SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场gdpr-dsgvo-expert

gdpr-dsgvo-expert

安全与审计

查看项目

更新于 10-15 07:47

技能介绍

用途

本技能面向欧盟《通用数据保护条例》（GDPR）及德国《联邦数据保护法》（BDSG）的合规工作，提供可执行的脚本工具与配套参考指南，帮助团队在代码与流程两个层面落实数据保护要求。

主要能力

GDPR 合规检查器

扫描代码库中的潜在 GDPR 合规问题，包括个人数据模式与高风险代码实践。

使用方式：

# 扫描项目目录
python scripts/gdpr_compliance_checker.py /path/to/project

# JSON 输出，用于 CI/CD 集成
python scripts/gdpr_compliance_checker.py . --json --output report.json

检测内容：

  • 个人数据模式（邮箱、电话、IP 地址）
  • 特殊类别数据（健康、生物识别、宗教）
  • 财务数据（信用卡、IBAN）
  • 高风险代码模式：记录个人数据、缺少同意机制、无限期数据保留、未加密敏感数据、删除功能被禁用

输出：合规评分（0-100）、风险分级（严重、高、中）、按优先级排序并附 GDPR 条款引用的建议。

DPIA 生成器

按 GDPR 第 35 条要求生成数据保护影响评估（DPIA）文档。

使用方式：

# 获取输入模板
python scripts/dpia_generator.py --template > input.json

# 生成 DPIA 报告
python scripts/dpia_generator.py --input input.json --output dpia_report.md

功能：自动 DPIA 阈值评估、基于处理特征的风险识别、法律依据要求文档化、缓解建议、Markdown 报告生成。

评估的 DPIA 触发条件：系统性监控（第 35(3)(c) 条）、大规模特殊类别数据（第 35(3)(b) 条）、自动化决策（第 35(3)(a) 条）、EDPB 认可的高风险标准（WP248 rev.01）。

数据主体权利跟踪器

管理 GDPR 第 15-22 条下的数据主体权利请求。

使用方式：

# 新增请求
python scripts/data_subject_rights_tracker.py add \
  --type access --subject "John Doe" --email "john@example.com"

# 列出所有请求
python scripts/data_subject_rights_tracker.py list

# 更新状态
python scripts/data_subject_rights_tracker.py status --id DSR-202601-0001 --update verified

# 生成合规报告
python scripts/data_subject_rights_tracker.py report --output compliance.json

# 生成回复模板
python scripts/data_subject_rights_tracker.py template --id DSR-202601-0001

支持的权利及对应条款与期限：

权利 条款 期限
访问 Art. 15 一个月（Art. 12(3)）
更正 Art. 16 一个月（Art. 12(3)）
删除 Art. 17 一个月（Art. 12(3)）
限制处理 Art. 18 一个月（Art. 12(3)）
可携带 Art. 20 一个月（Art. 12(3)）
反对 Art. 21 一个月（Art. 12(3)）
自动化决策 Art. 22 一个月（Art. 12(3)）

功能：期限跟踪与逾期提醒、身份验证工作流、回复模板生成、合规报告。

参考指南

GDPR 合规指南（references/gdpr_compliance_guide.md）

涵盖处理的合法性基础（第 6 条）、特殊类别要求（第 9 条）、数据主体权利实施、问责要求（第 30 条）、国际传输（第五章）、泄露通知（第 33-34 条）。

德国 BDSG 要求（references/german_bdsg_requirements.md）

德国特定要求，包括 DPO 任命门槛（§ 38 BDSG，20 名以上员工）、雇佣数据处理（§ 26 BDSG）、视频监控规则（§ 4 BDSG）、信用评分要求（§ 31 BDSG）、各州数据保护法、职工委员会共同决定权。

DPIA 方法论（references/dpia_methodology.md）

分步 DPIA 流程：阈值评估标准、EDPB 认可的高风险指标（WP248 rev.01）、风险评估方法、缓解措施类别、DPO 与监管机构协商、模板与清单。

工作流

工作流 1：新处理活动评估

  1. 在代码库上运行合规检查器：python scripts/gdpr_compliance_checker.py /path/to/code
  2. 审查发现结果与合规评分，处理严重与高风险问题
  3. 判断是否需要 DPIA，参考 references/dpia_methodology.md 的阈值标准
  4. 如需 DPIA，生成评估：python scripts/dpia_generator.py --template > input.json，填写处理详情，再运行 python scripts/dpia_generator.py --input input.json --output dpia.md
  5. 记录到处理活动记录中

工作流 2：数据主体请求处理

  1. 在跟踪器中登记请求：python scripts/data_subject_rights_tracker.py add --type [type] ...
  2. 验证身份（采取相称措施）：python scripts/data_subject_rights_tracker.py status --id [ID] --update verified
  3. 从各系统收集数据：python scripts/data_subject_rights_tracker.py status --id [ID] --update in_progress
  4. 生成回复：python scripts/data_subject_rights_tracker.py template --id [ID]
  5. 发送回复并完成：python scripts/data_subject_rights_tracker.py status --id [ID] --update completed
  6. 监控合规：python scripts/data_subject_rights_tracker.py report

工作流 3：德国 BDSG 合规检查

  1. 判断是否需要 DPO：20 名以上员工自动处理个人数据，或处理活动需要 DPIA，或业务涉及数据传输/市场研究
  2. 若涉及员工，审查 § 26 BDSG：记录员工数据的法律依据，检查职工委员会要求
  3. 若有视频监控，遵守 § 4 BDSG：安装标识、记录必要性、限制保留期限
  4. 向监管机构登记 DPO，监管机构列表见 references/german_bdsg_requirements.md

关键 GDPR 概念

合法性基础（第 6 条）

  • 同意：营销、新闻通讯、分析（必须自由给出、具体、知情）
  • 合同：订单履行、服务交付
  • 法律义务：税务记录、雇佣法
  • 正当利益：欺诈预防、安全（需要平衡测试）

特殊类别数据（第 9 条）

需要明确同意或第 9(2) 条例外：健康数据、生物识别数据、种族/民族出身、政治观点、宗教信仰、工会会员身份、基因数据、性取向。

数据主体权利

所有权利必须在收到请求后一个月内履行（Art. 12(3)）。期限按日历月计算，而非 30 天；对于复杂或大量请求，可再延长两个月，但必须在第一个月内告知数据主体延期及理由：

  • 访问：提供数据副本与处理信息
  • 更正：纠正不准确数据
  • 删除：删除数据（法律义务除外）
  • 限制：在问题解决期间限制处理
  • 可携带：以机器可读格式提供数据
  • 反对：停止基于正当利益的处理

德国 BDSG 补充

主题 BDSG 条款 关键要求
DPO 门槛 § 38 20 名以上员工即强制设 DPO
雇佣 § 26 详细的员工数据规则
视频 § 4 标识与相称性
评分 § 31 可解释算法

适用场景与限制

适用于需要对代码库做隐私风险扫描、生成 DPIA 文档、跟踪数据主体权利请求，以及核查德国 BDSG 特定要求的团队，尤其适合有欧盟/德国业务或用户数据的开发、法务与隐私合规岗位。工具以 Python 脚本形式运行，需具备相应的 Python 运行环境。评分与建议为辅助参考，不替代法律意见；具体条款适用、监管机构清单与最新要求应以官方发布为准。技能来源与版本信息暂未提供。