《网络安全合规从零到一系统课》
第2章 全球主要法规概览
2、全球主要法规概览：GDPR、CCPA、网络安全法、数据安全法、个人信息保护法简介
在数字化浪潮席卷全球的今天，数据已成为核心生产要素。各国纷纷出台严格的法律法规，以应对数据安全与隐私保护的挑战。本节将带您快速概览全球最具影响力的五大法规，帮助您建立宏观的合规视野。
2.1 欧盟通用数据保护条例（GDPR）
GDPR 被誉为“史上最严”的数据保护法规，于2018年5月25日正式生效。它确立了个人数据保护的全球标杆，具有域外管辖效力——只要处理欧盟境内个人的数据，无论企业位于何处，均受其约束。
| 核心要点 | 具体内容 |
|---|---|
| 适用范围 | 在欧盟境内设立的数据控制者/处理者；或向欧盟个人提供商品/服务、监控其行为 |
| 核心原则 | 合法、公平、透明；目的限制；数据最小化；准确性；存储限制；完整性与保密性 |
| 数据主体权利 | 知情权、访问权、更正权、删除权（被遗忘权）、限制处理权、数据可携权、反对权 |
| 处罚力度 | 最高可达全球年营业额的 4% 或 2000万欧元（取较高者） |
2.2 美国加州消费者隐私法案（CCPA）
CCPA 于2020年1月1日生效，是美国首部全面的数据隐私法律。它赋予加州消费者对其个人数据更强的控制权，并推动了美国其他州的立法进程（如弗吉尼亚州CDPA、科罗拉多州CPA等）。
- 适用范围：年总收入超过2500万美元；或每年购买/接收/出售5万条及以上消费者/家庭/设备信息；或50%以上收入来自出售个人信息。
- 消费者权利：知情权、删除权、选择退出权（不出售个人信息）、平等服务权（禁止歧视）。
- 处罚机制：每次故意违规罚款7500美元，非故意违规2500美元；同时赋予消费者私人诉讼权（数据泄露时）。
2.3 中国网络安全法
《中华人民共和国网络安全法》 于2017年6月1日正式施行，是中国网络安全领域的基础性法律。它确立了网络空间主权原则，明确了网络运营者的安全保护义务。
| 关键制度 | 要求简述 |
|---|---|
| 网络安全等级保护 | 网络运营者需按等级保护要求履行安全保护义务，保障网络免受干扰、破坏 |
| 关键信息基础设施（CII） | 对CII实行重点保护，要求数据境内存储，出境需进行安全评估 |
| 个人信息保护 | 收集使用个人信息需明示目的、方式和范围，不得泄露、篡改、毁损 |
| 违法处罚 | 最高可处100万元罚款，直接责任人最高10万元罚款；情节严重可责令停业整顿 |
2.4 中国数据安全法
《中华人民共和国数据安全法》 于2021年9月1日施行，与《网络安全法》形成互补。它聚焦于数据本身的安全，建立了数据分类分级保护制度，并首次提出“数据安全审查”制度。
- 数据分类分级：根据数据在经济社会发展中的重要程度，分为一般数据、重要数据、核心数据三级。
- 重要数据保护：重要数据的处理者应明确数据安全负责人和管理机构，定期开展风险评估。
- 数据出境管理：重要数据出境需经过安全评估；核心数据原则上禁止出境。
- 法律责任：违法向境外提供重要数据的，最高可处1000万元罚款，并可能追究刑事责任。
2.5 中国个人信息保护法
《中华人民共和国个人信息保护法》 于2021年11月1日施行，是中国首部专门针对个人信息保护的法律。它借鉴了GDPR的先进理念，并结合中国国情进行了本土化创新，被称为“中国版GDPR”。
| 核心制度 | 要点说明 |
|---|---|
| 告知同意 | 处理个人信息需取得个人“单独同意”或“书面同意”，不得强迫同意 |
| 最小必要 | 仅收集与处理目的直接相关的个人信息，不得过度收集 |
| 跨境传输 | 关键信息基础设施运营者及处理大量个人信息的平台，数据出境需通过安全评估 |
| 敏感信息 | 生物识别、金融账户、行踪轨迹等敏感信息需取得个人单独同意 |
| 处罚力度 | 情节严重最高可处5000万元或上一年度营业额5%的罚款，并可吊销营业执照 |
2.6 法规对比速览
为帮助您快速掌握各法规的核心差异，下表从适用范围、核心权利、处罚力度三个维度进行横向对比：
| 法规 | 适用范围 | 核心权利 | 最高罚款 |
|---|---|---|---|
| GDPR | 全球（处理欧盟个人数据） | 被遗忘权、数据可携权 | 4% 全球年营业额 / 2000万欧元 |
| CCPA | 美国加州（营利性企业） | 选择退出权、私人诉讼权 | 7500美元/次（故意） |
| 网络安全法 | 中国境内网络运营者 | 知情权、删除权 | 100万元人民币 |
| 数据安全法 | 中国境内数据处理活动 | 数据分类分级保护 | 1000万元人民币 |
| 个人信息保护法 | 中国境内/境外（涉及中国个人） | 单独同意、可携权 | 5000万元 / 5% 年营业额 |
2.7 合规启示与行动建议
面对日益复杂的全球法规环境，企业应建立“以风险为导向”的合规策略：
- 建立数据资产地图：全面梳理企业收集、存储、处理的数据类型及流转路径。
- 实施分类分级管理：参照《数据安全法》要求，对数据进行分类分级，明确保护策略。
- 完善告知同意机制：确保隐私政策清晰、透明，符合GDPR及《个人信息保护法》的“单独同意”要求。
- 强化跨境传输合规：涉及数据出境的企业，应提前启动安全评估或签订标准合同条款（SCCs）。
- 建立应急响应机制：制定数据泄露应急预案，确保在72小时内（GDPR要求）完成通知义务。
—— 全球合规不是终点，而是企业数字化信任的起点 ——