GDPR 合规工具

要解决什么问题

在欧盟设立实体、向欧盟用户提供产品，或监控欧盟境内用户行为时，企业需要对照 GDPR 落实合法性基础、告知与同意、数据主体权利、DPO/DPIA、泄露通知以及跨境传输机制。法规条文长、成员国实践有差异，单靠人工对照 Article 6、13–22、30、35 等条款，容易漏项，也难以把检查结论沉淀成可复用的内部记录。

技能如何工作

本技能定位为合规检查指导与文档模板，不执行系统修改或数据操作。核心包括：

• 法规库（references/gdpr-regulation.md）：GDPR 条款摘要、EDPB 指南与执法案例参考
• 合规检查（scripts/gdpr-check.py）：覆盖合法性基础、数据保护原则、主体权利、DPO/DPIA、泄露通知等项，仅输出 JSON 格式报告
• DPIA 辅助（scripts/dpia-generator.py）：处理描述、必要性、风险评估与缓解措施的结构化草稿
• 跨境传输（scripts/cross-border-transfer.py）：充分性决定、SCCs/BCRs 与例外情形的检查维度

可按场景选用检查粒度：basic_compliance、high_risk_processing、cross_business 或 full_audit（12 项）。文件操作限于读取参考文档与写入报告；脚本不联网、不收集或外传用户数据，写入需用户明确授权。

适用边界与注意点

• 法域：仅针对欧盟 GDPR；中国业务用 pipl-compliance，美国加州等用 ccpa-compliance，多法域需组合使用。
• 法律效力：输出为自查与模板草稿，不构成法律意见，不得作为向监管提交的合规证明；重大决策须咨询欧盟数据保护律师。
• 环境：建议先在测试环境验证脚本与报告内容，再用于生产相关流程；报告可能含业务信息，需自行保管与备份。