General Data Protection Regulation（《通用数据保护条例》，GDPR）与经 California Privacy Rights Act（《加利福尼亚州隐私权法》，CPRA）修订的 California Consumer Privacy Act（《加利福尼亚州消费者隐私法》，CCPA），是对跨国经营的组织影响最为深远的两大隐私框架。 两者都让个人对其个人信息拥有更大的控制权，但在适用范围、法律基础、同意要求、消费者权利、泄露相关义务、执法机制和合规责任方面存在显著差异。 本指南对 GDPR 与 CCPA 的要求进行比较，帮助组织了解两个框架的重叠之处与不同之处，以及如何构建能够同时应对两者的隐私计划。
并排对比：GDPR 对比 CCPA
| 维度 | 🇪🇺 GDPR | 🇺🇸 CCPA |
|---|---|---|
| 司法管辖区 | 欧盟/欧洲经济区框架 | 美国加利福尼亚州 |
| 主要法律 | Regulation (EU) 2016/679 | California Consumer Privacy Act（经修订） |
| 生效日期 | 2018 年 5 月 25 日 | 2020 年 1 月 1 日；CPRA 主要修订于 2023 年 1 月 1 日生效 |
| 监管模式 | 综合性数据保护条例 | 消费者隐私与数据保护法 |
| 主要监管机构 | 欧盟/欧洲经济区监管机构与 EDPB | California Privacy Protection Agency 与 California Attorney General |
| 适用对象 | 符合 GDPR 地域或营业机构标准的控制者/处理者 | 符合 CCPA 适用要求的企业 |
| 法律依据 | 处理须具备合法性基础 | 无对应的六项依据框架 |
| 同意 | 多项合法性基础之一；特定情形下要求更严格 | 主要涉及特定的选择加入要求和特定用途 |
| 出售/共享的选择退出 | 无 CCPA 式的直接出售/共享框架 | 消费者可选择退出出售或共享 |
| 敏感信息 | 特殊类别数据受到更高水平的保护 | 敏感个人信息受额外管控 |
| 数据主体/消费者权利 | 权利广泛，包括访问、更正、删除和可携带 | 包括知情、删除、更正、选择退出、限制使用和不受歧视等权利 |
| 数据泄露通知 | 需要通知时，一般应在 72 小时内通知监管机构 | 加州泄露相关法律一般要求不得无理拖延、以最快速度通知 |
| DPO | 特定情形下须任命 | CCPA 无一般性 DPO 要求 |
| 本地代表 | 特定非欧盟组织可能须指定第 27 条代表 | CCPA 无一般性对应制度 |
| 跨境传输 | 须遵守 GDPR 第五章的要求 | CCPA 无对应的全面传输机制 |
| 私人诉讼 | 数据主体可依 GDPR 第 82 条请求赔偿 | 私人诉权主要与特定数据泄露相关 |
| GDPR 最高行政罚款 | 特定违法行为最高可处 2,000 万欧元或全球年营业额的 4%，以较高者为准 | 行政处罚和法定赔偿取决于适用条款和具体情形 |
什么是 GDPR？
General Data Protection Regulation（GDPR）是欧盟全面的数据保护框架，规范个人数据的处理，并为作为控制者和处理者的组织设定义务。
在符合其地域适用范围要求时，GDPR 可适用于欧盟境外的组织，包括涉及向欧盟境内个人提供商品或服务或监测其行为的特定活动。
GDPR 以合法、公平和透明、目的限制、数据最小化、准确性、存储限制、安全和问责等原则为基础。
什么是 CCPA？
California Consumer Privacy Act（CCPA）赋予加州消费者对其个人信息的特定权利，并对落入其适用范围的企业施加义务。
