---

name: pipl-gdpr-crosswalk language: zh description: "针对一条具体的数据流，对照中国《个人信息保护法》（PIPL）和欧盟 GDPR，为同时在两地运营的企业列出差距和数据出境路径。当被问到 PIPL 和 GDPR 的区别、个人信息保护法和 GDPR 的区别、数据出境怎么做、我们的 App 同时服务中国和欧洲用户时使用。产出所述处理活动的要求对照表、每个方向可能适用的出境机制、按优先级排序的差距清单，以及要带去问律师的问题。不构成法律意见。"

pipl-gdpr-crosswalk 的简体中文翻译，英文版本为规范版本。

PIPL 与 GDPR 对照

同时服务中国和欧洲用户的企业面对两套严格的制度：看起来相似，但在关键细节上不同，包括同意、敏感个人信息，尤其是数据跨境。这个技能把一条具体的数据流同时对照两套制度，找出出境路径，列出要补的差距，让与律师的沟通从具体问题开始。

属于 pm-chuhai 技能包。通用的合规清单请使用 compliance-checklist。

这个技能产出什么

• 对照表：所述处理活动在 PIPL 和 GDPR 下的每项要求，以及企业要做什么
• 出境路径：两个方向各自的路径（中国到境外，欧盟到中国）
• 差距清单，按风险排序
• 要问律师的问题

所需输入

如未提供，请询问：

• 数据流：哪些个人信息、关于谁、在哪里收集、存储在哪里、从哪里访问
• 规模：每年大约多少人，是否涉及敏感个人信息
• 主体：企业和受托处理方设立在哪里
• 处理目的，以及目前依赖的合法性基础

框架

按以下要点比较。每一点都写成一般性描述，并标注"核实现行条文"，因为实施细则会变化。

要点	PIPL（中国）	GDPR（欧盟）
合法性基础	同意，以及其他几项基础（订立或履行合同、法定职责、紧急情况、新闻报道、已公开信息、人力资源管理）；没有一般性的"正当利益"基础	六项基础，包括正当利益
单独同意	处理敏感个人信息、向境外提供、公开、向其他处理者提供，以及部分图像或身份识别用途时需要	以同意为基础时，特殊类别数据需明确同意
敏感个人信息	范围广，包括金融账户、行踪轨迹，以及不满十四周岁未成年人的全部个人信息	特殊类别（健康、生物识别、信仰等）
向境外提供	根据数量和数据类型，适用网信部门安全评估、标准合同或认证之一；个人信息保护影响评估；单独同意。2024 年起对部分数量较少或确有必要的出境设有豁免：核实现行门槛	充分性认定、附带传输影响评估的标准合同条款、有约束力的公司规则，或例外情形
境内代表	处理境内个人信息、在适用范围内的境外处理者需要设立	适用范围内的非欧盟控制者需设第 27 条代表
个人信息保护负责人	超过规定数量门槛时需要	规定情形下需要
安全事件通知	及时通知主管部门和个人	需要时在 72 小时内通知监管机构

然后：

1. 对数据流分类：哪些数据、哪个方向、哪个数量级。
2. 为每个方向选择出境机制，并列出需要的文件。
3. 列出差距：企业现在的做法，与两套制度各自的要求对比。
4. 排优先级：按被执法的可能性和危害排序，出境和敏感信息放在最前面。

输出格式

PIPL 与 GDPR 对照：[企业]，[数据流]

1. 数据流概要（数据、人群、地点、规模） 2. 对照表 | 要求 | PIPL | GDPR | 我们要做什么 | 3. 出境路径 | 方向 | 机制 | 文件 | 需核实 | 4. 差距清单 | 差距 | 制度 | 优先级 | 补救 | 5. 要问律师的问题

结尾原文写明："本文是结构化的起点，不构成法律意见。中国和欧盟的数据跨境规则会通过实施细则变化，请就每一点向两地的专业律师确认。"

质量检查

• 每一行依赖门槛或新规的内容都标注了"核实"
• 两个方向分别确定了出境机制
• 明确检查了敏感个人信息和未成年人信息
• 差距按优先级排序，出境和敏感信息在前
• 结尾声明原文出现

反模式

• 把 PIPL 当成"中国版 GDPR"。 合法性基础和出境规则差别很大。
• 把数量门槛当成定论。 门槛已经变过；要核实。
• 忘了欧盟到中国这个方向。 它有自己的要求。
• 给出合规结论。 只做对照和排序，交给律师判断。

示例触发语

• “我们的 App 同时服务中国和欧洲用户，数据出境要怎么做？”
• “Compare PIPL and GDPR for our HR data flow from Shanghai to Dublin.”
• “个人信息保护法和 GDPR 有什么关键区别？”
• “What do we need to transfer customer data out of China?”