📘 GDPR & 网络安全法 · 交叉合规
课程导论
立法背景 · 核心目标 · 全球影响 🌍 数据主权时代
GDPR 🇪🇺
立法背景
- 1995 数据保护指令落伍，数字单一市场呼唤统一框架。
- 2012 欧盟委员会提案，历经4年磋商。
- 2016.04 正式通过，2018.05.25 强制实施。
- 背景：剑桥分析事件、大规模数据滥用、云服务跨境。
🎯 核心目标
- 🔹 保护自然人基本权利与自由（尤其是个人数据）。
- 🔹 统一规则，降低企业合规成本，促进数据自由流动。
- 🔹 强化问责制 & 透明度 ( accountability & transparency )。
- 🔹 被遗忘权、数据可携带权、隐私设计。
🌐 全球影响 巴西 LGPD、印度 DPDP、日本、韩国、加州 CPRA 均受其启发。
网络安全法 🇨🇳
立法背景
- 2016.11 全国人大常委会通过，2017.06.01 施行。
- 背景：网络攻击激增、关键信息基础设施 (CII) 风险、数据本地化呼声。
- 回应国家主权、安全与发展利益，遏制网络犯罪。
- 与《数据安全法》《个人信息保护法》形成三驾马车。
🎯 核心目标
- 🔸 维护网络空间主权 & 国家安全。
- 🔸 保护关键信息基础设施 (CII) 安全。
- 🔸 个人信息保护 + 数据本地化存储 (重要数据)。
- 🔸 网络安全等级保护 (等保2.0) 合规义务。
🌐 全球影响 俄罗斯、越南、印度尼西亚等借鉴数据本地化 & CII 监管模式。
📊 全球影响 · 交叉辐射
| 维度 | GDPR 辐射 | 网络安全法 辐射 |
|---|---|---|
| 立法模式 | 权利本位 + 严格罚则 (最高2000万欧元/4%全球营收) | 安全本位 + 行政/刑事责任 (最高100万元/吊销执照) |
| 数据跨境 | 充分性认定 / SCCs / BCRs | 安全评估 + 本地化存储 (CII & 重要数据) |
| 域外效力 | 第3条：设立机构/向欧盟主体提供商品服务 | 第2条：境内网络运营活动；CII 境外可能受影响 |
| 典型合规交集 | 同意管理、DPIA、数据泄露通知 (72h) | 等保2.0、CII 识别、网络安全审查 |
* 两者交叉地带：个人数据保护、跨境传输、安全事件响应、供应商管理。
🧩 交叉合规风险 · 架构概览
图：GDPR 与网络安全法交叉合规风险区域 (SVG)
📋 交叉合规风险识别逻辑 (伪代码)
FUNCTION 识别交叉风险(数据活动, 管辖区域):
IF 涉及欧盟数据主体 OR 向欧盟提供商品/服务:
触发 GDPR 合规义务
IF 涉及中国境内网络运营 OR CII 或重要数据:
触发 网络安全法 合规义务
IF 跨境传输 且 涉及个人数据:
冲突点: GDPR 充分性认定 vs 网络安全法 安全评估
建议: 并行满足 SCCs + 本地化存储 + 安全评估
RETURN 风险矩阵 (高/中/低)
🌍 GDPR 全球涟漪
- 巴西 LGPD (2019)
- 印度 DPDP 法案 (2023)
- 日本 个人信息保护法修订
- 韩国 PIPA 修订
- 美国加州 CPRA / 弗吉尼亚 VCDPA
🌏 网络安全法 全球涟漪
- 俄罗斯 数据本地化 (152-FZ)
- 越南 网络安全法 (2018)
- 印度尼西亚 第71号条例
- 土耳其 个人数据保护法 (KVKK)
- 南非 POPIA 部分借鉴
* 本页为《GDPR与网络安全法交叉合规风险识别》课程导论 · 仅用于教学