CCPA 经 California Privacy Rights Act（CPRA）修订，后者增设了消费者权利，并设立了 California Privacy Protection Agency（加州隐私保护局，CPPA）。
现行 CCPA 框架包含有关透明度、消费者请求、个人信息的出售与共享、敏感个人信息、选择退出偏好信号及其他隐私控制措施的要求。
CPPA 的现行法规包括自 2026 年 1 月 1 日起生效的要求，其中既有更新后的 CCPA 规则，也有针对特定适用企业的风险评估、网络安全审计和自动化决策技术相关要求。
GDPR vs CCPA：主要差异
1. 地域适用范围
GDPR
只要满足第 3 条所定条件，GDPR 即可适用于在欧盟境内或境外设立的组织。
这可能包括下列欧盟境外组织：
- 向欧盟境内个人提供商品或服务
- 监测欧盟境内个人的行为
- 通过欧盟境内的营业机构开展经营
因此，适用性分析应以组织的业务活动和 GDPR 的地域适用范围要求为依据。
CCPA
CCPA 适用于符合法定定义和适用门槛的企业，并非适用于所有处理加州居民信息的组织的一般性隐私法。
是否适用取决于组织的业务活动、收入以及所处理的加州消费者个人信息的数量或性质等因素。
主要差异： GDPR 围绕地域适用性以及控制者、处理者等角色构建，而 CCPA 的适用性侧重于受规制企业和法定门槛。
2. 处理的法律依据
GDPR 与 CCPA 最大的差异之一在于合法处理这一概念。
GDPR
组织必须依第 6 条为每项处理活动确定适当的法律依据，例如：
- 同意
- 合同
- 法定义务
- 重大利益
- 公共任务
- 正当利益
处理特殊类别数据时，还须满足额外条件。
CCPA
CCPA 没有采用 GDPR 的六项合法性基础模式。
它着重强调透明度、消费者权利、对特定用途和披露的限制，以及选择退出个人信息出售或共享等活动的权利。
3. 同意与选择退出
GDPR
同意是可供选择的合法性基础之一，但并非每项处理活动都必须取得同意。
以同意为依据时，同意必须符合 GDPR 的要求，包括自由作出、具体、知情且明确。
CCPA
CCPA 非常重视消费者的选择权和选择退出权。
消费者可能有权选择退出：
- 个人信息的出售
- 为跨情境行为广告而共享个人信息
- 敏感个人信息的特定用途
- 适用情形下的特定自动化决策活动
在适用情形下，加州的框架还承认 Global Privacy Control（GPC）等选择退出偏好信号。
4. 消费者权利与数据主体权利
两个框架都赋予个人实质性的隐私权利，但术语和机制不同。
GDPR 下的权利
视具体情形，个人可能享有以下权利：
- 访问个人数据
- 更正不准确的数据
- 删除个人数据
- 限制处理
- 反对处理
- 数据可携带
- 撤回同意
- 与自动化决策和用户画像相关的权利
CCPA 下的权利
加州消费者可能享有的权利包括：
- 知情权
- 删除权
- 更正权
- 选择退出出售或共享的权利
- 限制敏感个人信息特定用途和披露的权利
- 在适用情形下选择退出特定自动化决策活动的权利
- 不受歧视的权利
California Attorney General（加州总检察长）确认，CCPA 赋予消费者有关获取信息、删除、选择退出出售或共享以及不受歧视的权利。
5. 敏感个人信息
GDPR
GDPR 第 9 条对特殊类别个人数据提供更高水平的保护，包括与健康、用于身份识别的生物识别数据、基因数据、政治观点以及宗教或哲学信仰等方面有关的信息。
处理此类数据一般既需要第 6 条项下的法律依据，也需要满足第 9 条项下的适用条件。
CCPA
CCPA 另行界定了敏感个人信息，并赋予消费者有关此类信息特定用途和披露的权利。
因此，加州框架对待敏感信息的方式与 GDPR 的特殊类别数据模式不同。
6. 数据泄露通知
GDPR
个人数据泄露可能对个人的权利和自由造成风险的，控制者一般须毫不迟延地通知主管监管机构，并在可行的情况下于知悉泄露后 72 小时内完成。
