總體而言，盡管中國《個人信息保護法》更多借鑒了 GDPR，且在某些方面，體現出更為嚴格的特點。首先，二者均為通用性立法，但中國《個人信息保護法》對數據處理的合法性事由的限定更為嚴格，例如并沒有借鑒歐盟 GDPR 的規定，將數據控制者或第三方的正當利益作為合法性事由；此外，在同意機制方面，更為嚴格。一是如果將“用戶同意”作為處理個人數據的合法理由，用戶同意必須是清晰明確的，這是底線要求，與歐盟相同；二是對于敏感個人信息的處理，以及個人數據處理的高風險環節（出境，公開，向他人提供等），還要求單獨同意，此處比歐盟嚴格。其次，在信息披露方面，歐盟 GDPR 和美國加州隱私立法對于數據接收方的身份披露，均只要求披露到類型即可，但中國《個人信息保護法》的披露顆粒均要求到數據處理者的具體姓名/名稱和聯系方式等，且必須在數據處理活動之前披露。再次，在法律責任方面，中國建立了更為嚴格的追責體系，民事、行政、刑事領域對于違法行為的追責力度都力度空前。在民事領域確立過錯推定，連帶責任，公益訴訟等機制；在行政責任領域，引入了基于營業額的處罰基準；而在刑事領域，通過近年來陸續出臺的刑事司法解釋，入刑門檻低，刑罰重已然成為個人信息刑事責任體系的突出特點。