| 对比事项 | 中国法 | 欧盟法 | 美国法 |
|---|---|---|---|
| 核心立法 | 《个人信息保护法》2021.11.1 施行统一适用于境内个人信息处理活动 | GDPR（2016/679）2018.5.25 起适用，成员国直接生效 | 无联邦统一法CCPA/CPRA（加州）等州法 + 部门法规拼补 |
| 处理合法性基础 | 个保法第 13 条同意为原则，法定情形为例外 | GDPR 第 6 条六类合法性基础，合同必要/法定义务/正当利益等 | CCPA §1798.100以「知情权 + 选择退出」为主，不预设同意 |
| 敏感信息 | 个保法第 28-29 条单独同意 + 充分必要性，生物识别等列名 | GDPR 第 9 条禁止处理为原则，列举例外方可用 | CPRA 敏感个人信息赋予限制使用权，非单独同意制 |
| 跨境传输 | 个保法第 38-40 条安全评估 / 标准合同 / 认证三条法定路径 | GDPR 第 44-49 条充分性认定 + SCC + BCR + 例外情形 | 无统一联邦出境规则部门法（如 HIPAA）+ 合同自治 |
| 损害赔偿 | 个保法第 69 条过错推定，按损失或获利赔偿 | GDPR 第 82 条无过错责任倾向，可请求物质与非物质损害赔偿 | CCPA 法定赔偿每次违规 100-750 美元 |
| 处罚上限 | 个保法第 66 条5000 万元或上一年度营业额 5% | GDPR 第 83 条2000 万欧元或全球营业额 4%，取高者 | CCPA §1798.155每次故意违规 2500 美元，可累积 |
表中法名与条号均可在下方「法条原文索引」展开核对；标注「无统一联邦法」的领域，美国侧为部门法或州法拼补，这是真实差异而非资料缺失。
三地最大的结构性差异在「同意的地位」。中国和欧盟都把同意当作核心抓手，但欧盟第 6 条给了六类合法性基础——同意只是其中之一，履行合同所必需、法定义务、正当利益都可以独立支撑处理；中国第 13 条虽然也列了同意以外的情形，实务中监管仍以「是否取得有效同意」作为第一道检查。同一份用户协议在两地可能一个合规一个不合规。
敏感信息的门槛也不一样。中国要求单独同意并做充分必要性评估；GDPR 第 9 条直接以禁止处理为原则，只有列举例外（明示同意、重大利益等）才能处理——默认值完全不同。做跨境产品时，敏感信息的默认设置应按 GDPR 从严配置。
美国侧的「无统一联邦法」不是资料缺失，而是真实制度形态。这带来一个实际后果：进入美国市场不存在「一次性合规」的说法，需要按州逐个数（加州 CCPA/CPRA、弗吉尼亚、科罗拉多等），行业还要叠加部门规定。对出海企业，美国通常是合规成本最难预算的一块。
符合下列情形之一的，个人信息 处理者方可处理个人信息： （ 一）取得个人的同意； （ 二）为订立、履行个人作为一方当事人的 合同所必需，或者按照依法制定的劳动规章制度 和依法签订的集体合同实施人力资源管理所必 需； （ 三）为履行法定职责或者法定义务所必需； （ 四）为应对突发公共卫生事件，或者紧急 情况下为保护自然人的生命健康和财产安全所必 需； （ 五）为公共利益实施新闻报道、舆论监督 等行为，在合理的范围内处理个人信息； （ 六）依照本法规定在合理的范围内处理个 人自行公开或者其他已经合法公开的个人信息； （ 七）法律、行政法规规定的其他情形。 依照本法其他有关规定，处理个人信息应当 取得个人同意，但是有前款第二项至第七项规定 情形的，不需取得个人同意。
敏感个人信息是一旦泄露或者 非法使用，容易导致自然人的人格尊严受到侵害 或者人身、财产安全受到危害的个人信息，包括 生物识别、宗教信仰、特定身份、医疗健康、金 融账户、行踪轨迹等信息，以及不满十四周岁未 成年人的个人信息。 只有在具有特定的目的和充分的必要性，并 采取严格保护措施的情形下，个人信息处理者方 可处理敏感个人信息。
个人信息处理者因业务等需 — ０ ２ １ １ — 全国人民代表大会常务委员会公报２ ０ ２ １·６ 要，确需向中华人民共和国境外提供个人信息 的，应当具备下列条件之一： （ 一）依照本法
违反本法规定处理个人信息， 或者处理个人信息未履行本法规定的个人信息保 护义务的，由履行个人信息保护职责的部门责令 改正，给予警告，没收违法所得，对违法处理个 人信息的应用程序，责令暂停或者终止提供服 务；拒不改正的，并处一百万元以下罚款；对直 接负责的主管人员和其他直接责任人员处一万元 以上十万元以下罚款。 有前款规定的违法行为，情节严重的，由省 级以上履行个人信息保护职责的部门责令改正， 没收违法所得，并处五千万元以下或者上一年度 营业额百分之五以下罚款，并可以责令暂停相关 业务或者停业整顿、通报有关主管部门吊销相关 业务许可或者吊销营业执照；对直接负责的主管 人员和其他直接责任人员处十万元以上一百万元 以下罚款，并可以决定禁止其在一定期限内担任 相关企业的董事、监事、高级管理人员和个人信 息保护负责人。
Article 6(1) shall be carried out only under the control of official authority or when the processing is authorised by Union or Member State law providing for appropriate safeguards for the rights and freedoms of data subjects. Any comprehensive register of criminal convictions shall be kept only under the control of official authority. NEW: The practical guide PrivazyPlan® explains all dataprotec
原文摘录暂缺，以官方公布文本为准。
原文摘录暂缺，以官方公布文本为准。
原文摘录暂缺，以官方公布文本为准。
1798.100 of the Civil Code is amended to read: 1798.1.00. General Duties of Businesses that Collect Personal Information 1798.100. (a) A e0As1,m1er shall i'la11e the right to req1,1est tl'lat a b1,1siAess ti'lat eollects a e0As1,1A1er's 13ers0Aal iAforAiatioA alselose to that e0As1,1A1er the categories aAa s13ecific i,ieces of 13ers0Aal iAforAiatioA the auslAess has eolleeted, f&} A business that
本页为法规条文对照，仅供参考，不构成法律意见。法规以官方公布版本为准，重大事项请咨询执业律师。