用途
该技能用于确保营销活动符合 GDPR 对同意、数据处理与隐私权的要求。适用时机包括：设计同意收集流程、撰写隐私声明、审计营销数据实践、处理数据主体请求、记录合法性依据。常见触发提示包括「为某活动起草隐私声明章节」「如何处理被遗忘权请求」「某处理需要哪些文档」「这个 Cookie 横幅是否合规」等。
方法论基础
依据 GDPR 第 6、7、12 至 23 条及 EDPB 指南，覆盖五个方面：合法性基础判定、同意要求、透明度义务、数据主体权利、文档要求。
分工边界
技能负责：解释 GDPR 要求、起草合规语言、识别合规缺口、创建文档、建议控制措施。使用者负责：业务风险承受度、实施优先级、法律解释、是否需要咨询 DPO、资源分配。
主要能力
第一步，合法性基础评估。GDPR 第 6 条列出六种合法性基础：同意、合同、正当利益、法律义务、重大利益、公共任务。文档需求各不相同，例如同意需同意记录，正当利益需 LIA 文档。营销活动映射中，邮件简报通常用同意（需双重确认与便捷退订），现有客户追加销售、冷启动 B2B 外联通常用正当利益（需 LIA 与退订选项），网站 Cookie、重定向广告通常用同意。
第二步，同意要求。第 7 条的有效同意标准包括：自由给予（不捆绑、无惩罚）、具体（明确目的）、知情（说明对象、内容与原因）、明确（清晰的肯定动作，如未勾选复选框）、可撤回（便捷撤销，如一键退订）。同意记录需包含：谁同意（标识符）、何时（时间戳）、同意什么（目的）、方式（机制）、被告知什么（声明版本）。
第三步，隐私声明要求。第 13、14 条规定的必要元素包括：控制者身份、DPO 联系方式（如适用）、目的、合法性基础、接收方、跨境传输（如适用）、保留期限、权利、撤回方式（若基于同意）、投诉权；来自第三方数据时还需说明来源。
第四步，数据主体权利。访问权、更正权、删除权、限制处理权、可携带权通常为一个月的时限；反对权针对营销应立即生效并停止直接营销。
第五步，文档与记录。需要记录处理活动（ROPA）、正当利益评估、同意记录与机制、版本化的隐私声明、数据主体请求日志、数据泄露通知程序。
使用示例
示例一：为 SaaS 产品设计合规的邮件同意流程，涉及简报、产品更新、促销优惠、第三方合作方优惠。界面要求所有复选框默认未勾选、无全选选项、每个目的独立、隐私声明链接可达、无暗黑模式。同意记录以 JSON 结构保存，包含各目的、是否授予、时间戳、来源与声明版本。邮件页脚需提供管理偏好、退订本列表、退订全部链接，并提供偏好中心逐项开关。合规清单涵盖：同意粒度化、默认未勾选、目的描述清晰、声明可访问、撤回机制明确、保存同意记录、双重确认、每封邮件含退订、提供偏好中心。
示例二：正当利益评估。针对向现有客户邮件推荐相关产品，可使用正当利益而非同意，但需完成评估并提供便捷退订。LIA 三步测试：目的一致性测试、必要性测试、平衡测试。合规要求包括：留存该 LIA 文档、在隐私声明中说明、每封邮件含退订、退订后立即抑制、仅限相似产品、合理频率（不超过每周）。若产品差异很大、客户两年前仅购买一次、数据来自第三方、客户此前已退订或邮件以促销为主，则不应依赖正当利益，应改用同意。
限制
技能能做好：解释 GDPR 要求、起草合规语言、创建文档模板、识别合规缺口。不能做：提供法律建议、了解特定司法辖区的细微差别、保证监管接受、替代 DPO 咨询。遇到复杂跨境传输、监管调查、数据泄露响应、新型处理活动时，应升级至人工处理。
参考资料
GDPR 文本（Regulation 2016/679）、EDPB 同意指南、ICO 直接营销指南、CNIL Cookie 指南。相关技能包括条款分析、合同审查、NDA 生成器。技能元数据：领域为法律/营销，复杂度中级，模式为 centaur，每项评估价值时间为 1 至 2 小时，前置条件为具备基本 GDPR 认知。
（注：原文未提供具体收费、价格或平台信息。）