2、全球主要隐私法规概览：GDPR、CCPA、PIPL、LGPD的核心要求对比

在全球数字经济背景下，企业处理个人数据必须跨越多个司法管辖区的合规门槛。本章节聚焦四大核心隐私法规——欧盟《通用数据保护条例》（GDPR）、美国加州《消费者隐私法案》（CCPA/CPRA）、中国《个人信息保护法》（PIPL）以及巴西《通用数据保护法》（LGPD），从适用范围、数据主体权利、处理原则、处罚力度等维度进行横向对比，帮助企业建立全球合规视野。

2.1 核心法规适用范围与域外效力

2.2 核心处理原则与合法性基础

• ● GDPR：合法、公平、透明；目的限制；数据最小化；准确性；存储限制；完整性与保密性。合法性基础包括同意、合同履行、法律义务、重大利益、公共利益、正当利益。
• ● CCPA：强调通知义务（收集时告知类别与目的）；禁止歧视行使权利的用户；选择退出权（出售/共享数据）。合法性基础以同意/业务必要性为主。
• ● PIPL：最小必要原则；公开透明；目的明确；质量保障；安全存储。合法性基础：同意（单独同意/重新同意）、合同必需、法定职责、紧急情况、公共利益、已公开信息。
• ● LGPD：目的合法性、适当性、必要性、自由访问、数据质量、透明性、安全、预防、非歧视。合法性基础包括同意、合同履行、法律义务、信用保护等10项。

2.3 处罚力度与执法机制

2.4 跨境数据传输规则对比

• GDPR：基于充分性认定（白名单国家）、标准合同条款（SCCs）、有约束力的公司规则（BCRs）、特定情形例外（同意、合同必需等）。
• CCPA：未单独规定跨境传输，但通过“出售”和“共享”定义间接约束；CPRA新增自动化决策评估要求。
• PIPL：严格限制——通过安全评估（关键信息基础设施/达到一定数量）、个人信息保护认证、标准合同（与GDPR SCCs类似）；需单独同意并告知境外接收方信息。
• LGPD：参照GDPR模式，允许基于充分性认定、SCCs、BCRs、具体合同条款、国际组织协议等传输。

2.5 企业合规行动清单（快速参考）

1. 数据盘点：建立个人数据清单，明确数据流向与处理目的。
2. 隐私政策更新：确保覆盖所有适用法规的强制披露项（如GDPR第13/14条、CCPA收集通知、PIPL告知事项）。
3. 权利响应机制：建立验证身份→受理请求→限时处理（GDPR 1个月，PIPL 15个工作日）的流程。
4. 同意管理：区分“同意”与“单独同意”场景，保留同意记录。
5. 跨境传输评估：识别是否触发PIPL安全评估或GDPR SCCs要求。
6. 数据安全措施：加密、访问控制、日志审计、定期渗透测试。
7. 培训与审计：每年至少一次员工隐私培训，定期内部合规审计。

2.6 法规差异速查表（关键条款对比）