GDPR 审计压力测试

GDPR 审计的难点通常不是“没做合规”，而是材料分散在不同团队：法务手里有 RoPA，产品埋点未记录合法性依据，跨境传输清单只有供应商名称。一旦遇到内部审计、数据泄露响应或收购尽调，准备时间非常有限。gdpr-audit-prep 的作用是在你启动审计前，用六道 DPO 式追问把关键证据逼出来。

它解决什么问题

该技能面向控制者与处理者的内部合规复核，尤其适合年度内部审计、季度 RoPA 更新、高风险处理活动上线前、泄露发生后的响应复盘，以及并购前的目标公司隐私姿态检查。它会针对 GDPR 的具体条款生成可执行的索取清单，而不是泛泛的检查表。

核心能力

1. RoPA 完整性校验（Art. 30）：要求提供最近更新的记录处理活动清单，并核对控制者与处理者分别应包含的字段。联合控制者安排必须有书面说明。

2. 合法性依据排他性（Art. 6）：每个处理目的只能选择一个 Art. 6 依据。若使用“合法利益”，必须提供 LIA；若使用“同意”，需验证撤回机制。特殊类别数据还要对应 Art. 9(2) 例外。

3. DPIA 压力测试（Art. 35）：对高风险处理活动，要求展示包含处理描述、必要性与比例性评估、风险与缓解措施的 DPIA。若涉及 AI 系统，还需与 EU AI Act 的 FRIA 交叉引用。

4. DSAR 响应时效（Art. 15-22）：抽取最近 30 天的访问、更正、删除请求记录，验证是否在 1 个月内完成，并检查身份验证、备份删除等操作细节。

5. 跨境传输影响评估（Schrems II）：要求提供非欧盟传输的 TIA，核对是否采用充分性认定、SCC 或克减，并验证补充措施是否落实。

6. 全量泄露日志（Art. 33(5)）：要求展示所有泄露事件的记录，不仅限于已通报监管机构的事件，并检查 72 小时内的 DPA 通报与受影响主体通知是否按规则执行。

适用边界

该技能用于发现证据缺口和逻辑不一致，不提供法律意见。对于复杂或特殊案件，仍需咨询数据保护官或专业律师。