用途
该技能服务于 GDPR 第 35(7)(d) 条下的数据保护影响评估（DPIA）。该条款要求 DPIA 必须包含“针对风险拟采取的措施，包括保障措施、安全措施和机制，以确保个人数据保护并证明符合本条例”。技能的作用是提供一个结构化的缓解规划框架，把风险应对从零散描述整理为可跟踪、可验证的计划。
主要能力
技能将缓解策略划分为技术措施与组织措施两大类，并为每类给出示例与 GDPR 条款引用。
技术措施包括：
- 加密：静态、传输中、端到端（GDPR 第 32(1)(a) 条）
- 假名化：令牌化、哈希、密钥编码（第 25(1)、32(1)(a) 条）
- 访问控制：RBAC、MFA、特权访问管理（第 32(1)(b) 条）
- 数据最小化：字段级削减、聚合、抽样（第 5(1)(c)、25(1) 条）
- 匿名化：k-匿名、差分隐私、泛化（序言第 26 条）
- 监控：SIEM、DLP、异常检测（第 32(1)(d) 条）
组织措施包括：
- 政策：数据保护政策、可接受使用（第 24(2) 条）
- 培训：隐私意识、角色专项培训（第 39(1)(b) 条）
- 合同：数据处理协议（DPA）、联合控制者安排、保密协议（第 28、26 条）
- 审计：内部审计、处理者审计、认证（第 28(3)(h) 条）
- 治理：DPO 监督、隐私委员会、RACI（第 37-39 条）
- 事件响应：违规程序、通知协议（第 33-34 条）
使用方式
针对每一项已识别的风险，缓解计划按以下结构逐项组织：
- 风险引用——链接到 DPIA 风险登记条目
- 固有风险等级——缓解前
- 拟采取措施——具体的技术与组织控制
- 实施负责人——责任人
- 实施截止日期——目标完成日期
- 验证方法——如何确认有效性
- 残余风险等级——计划缓解后
- 接受决策——在风险偏好内／需上报／需事前咨询
残余风险决策框架为：低风险接受并记录、例行监控；中风险接受但加强监控并年度复审；高风险上报高级管理层并考虑追加措施；极高风险则在处理前需依第 36 条进行事前咨询。
实施跟踪方面，每项缓解措施经历以下阶段流转：已提议（已识别但尚未批准）、已批准（预算与资源已分配）、进行中（实施开展中）、已实施（已部署并运行）、已验证（通过测试确认有效性）。
适用场景
适用于需要在 DPIA 中系统化编制风险缓解方案、明确责任人与时限、跟踪整改进度、记录残余风险处置决定的隐私合规工作场景。
限制
资料未提供具体的安装命令、代码、收费、价格、平台要求或效果数据，这些事实暂未提供。