泄露可能对个人造成高风险的，可能还须告知受影响的个人。
CCPA/加州泄露通知法
加州的泄露通知要求是通过该州的数据泄露通知框架及相关隐私规定运作的，并不存在普遍适用的 CCPA 72 小时规则。
受规制的组织应对照适用的加州要求评估事件，并在法定期限内发出通知。
主要差异： GDPR 针对达到通知标准的泄露建立了专门的 72 小时监管机构通知框架；加州则采用另一套法定泄露通知框架。
7. 数据保护官
GDPR
在第 37 条规定的情形下，可能必须任命数据保护官（DPO），包括核心活动涉及大规模定期且系统性监测或大规模处理特殊类别数据的特定组织。
CCPA
CCPA 没有一般性地要求每个受规制企业任命 GDPR 式的数据保护官。
不过，视其业务活动和义务，组织可能需要设置适当的隐私、安全、风险评估和治理职能。
8. 隐私代表
GDPR
在第 27 条适用的情况下，位于欧盟境外的特定组织可能需要依该条指定欧盟代表。
该代表可就处理活动担任监管机构和个人的联络点。
CCPA
CCPA 没有与 GDPR 第 27 条代表要求直接对应的制度。
不过，跨国企业可能仍需要适当的加州隐私治理、消费者请求处理和监管协调安排。
9. 跨境数据传输
GDPR
向欧盟/欧洲经济区以外国际传输个人数据，受 GDPR 第五章规范。
视目的地和具体情形，组织可以依据以下机制：
- 充分性认定
- 标准合同条款
- 约束性企业规则
- 适用情形下的特定克减
CCPA
CCPA 没有建立与 GDPR 第五章相当的全面跨境传输制度。
不过，在个人信息被跨境传输或访问时，组织仍须考虑合同、安全、透明度、供应商管理及其他适用的法律要求。
10. 隐私声明与透明度
GDPR 与 CCPA 都要求组织就其处理活动提供有实质内容的信息。
GDPR
GDPR 隐私声明通常涵盖：
- 控制者的身份与联系方式
- 处理目的
- 法律依据
- 个人数据类别
- 接收方
- 国际传输
- 保存期限
- 数据主体权利
- 投诉权
- 自动化决策（如适用）
CCPA
CCPA 隐私披露通常涵盖：
- 所收集的个人信息类别
- 收集和使用目的
- 来源类别
- 接收方类别
- 消费者权利
- 出售/共享披露
- 敏感个人信息披露
- 选择退出机制
11. 处罚与执法
GDPR
对于特定严重违法行为，GDPR 行政罚款最高可达 2,000 万欧元或上一财政年度全球年营业总额的 4%，以较高者为准。
执法由各国监管机构负责，并通过欧洲数据保护委员会（EDPB）进行协调。
CCPA
CCPA 由 California Privacy Protection Agency（CPPA）和 California Attorney General 负责执法。
CCPA 设有行政处罚条款，并就特定数据泄露规定了有限的私人诉权。处罚金额和法定赔偿取决于适用条款和具体情形。
CPPA 目前公布 CCPA 框架、法规和金额门槛，包括自 2025 年起生效的门槛及后续的法规更新。
GDPR vs CCPA：哪个更严格？
笼统地称其中一个框架“更严格”并不总是准确。
总体而言，GDPR 设定了范围更广的问责框架，包括：
- 法律依据分析
- 处理记录
- 适用情形下的数据保护影响评估
- 特定情形下的数据保护官
- 国际传输要求
- 细致的控制者与处理者义务
- 监管机构的监督
CCPA 则尤其侧重于消费者透明度、出售/共享的选择退出、敏感个人信息、消费者请求以及加州特有的隐私控制措施。
因此，跨国经营的组织应对两个框架分别评估，而不应认为符合其中一个就自动满足另一个。
GDPR vs CCPA：一套隐私计划能否同时覆盖两者？
可以，但该计划应围绕通用的隐私控制框架设计，并在其上叠加各司法管辖区的特定要求。
统一的计划可以包括：
数据清单
识别：
- 收集了哪些个人信息
- 存储在何处
