核心冲突： GDPR 以“属人+属地”构建长臂管辖，而中国《网络安全法》以“属地+数据本地化”划定主权边界。两者重叠时，企业面临双重合规压力。

📊 管辖原则对比

维度	GDPR (欧盟)	网络安全法 (中国)
管辖基础	属人+属地 设立机构 / 目标指向	属地为主 境内网络/设备/用户
属人原则	数据主体在欧盟境内 (不论国籍)	中国境内自然人 (属地+属人混合)
属地延伸	向欧盟数据主体提供商品/服务 (不论是否设立机构)	在境内运营网络、存储或加工境内收集的数据
数据本地化	允许跨境传输 (需充分性认定或SCCs)	关键基础设施 + 个人信息 原则上境内存储
执法冲突	要求数据可转移至欧盟	禁止未经安全评估向境外提供重要数据

⚠️ 交叉合规风险清单

• 双重管辖叠加 — 在欧盟设立分支机构但处理中国用户数据，同时受 GDPR 和网安法约束。
• 数据本地化 vs 跨境自由 — 网安法要求重要数据境内存储，GDPR 要求数据可移植至欧盟，形成义务冲突。
• 属人管辖扩大化 — GDPR 适用于“在欧盟境内的数据主体”，即使企业在中国无实体；网安法适用于“境内网络活动”，即使数据主体在境外。
• 执法管辖权重叠 — 中国网信办与欧盟DPA可能同时主张管辖权，企业面临双重处罚风险。
• 安全评估与充分性认定 — 网安法下的数据出境安全评估与 GDPR 充分性认定机制不互通，增加合规成本。

🧪 交叉合规检查 (伪代码)

# 数据合规交叉风险识别 · 管辖冲突检测
if (entity.processesPersonalDataOfEUDataSubjects) {
    // GDPR 属人管辖
    if (entity.establishedInEU || entity.targetsEUMarket) {
        applyGDPR();
    }
}
if (entity.operatesNetworkInChina || entity.collectsDataInChina) {
    // 网络安全法属地管辖
    applyCybersecurityLaw();
    if (dataIsImportantOrPersonal) {
        requireLocalStorage();
        if (dataTransferOverseas) {
            requireSecurityAssessment();
        }
    }
}
# 冲突点：当 GDPR 要求数据可移植至欧盟，而网安法要求境内存储
if (conflictBetweenLocalizationAndCrossBorder) {
    triggerDualRegulatoryRisk();
    implementMitigationMeasures();  // 如：匿名化、去标识化、单独授权
}