privacy-compliance

用途

该技能面向工程师和产品团队，提供构建隐私合规系统的实用框架，覆盖 GDPR、CCPA、同意管理、数据主体权利、DPIA 和跨境传输机制，重点在于“构建什么”和“如何组织”，而非仅讲解法规理论。技能声明：仅提供工程与产品实施指导，不构成法律建议；具体合规决策应咨询合格法律顾问。

何时使用

当用户出现以下需求时触发：为产品实施 GDPR 或 CCPA 合规；设计 Cookie 横幅、同意管理器或偏好中心；开展或模板化数据保护影响评估（DPIA）；处理主体访问请求（SAR）、删除或可携带请求；撰写或审阅隐私政策；实施数据保留或删除计划；配置跨境数据传输（SCC、充分性决定）。不适用于：与个人数据无关的一般安全加固；知识产权、合同或劳动法（需专业法律顾问）。

核心原则

隐私设计：从第一天起将隐私控制构建进架构，数据最小化、访问控制和审计日志是结构性决策，而非上线后追加的功能。
数据最小化：只收集所需数据，仅在必要时保留，并按计划删除。
处理的合法性基础：每项处理活动必须有记录的合法性基础（GDPR）或披露义务（CCPA），“以后可能用到”不是合法性基础。
透明性：用户必须理解收集什么数据、为什么、保留多久、与谁共享；同意必须知情才有效。
问责制：维护处理活动记录（RoPA）、对高风险处理开展 DPIA、必要时任命 DPO、在法定期限内响应数据主体请求。

主要能力

GDPR 与 CCPA 对比

技能提供两法在范围、合法性基础、同意标准、数据主体权利、响应期限、违规通知、处罚、DPO 要求、跨境传输等维度的对照表。例如：GDPR 响应期限 30 天（可延长至 90 天），CCPA 为 45 天（可延长至 90 天）；GDPR 违规通知 72 小时内报监管机构，CCPA 为合理时间；GDPR 处罚最高全球年营业额 4% 或 2000 万欧元，CCPA 每次故意违规最高 7500 美元。

GDPR 第 6 条合法性基础

列出同意、合同、法律义务、重大利益、公共任务、正当利益六种基础及各自适用场景与注意事项。例如同意必须可撤回且撤回与给予同样容易；正当利益必须通过正当利益评估（LIA）。

数据主体权利

对照 GDPR 与 CCPA/CPRA 的权利，包括知情/访问、更正、删除、可携带、限制处理、反对、不受自动化决策约束，并给出实现要点，如删除需级联到主存储、副本、备份和第三方处理者。

跨境传输机制

说明充分性决定、标准合同条款（SCC，2021 版）、约束性公司规则（BCR）、第 49 条例外四种机制的适用场景。

使用方式（常见任务）

GDPR 合规清单：作为产品/工程上线门禁，涵盖数据清单（RoPA、合法性基础、保留期、第三方处理者与 DPA）、技术控制（加密、基于角色的访问与审计、假名化、自动删除任务）、面向用户的义务（隐私政策、Cookie 同意、数据主体请求流程、年龄验证）、组织层面（DPO、违规响应流程、DPIA、员工培训）。
同意管理设计：列出需向用户展示的 Cookie 类别（严格必要、功能/偏好、分析/性能、营销/广告）及是否需要同意。实现要求包括：横幅须在设置任何非必要 Cookie 前出现、接受与拒绝同等显著、链接完整政策、支持类别级粒度选择、记录同意时间戳/版本/信号；偏好中心须可从页脚随时访问、撤回与给予同样容易、跨会话持久化、尊重 GPC 信号。并给出同意记录 schema 示例（含 user_id、session_id、timestamp、policy_version、signal、categories、geo、ip_hash）。
开展 DPIA：GDPR 第 35 条在可能对个人造成高风险时强制要求，系统性画像、大规模敏感数据处理、系统性监控公共区域始终需要。提供五部分模板：处理描述、必要性与比例性、风险识别（可能性×严重性）、风险缓解措施、剩余风险与签署。
处理数据主体请求：响应期限 GDPR 30 天、CCPA 45 天，均可延长一次。身份验证要求。分别说明 SAR/知情权、删除权、可携带权的实现要点，并给出请求跟踪最小字段。
撰写隐私政策：给出结构表，涵盖我们是谁、收集什么数据、为何处理、保留多久、与谁共享、你的权利、跨境传输、Cookie、联系方式、变更。
实施数据保留策略：提供保留决策框架（目的、法律最低/最高保留期、保留时钟起点、删除动作：硬删除/匿名化/归档）及强制执行模式伪代码。
管理跨境数据传输：提供决策树（是否在充分性名单→是否集团内→使用 2021 SCC 模块 1/2→高风险目的地做传输影响评估 TIA→补充措施）及 TIA 关键问题。

适用场景

适用于需要将隐私合规落地为工程与产品实现的团队，包括产品上线前的合规门禁、同意管理组件设计、DPIA 执行、数据主体请求工作流搭建、隐私政策撰写、数据保留自动化、跨境传输配置等。

限制

技能明确声明仅提供工程与产品实施指导，不构成法律建议；合规决策应咨询合格法律顾问。不适用于与个人数据无关的一般安全加固，也不适用于知识产权、合同或劳动法。资料中未提供具体收费、价格、平台支持或效果数据。