📌 交叉合规风险识别 —— GDPR 第6条（合法处理基础）与《网络安全法》第10条、第21条（合法性原则）在数据收集、使用、存储中的冲突与协同。

维度	GDPR 合法处理基础 (Art.6)	网络安全法 合法性原则	交叉风险点
同意	数据主体明确同意（自由、具体、知情、明确）	收集使用信息须经被收集者同意（第22条）	GDPR“同意”要求更高（单独、可撤回）；网安法未明确“单独同意”，但《个人信息保护法》已补位。跨境场景下同意标准不一致。
合同	履行合同所必需，或应数据主体要求采取签约前措施	未直接规定“合同”为基础，但“合法、正当”包含合同场景	网安法下“合同”不构成独立合法性基础，需结合“必要原则”；GDPR合同基础可能被网安法“最小必要”限制。
合法利益	控制者或第三方合法利益，除非数据主体利益/基本权利优先	无直接对应；合法性原则要求“合法、正当、必要”，不得损害国家、社会、个人利益	GDPR合法利益抗辩在中国法下不被承认；依赖合法利益处理数据可能违反网安法“合法性”原则，尤其涉及重要数据。
法律义务	履行法律义务所必需	遵守法律法规（包括网安法、等保、关键信息基础设施）	重叠但范围不同：GDPR法律义务限于欧盟/成员国法；网安法要求遵守中国法，跨国企业面临双重义务冲突。
公共利益	为公共利益执行任务或行使官方授权	网安法强调维护国家安全、公共利益，但未细化处理基础	GDPR公共利益基础较窄；网安法下“公共利益”范围更广，可能扩大数据处理，引发GDPR合规风险。

• 同意冲突 — GDPR要求“单独同意”且可随时撤回；网安法下同意可能被“捆绑”或“一揽子”，且撤回机制不完善。同时满足两种标准易产生漏洞。
• 合法利益架空 — 中国法不承认“合法利益”作为独立基础，依赖此基础的欧盟业务若涉及中国境内数据，可能被认定为“无合法依据”。
• 合同必要 vs 最小必要 — GDPR合同履行可扩展至“可预见”处理；网安法“最小必要”原则更严格，合同范围外处理可能违规。
• 法律义务重叠 — 例如网安法要求日志存储不少于6个月，GDPR无统一存储期限；但GDPR要求数据最小化，长期存储需额外基础。
• 公共利益泛化 — 网安法下“维护国家安全”可成为数据调取理由，但GDPR公共利益处理需欧盟或成员国法律授权，跨国企业面临两难。

// GDPR + 网络安全法 交叉合规伪代码 · 同意管理
        class ConsentManager {
            // GDPR 单独同意 + 网安法明示同意
            function obtainConsent(user, purpose, scope) {
                if (purpose === 'marketing' && scope === 'third-party') {
                    // GDPR: 单独同意, 不可捆绑
                    gdpr_consent = user.giveExplicitConsent({separate: true, withdrawable: true});
                    // 网络安全法: 单独弹窗, 不得默认勾选
                    csl_consent = user.checkBoxAgree('单独同意营销共享');
                    return gdpr_consent && csl_consent;
                }
                // 合同必要场景: 最小必要原则
                if (purpose === 'contract_fulfillment') {
                    // 仅收集必要字段, 记录合法性基础
                    log_legal_basis('contract', '网安法第22条必要原则');
                    return collectMinimalData();
                }
            }
        }

• 同意分层 — 区分GDPR单独同意与网安法一般同意，采用双层弹窗/开关。
• 合法利益替代 — 在中国法下将“合法利益”转化为“合同必要”或“法律义务”，并做必要性评估。
• 数据映射 — 识别每项处理活动对应的GDPR基础与网安法原则，建立交叉合规矩阵。
• 存储限制 — 网安法要求日志留存不少于6个月，GDPR要求存储最小化；采用分级存储+自动匿名化。
• 跨境传输 — 使用GDPR标准合同条款时，需额外满足网安法安全评估（重要数据/个人信息）。