用途：为生物识别处理系统（人脸、指纹、声纹、虹膜、静脉、步态与打字等行为生物特征）开展 GDPR 数据保护影响评估（DPIA），判断是否触发强制评估并整理评估内容。
主要能力：1）法律定性，按 GDPR 第 4(14) 条界定生物识别数据，按第 9(1) 条判断特殊类别数据禁令及第 9(2) 条豁免（明确同意、雇佣法、重大公共利益、医疗等）；2）触发判断，依据第 35(3)(b) 条大规模特殊类别数据及 WP248rev.01 的规模因素；3）区分验证（1:1）、识别（1:N）与分类三类处理及各自风险；4）系统描述要素：模态、处理模式、采集环境、模板存储、格式、匹配算法、FAR/FRR/EER、活体检测、回退方案、留存期；5）必要性相称性分析，比较非生物识别替代方案与最小化留存；6）风险登记（数据泄露、功能蔓延、准确性歧视、误拒、欺骗攻击、寒蝉效应、不可逆性、第三方被采集）与减缓措施（本地/卡内模板、可撤销生物特征、ISO 30107 活体检测、目的限制、NIST FRVT 准确性测试、非生物回退、标识告知等）；7）执法先例参考，如 CNIL 与 ICO 对 Clearview AI 的处罚、瑞典 Skelleftea 学校人脸考勤案、ICO 对 Serco Leisure 的执法、CNIL 对 Presto 与 P&G 的行动。
使用方式与适用场景：适用于企业、公共机构在部署人脸门禁、考勤、支付认证、边境或监控等场景前的合规评估，也用于审查现有系统。典型输出为 DPIA 结构、合法性依据、风险与减缓措施。
限制：本资料未提供具体安装命令、代码、收费与价格信息；仅提供合规方法论，不能替代法律意见。人脸识别 CCTV 在公共场所通常同时触发第 35(3)(c) 条；模板不得改用于考勤或绩效管理；采集区域需标识告知。