处理中国境内外国人信息），以及境外机构处理中国境内自然人信息的情形。
GDPR：适用于欧盟境内所有个人信息处理活动，及境外机构处理欧盟居民信息的行为。例如，法国与爱尔兰间的数据传输需完全符合GDPR，即使企业实体位于欧盟外，只要持有欧盟居民信息，亦需遵守GDPR。
- 个人权利赋予：
GDPR：赋予个人更广泛的知情权和拒绝权。例如：
个人有权拒绝以营销为目的的数据处理（Art 21）；
即使数据用于科学研究、人口统计等目的，个人仍可拒绝处理（Art 89）；
处理儿童信息时需获得监护人同意（Art 40(g)）。
PIPL：未明确规定类似拒绝权，但要求数据处理者需告知个人联系方式及处理目的，并在特定情形下需取得单独同意（如处理敏感个人信息）。
- 跨境传输规则：
GDPR：数据从欧盟传向第三方国家（如马来西亚）时，需满足GDPR要求（如通过标准合同条款、充分性认定等），且需明确告知个人传输目的及用途。若第三方国家法律与GDPR冲突，仍需优先遵守GDPR。
PIPL：数据从中国传向境外时，需经中国网信部门安全评估或认证（第三十八条），重点评估境外接收方的数据保护能力及传输必要性。例如，企业需证明跨境传输符合中国法律要求，且接收方具备足够保护措施。
- 匿名化处理：
PIPL：明确将匿名化信息排除在保护范围外，强调“匿名化处理后无法关联到特定自然人的信息”不受约束。
GDPR：匿名化前的原始数据仍属个人数据，但若数据经彻底匿名化（无法复原），则不再受GDPR保护。实践中，GDPR对匿名化的标准要求更高，需确保无法通过任何手段重新识别个人。
热门标签
