📌 定义范围 GDPR Art.4 / 网络安全法第76条
GDPR 个人数据
“任何已识别或可识别自然人（数据主体）的信息”
- 直接识别：姓名、身份证号、位置数据、在线标识符
- 间接识别：物理、生理、遗传、心理、经济、文化或社会身份
- 特殊类别：种族、政治观点、宗教、基因、生物识别、健康、性生活/性取向 (Art.9)
- 宽泛 包括假名化数据（仍可关联）
例：Cookie ID、设备指纹、行为画像均属个人数据。
网络安全法 个人信息
“以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息”
- 典型列举：姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码
- 结合识别：位置、行踪、通信记录、健康生理、账号密码、财产信息
- 敏感个人信息（《个人信息保护法》衔接）：生物识别、金融账户、行踪等
- 较窄 强调“身份识别”，不包括单纯行为数据（若无法识别身份）
例：匿名化后的浏览记录通常不被视为个人信息。
🔍 异同对比 · 核心维度
| 维度 | GDPR 个人数据 | 网络安全法 个人信息 |
|---|
| 识别标准 |
“可识别” 宽泛，包括所有合理可能识别的手段 |
“识别身份” 强调直接或结合后识别自然人身份 |
| 匿名化/假名化 |
假名化仍属个人数据；匿名化（不可逆）除外 |
匿名化后不属于个人信息；假名化若可重识别则仍属 |
| 特殊类别 |
明确特殊类别（Art.9），禁止处理原则 |
敏感个人信息（《个人信息保护法》），需单独同意 |
| 地域范围 |
属地+属人+属效（Art.3） |
属地原则（境内收集使用）；境外适用有限 |
| 排除对象 |
纯个人/家庭活动、匿名信息、死者数据（部分） |
匿名化信息、已公开信息（合法合规使用） |
| 法律后果 |
最高2000万欧元或全球年营业额4% |
最高100万元人民币（网络安全法）；个保法5000万或5% |
⚠️ 交叉合规风险识别 GDPR × 网络安全法
① 定义范围差异
- GDPR 涵盖“在线标识符” (cookie, IP)，网络安全法早期未明确，但个保法已扩展。
- “可识别” vs “识别身份” 导致部分行为数据在GDPR下为个人数据，在中国法下可能不属个人信息。
② 同意与合法性基础
- GDPR 六种合法性基础（同意、合同、合法利益…）；网络安全法以“同意”为核心。
- 合法利益(Legitimate Interest) 在中国法下无直接对应，易产生合规缝隙。
③ 数据出境 & 本地化
- 网络安全法要求关键信息基础设施个人数据本地化 + 安全评估；GDPR 允许充分性认定或SCCs。
- 跨境传输双重合规：需同时满足中国评估与GDPR第45-49条。
🧩 定义范围交叉 · 架构图
📜 法律定义原文引用
GDPR 第4条(1)
“个人数据’指任何已识别或可识别自然人（‘数据主体’）的信息；可识别自然人是指能够被直接或间接识别，特别是通过诸如姓名、身份证号码、位置数据、在线标识符，或与该自然人的身体、生理、遗传、心理、经济、文化或社会身份相关的一个或多个因素识别。”
《网络安全法》第76条(5)
“个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。”
注：与《个人信息保护法》第4条基本一致
📌 合规启示
- 范围差异：GDPR 更宽泛，企业应取“最大公约数”保护。
- 敏感数据：GDPR特殊类别 vs 中国敏感个人信息，分类分级需对齐。
- 跨境传输：同时满足安全评估、标准合同与GDPR充分性/SCCs。
- 动态识别：技术发展（如指纹、面部）使定义边界持续扩展。