用途：依据 GDPR 第 18 条，帮助控制者评估、实施和管理数据主体的“限制处理”请求。限制生效后，数据可被存储，但未经数据主体同意或非法定情形不得继续处理。
主要能力： 1）识别四类限制理由：第 18(1)(a) 条准确性存疑；第 18(1)(b) 条处理不合法且反对删除；第 18(1)(c) 条为法律主张所需；第 18(1)(d) 条依第 21(1) 条提出反对且尚待核实。 2）判断限制期间允许的处理：数据主体同意、法律主张的建立/行使/抗辩、保护他人权利、重要公共利益。 3）技术限制实施：数据库级 restriction_flag、restriction_date、restriction_ground、restriction_reference 字段；应用层查询过滤、API 返回 HTTP 423（Locked）或过滤结果、ETL/报表/分析管道排除、界面遮罩提示；高风险数据可隔离存储并限制为 DPO 与法务访问。 4）第三方通知：依第 19 条通知已接收披露的接收方，要求其停止处理并确认。 5）解除限制：依第 18(3) 条须在解除前通知数据主体，说明理由并告知其权利；同时移除技术标记、恢复处理并通知接收方。
必要用法： 请求以 RST-YYYY-NNNN 格式登记，记录渠道、UTC 时间戳与请求人身份，3 个工作日内确认；核验身份后确定理由并实施限制。标准回应期限为收到请求起 30 个日历日，复杂案件可依第 12(3) 条延长最多 60 日；决定限制后 72 小时内须完成技术标记。复核节奏因理由不同：准确性争议 15 个工作日内；不合法处理按季度；法律主张随程序进展；反对待核实 20 个工作日内完成第 21 条评估。解除前至少提前 7 个日历日通知。记录保留至解决后 3 年。
限制与注意：本技能为合规工作流程指南，不构成法律意见；具体适用需结合所在司法辖区与组织政策。以上内容仅依据所提供资料整理。