| 对比事项 | 中国法 | 欧盟法 | 美国法 |
|---|---|---|---|
| 是否在规制范围 | 个保法第 4 条「与已识别或可识别的自然人有关的各种信息」——作者名、修订人均可能落入 | GDPR 第 4(1) 条任何与已识别或可识别自然人相关的信息，元数据同样覆盖 | 无专门定义FTC Act 第 5 节执法：未脱敏元数据致泄露可按不公平实践追责 |
| 最小必要 | 个保法第 6 条收集限于实现目的的最小范围，不得过度 | GDPR 第 5(1)(c) 条数据最小化原则 | 无统一原则按行业规定与合理安全措施标准 |
| 保存期限 | 个保法第 19 条保存期限应为实现处理目的所必要的最短时间 | GDPR 第 5(1)(e) 条存储期限限制：不得超出必要期限 | 无联邦统一规则部门规定（如 HIPAA 文档要求） |
| 处理记录 | 无专门元数据条款通过等保日志与数据台账落实 | GDPR 第 30 条控制者/处理者须保存处理活动记录 | 无统一要求按行业审计要求 |
| 安全与泄露通知 | 数安法第 29 条 + 个保法第 57 条事件处置 + 通知监管与个人 | GDPR 第 32 / 33 条技术组织措施 + 72 小时内报告监管 | 部门规定如 HIPAA 泄露通报规则 |
表中法名与条号均可在下方「法条原文索引」展开核对；标注「无统一联邦法」的领域，美国侧为部门法或州法拼补，这是真实差异而非资料缺失。
最常见的误解是"元数据只是文件属性，不算内容"。三个法域都不这么看。中国个保法第 4 条把个人信息定义为"以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息"——作者名、最后保存者、修订记录、甚至文件创建路径里的部门名称，都可能是"与可识别自然人有关的信息"。GDPR 第 4(1) 条的结构一样：任何信息，只要它能关联到自然人。
实务中最容易被忽略的是保存期限。个保法第 19 条要求保存期限是"实现处理目的所必要的最短时间"，GDPR 第 5(1)(e) 条同义。老版本文件里躺着的历史元数据——三年前的合同修订记录、已离职员工的批注——如果超过必要期限未清理，本身就是合规缺口，哪怕内容本身没问题。
美国侧的形态又不同：没有联邦层面的元数据专门规则，但 FTC Act 第 5 节的执法实践把"该脱敏没脱敏"纳入不公平或欺诈性实践——多起案例中，企业外发文件未清理元数据导致客户信息暴露，被执法追责。所以"美国不管元数据"是错的，只是抓手在一般性执法条款上。
个人信息是以电子或者其他方式记 录的与已识别或者可识别的自然人有关的各种信 息，不包括匿名化处理后的信息。 个人信息的处理包括个人信息的收集、存 储、使用、加工、传输、提供、公开、删除等。
除法律、行政法规另有规定外， 个人信息的保存期限应当为实现处理目的所必要 的最短时间。
发生或者可能发生个人信息泄 露、篡改、丢失的，个人信息处理者应当立即采 取补救措施，并通知履行个人信息保护职责的部 门和个人。通知应当包括下列事项： （ 一）发生或者可能发生个人信息泄露、篡 改、丢失的信息种类、原因和可能造成的危害； （ 二）个人信息处理者采取的补救措施和个 人可以采取的减轻危害的措施； （ 三）个人信息处理者的联系方式。 个人信息处理者采取措施能够有效避免信息 泄露、篡改、丢失造成危害的，个人信息处理者 可以不通知个人；履行个人信息保护职责的部门 认为可能造成危害的，有权要求个人信息处理者 通知个人。
国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。 关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度。 各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。
Article 4 Article 4 "Definitions" For the purposes of this Regulation: (1) 'personal data' means any information relating to an identified or identifiable natural person ('data subject'); an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to
Article 30 Article 30 "Records of processing activities" 1. Each controller and, where applicable, the controller's representative, shall maintain a record of processing activities under its responsibility. That record shall contain all of the following information: (a) the name and contact details of the controller and, where applicable, the joint controller, the controller's representative and t
Article 33 Article 33 "Notification of a personal data breach to the supervisory authority" 1. In the case of a personal data breach, the controller shall without undue delay and, where feasible, not later than 72 hours after having become aware of it, notify the personal data breach to the supervisory authority competent in accordance with Article 55, unless the personal data breach is unlikely t
unfair or deceptive acts or practices in or affecting commerce, are hereby declared unlawful. (2) The Commission is hereby empowered and directed to prevent persons, partnerships, or corporations, except banks, savings and loan institutions described in section 57a(f)(3) of this title, Federal credit unions described in section 57a(f)(4) of this title, common carriers subject to the Acts to regula
本页为法规条文对照，仅供参考，不构成法律意见。法规以官方公布版本为准，重大事项请咨询执业律师。