用途
GDPR/DSGVO Expert 用于支持欧盟《通用数据保护条例》（GDPR）与德国《联邦数据保护法》（BDSG）的合规工作，面向需要处理欧盟居民个人数据的开发、法务与隐私团队。它把合规检查、影响评估文档生成和权利请求管理整合为一组可脚本化执行的工具。
主要能力
GDPR 合规检查器
扫描代码库，识别潜在 GDPR 合规问题，包括个人数据模式（邮箱、电话、IP 地址）、特殊类别数据（健康、生物识别、宗教）、金融数据（信用卡、IBAN），以及高风险代码实践：记录个人数据、缺少同意机制、无限期数据保留、未加密敏感数据、删除功能被禁用。输出合规评分（0-100）、风险分级（严重、高、中）和带 GDPR 条款引用的优先整改建议。支持 JSON 输出以便集成 CI/CD。
DPIA 生成器
按 GDPR 第 35 条要求生成数据保护影响评估文档。功能包括自动 DPIA 阈值评估、基于处理特征的风险识别、法律依据要求记录、缓解建议和 Markdown 报告生成。评估的 DPIA 触发条件包括：系统性监控（第 35(3)(c) 条）、大规模特殊类别数据（第 35(3)(b) 条）、自动化决策（第 35(3)(a) 条）以及 WP29 高风险标准。
数据主体权利追踪器
管理 GDPR 第 15-22 条下的数据主体权利请求，支持访问（第 15 条）、更正（第 16 条）、删除（第 17 条）、限制（第 18 条）、可携带（第 20 条）、反对（第 21 条）、自动化决策（第 22 条），期限均为 30 天。功能包括期限跟踪与逾期提醒、身份验证工作流、响应模板生成和合规报告。
参考指南
- GDPR 合规指南：涵盖处理法律依据（第 6 条）、特殊类别要求（第 9 条）、数据主体权利实施、问责要求（第 30 条）、国际传输（第五章）、违规通知（第 33-34 条）。
- 德国 BDSG 要求：包括 DPO 任命门槛（第 38 条 BDSG，20 名以上员工）、雇佣数据处理（第 26 条）、视频监控规则（第 4 条）、信用评分要求（第 31 条）、州数据保护法、劳资协议会共同决定权。
- DPIA 方法论：阈值评估标准、WP29 高风险指标、风险评估方法、缓解措施类别、DPO 与监管机构协商、模板与清单。
使用方式
工具以 Python 脚本形式提供，在项目目录中执行。合规检查：python scripts/gdpr_compliance_checker.py /path/to/project，JSON 输出：python scripts/gdpr_compliance_checker.py . --json --output report.json。DPIA 生成：先获取输入模板 python scripts/dpia_generator.py --template > input.json，填写后生成报告 python scripts/dpia_generator.py --input input.json --output dpia_report.md。权利请求追踪：添加请求 python scripts/data_subject_rights_tracker.py add --type access --subject "John Doe" --email "john@example.com"，列出请求 list，更新状态 status --id DSR-202601-0001 --update verified，生成报告 report --output compliance.json，生成响应模板 template --id DSR-202601-0001。
适用场景
- 新处理活动评估：扫描代码库、审查发现、判断是否需要 DPIA、生成评估并记录处理活动。
- 数据主体请求处理：记录请求、验证身份、收集数据、生成响应、完成并监控合规。
- 德国 BDSG 合规检查：判断是否需要 DPO、审查雇佣数据、视频监控合规、向监管机构注册 DPO。
- 跨欧盟与美国运营时，可参考 CCPA/CPRA 对比内容，构建统一隐私计划。
- AI 系统合规：涉及自动化决策（第 22 条）、AI 训练数据要求、与 EU AI Act 整合的增强 DPIA 方法论。
限制
资料未提供该工具的具体收费、价格、平台支持范围或效果保证。工具输出为辅助性合规建议，不构成法律意见。部分内容（如 CCPA/CPRA 对比、AI 特定要求、基础设施隐私控制）为参考性说明，实际适用需结合具体业务与法律评估。