• 网络安全法是一部具有多种渊源含义的中国法律。
• 首先网络安全法在中国大陆范围内生效，没有任何国家的法规、规则或地方法规可以覆盖该法律。
• 当不与网络安全法相抵触时，由中国国务院和下属部委制定的行政法规和规章可以规定执行该法律的详细规范、标准和程序。

• GDPR是由欧洲议会和欧盟理事会制定的行政法规或国际协议。
• 尽管GDPR声称是在欧盟及欧洲经济区有效，但不能与欧盟内部主权国家的法律相抵触。
• GDPR没有统一的欧盟执法机构，也没统一的规范、标准和程序。
• 欧盟的每个主权国家都有权制定适用GDPR侵权行为的处罚规则，再由各个监管机构自行采取法律实施行动。

• 网络安全法将个人信息保护视为网络运营者（指网络的所有者、管理者和网络服务提供者）职责的一部分。
• 管理当局可以对他们认为尚未履行有关个人信息保护义务的网络运营商采取执法行动，并可以要求网络运营商提供合规证据。

GDPR

• GDPR倾向于将隐私保护视为数据主体的权利。
• 欧盟的行政当局必须提供证据证明违反法规和数据主体权利的行为，或数据泄露导致了私人数据的泄露，以此证明违反GDPR的行为并进行合理性的处罚。

• 网络安全法是基于地域为原则，要求中国大陆内部任何公司在处理个人信息都必须遵守。
• 因此中国大陆内部的跨国公司也必须遵守网络安全法中的个人信息保护要求，甚至是处理其他国家公民的个人信息。
• 此外市场营销、销售、数据分析、医药、客户关系、以及其他处理个人信息相关行业或业务相关的也必须遵守。

GDPR

• 规定欧盟及欧盟以外的国家或地区向欧盟公民提供服务或商品应符合GDPR要求

• 同时参照《公安行政处罚法》和《中华人民共和国刑法》来确定违法行为的处罚，包括行政罚款，拘留和在最坏情况下的刑事判决。
• 由于公安法和刑法之间的差异，刑罚会因违法行为的严重程度而定。

GDPR

• GDPR主要是行政罚款，分别是：
• 上限一千万欧元/全球年营业额2%，取较大者；
• 上限两千万欧元/全球年营业额4%，取较大者；