- 为何处理
- 由谁接收
- 保存多久
- 传输至何处
隐私权利管理
建立集中流程，处理：
- GDPR 数据主体请求
- 加州消费者请求
- 身份验证
- 请求跟踪
- 答复期限
- 例外情形与诉讼保全
同意与偏好管理
管理：
- GDPR 同意要求
- Cookie 与跟踪偏好
- CCPA 出售/共享的选择退出
- Global Privacy Control 信号
- 敏感信息偏好
供应商与第三方管理
梳理：
- 处理者
- 服务提供商
- 承包商
- 广告合作伙伴
- 分析服务提供商
- 数据共享关系
事件响应
制定统一的泄露响应流程，明确：
- 适用的司法管辖区
- 通知门槛
- 向监管机构通知的要求
- 向消费者通知的要求
- 证据与文档要求
监管监测
隐私计划应持续监测欧盟和加州两地要求的变化。
CPPA 的现行监管框架包含自 2026 年 1 月 1 日起生效的更新，因此对受加州隐私法约束的组织而言，持续的监管监测尤为重要。
常见问题
我是否需要同时遵守 GDPR 和 CCPA？
如果您的组织符合 GDPR 的地域适用范围要求，同时又属于 CCPA 规制的企业，则可能需要同时遵守两者。两个框架在透明度、访问和删除等方面存在重叠，但要求并不相同。
CCPA 与 GDPR 相同吗？
不相同。两者都是综合性隐私框架，概念上有所重叠，但采用不同的监管结构。GDPR 以数据保护原则、合法性基础和控制者/处理者义务为基础，而 CCPA 着重于加州消费者权利、透明度和选择退出机制。
CCPA 是否像 GDPR 一样要求取得同意？
一般不要求。CCPA 没有采用 GDPR 的合法性基础框架。不过，CCPA 的具体规定在特定情形下可能要求取得同意或设置选择加入机制，包括涉及未成年人的特定要求。
CCPA 是否有 72 小时泄露通知规则？
没有。不应将 CCPA 表述为具有与 GDPR 第 33 条相当的、普遍适用的 72 小时泄露通知期限。加州的泄露通知要求依适用的加州法律运作，应根据事件的性质和具体情形加以评估。
CCPA 是否要求设立数据保护官？
CCPA 没有一般性地要求每个受规制企业任命 GDPR 式的 DPO。不过，组织应根据自身义务和风险状况，建立适当的隐私治理和问责职能。
CCPA 是否要求指定第 27 条代表？
不要求。CCPA 没有与 GDPR 第 27 条欧盟代表要求直接对应的规定。
GDPR 合规是否有助于 CCPA 合规？
有帮助。成熟的 GDPR 计划可以为 CCPA 合规奠定坚实基础，因为两个框架都要求透明度、隐私权利管理、数据治理和问责。不过，仍需增设加州特有的控制措施。
哪些企业应考虑开展 GDPR 与 CCPA 合规评估？
联合评估对以下企业尤其有价值：SaaS 公司、科技公司、电子商务企业、广告与营销平台、AI 公司、医疗健康科技提供商、金融科技企业、全球零售商、数字平台，以及在多个司法管辖区处理消费者数据的公司。
携手 RegulatoryBridge 实现 GDPR 与 CCPA 合规
分别管理 GDPR 和 CCPA 要求，可能造成流程重复、隐私声明不一致以及消费者请求工作流程割裂。
RegulatoryBridge 帮助组织构建跨司法管辖区、协调统一的全球隐私计划。
我们的支持可包括：
- GDPR 合规评估
- CCPA / CPRA 合规评估
- 数据映射与清单
- 隐私声明审查
- 数据主体与消费者请求工作流程
- 同意与偏好管理
- Cookie 与跟踪合规
- 供应商与处理者评估
- 国际数据传输评估
- 泄露响应规划
- 隐私治理与问责
- 监管监测
- 跨境隐私代表服务
- 持续合规支持
在一个计划下涵盖 GDPR 和 CCPA。
控制措施映射一次，合规两次。RegulatoryBridge为您提供单一的DSAR流程、单一的DPO、单一的泄露应急手册--同时涵盖两种框架。