关于 adequacy-assessment
面向处理跨境个人数据传输的隐私与合规团队，指导依据 GDPR 第 45 条评估第三国充分性决定。重点说明部分充分性覆盖的核验、决定监测和传输记录。
主要功能
- 01充分性决定及评估标准
- 02加拿大、日本、美国等部分覆盖分析
- 03接收方适用范围核验
- 04决定状态与复审日期监测
- 05传输登记和备用机制规划
适用场景
- 01核实特定境外接收方是否在覆盖范围内
- 02记录跨境传输所依赖的充分性决定
- 03为决定复审或失效准备备用传输机制
安装
复制下面的命令，在终端中运行。
npx skills add https:/安装后在 Claude Code 中输入/adequacy-assessment确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py详细介绍
评估第三国充分性
概述
GDPR 第 45 条规定，欧盟委员会可以认定第三国、某一领土、第三国内的一个或多个特定行业，或某个国际组织能够确保个人数据获得充分保护。存在此类充分性决定时，可向所涵盖的国家、领土或行业传输个人数据，无需任何特定授权或额外保障要求。本技能将指导如何评估现有的充分性决定，以及如何处理部分充分性覆盖的情况。
欧盟委员会当前的充分性决定
截至 2026 年 3 月，欧盟委员会已对以下国家和领土通过充分性决定：
| 国家/领土 | 决定编号 | 通过日期 | 范围 | 定期审查 |
|---|---|---|---|---|
| 安道尔 | Decision 2010/625/EU | 2010 年 10 月 19 日 | 整个国家 | 持续监测 |
| 阿根廷 | Decision 2003/490/EC | 2003 年 6 月 30 日 | 整个国家 | 持续监测 |
| 加拿大 | Decision 2002/2/EC | 2001 年 12 月 20 日 | 仅限受 PIPEDA 约束的商业组织 | 持续监测 |
| 法罗群岛 | Decision 2010/146/EU | 2010 年 3 月 5 日 | 整个领土 | 持续监测 |
| 根西岛 | Decision 2003/821/EC | 2003 年 11 月 21 日 | 整个领土 | 持续监测 |
| 以色列 | Decision 2011/61/EU | 2011 年 1 月 31 日 | 整个国家 | 持续监测 |
| 马恩岛 | Decision 2004/411/EC | 2004 年 4 月 28 日 | 整个领土 | 持续监测 |
| 日本 | Decision (EU) 2019/419 | 2019 年 1 月 23 日 | 受 APPI 补充规则约束的商业领域 | 每两年审查一次；首次审查于 2021 年 1 月完成；第二次审查于 2023 年进行 |
| 泽西岛 | Decision 2008/393/EC | 2008 年 5 月 8 日 | 整个领土 | 持续监测 |
| 新西兰 | Decision 2013/65/EU | 2012 年 12 月 19 日 | 整个国家 | 持续监测 |
| 韩国 | Decision (EU) 2022/254 | 2021 年 12 月 17 日（2022 年生效） | 受 PIPA 约束的商业和公共部门 | 每两年审查一次 |
| 瑞士 | Decision 2000/518/EC | 2000 年 7 月 26 日 | 整个国家 | 持续监测；依据 2023 年 9 月 1 日生效的修订版 FADP 进行评估 |
| 英国 | Decision (EU) 2021/1772 | 2021 年 6 月 28 日 | 整个国家 | 失效条款：除非续期，否则于 2025 年 6 月 27 日到期；续期评估正在进行 |
| 乌拉圭 | Decision 2012/484/EU | 2012 年 8 月 21 日 | 整个国家 | 持续监测 |
| 美国（DPF） | Decision (EU) 2023/1795 | 2023 年 7 月 10 日 | 仅限依据 EU-US DPF 完成自我认证的组织 | 每年审查一次；首次审查于 2024 年 10 月进行 |
充分性评估标准（第 45(2) 条）
欧盟委员会评估第三国的保护水平是否充分时，会考虑以下因素：
(a) 法治和人权
- 对人权和基本自由的尊重
- 一般性和行业性立法，包括公共安全、国防、国家安全和刑法
- 公共机关访问个人数据的情况
- 数据主体权利是否有效且可执行
(b) 独立监管机构
- 是否设有一个或多个独立监管机构，并有效履职，负责确保和执行数据保护规则
- 是否拥有充分的执法权力，包括调查、介入和实施纠正措施的权力
- 是否不受政府干预，保持独立
(c) 国际承诺
- 第三国承担的国际承诺，包括与个人数据保护相关的多边和双边协议
- 此类承诺所产生的具有约束力且可执行的义务
部分充分性的处理
若干充分性决定仅涵盖一国内的特定行业或组织类型。妥善处理部分充分性至关重要。
加拿大 — PIPEDA 部分充分性认定
范围：充分性认定仅涵盖向受《个人信息保护与电子文件法》（PIPEDA）约束的加拿大组织进行的传输。由总督会同枢密院宣布与 PIPEDA 实质相似的省级私营部门隐私法也在范围内（例如，阿尔伯塔省 PIPA、不列颠哥伦比亚省 PIPA、魁北克省《私营部门个人信息保护法》）。
不涵盖：
- 加拿大公共部门组织（联邦和省级政府机构）
- 依据省级健康信息法规运营的组织
- 不受 PIPEDA 或实质相似法律约束的组织
核验：依赖加拿大充分性认定之前，请确认具体的加拿大接收方受 PIPEDA 或实质相似的省级法律约束。
日本 — APPI 补充规则
范围：充分性认定涵盖受日本《个人信息保护法》（APPI）约束的商业部门实体，以及日本个人信息保护委员会（PPC）专为获得欧盟充分性认定而通过的补充规则。
补充规则：
- 敏感数据的处理：接收欧盟数据的日本运营方必须将收到的所有数据视为“需要特别注意”，无论其依据 APPI 属于何种类别
- 保留期限限制：当数据不再用于使用目的所需时，必须删除
- 后续传输：向日本境外传输数据，必须获得数据主体的同意，或确保接收方所在国家/地区提供同等保护
- 匿名处理的信息：对匿名化数据的使用施加与 GDPR 标准相当的限制
核验：确认日本接收方受 APPI 约束并已落实补充规则。
美国 — DPF 自我认证
范围：仅涵盖向已主动向商务部完成 DPF 自我认证、且受 FTC 或 DoT 管辖的美国组织进行的传输。
不涵盖：
- 美国政府机构
- 未通过认证的美国组织
- 受 FTC/DoT 以外监管机构监管的组织（例如，国家银行、电信运营商、由州保险专员监管的保险公司）
核验：每次传输前，请访问 dataprivacyframework.gov 查看认证状态是否有效。
韩国 — PIPA 覆盖范围
范围：涵盖受 2023 年修订的《个人信息保护法》（PIPA）约束的商业和公共部门组织。
不涵盖：免受 PIPA 约束的情报和国家安全机构所进行的处理。
充分性认定监测
定期审查义务
根据第 45(3) 条，委员会必须至少每四年定期审查充分性认定。部分认定规定了更频繁的审查承诺：
| 认定 | 审查频率 | 上次审查 | 下次审查截止时间 |
|---|---|---|---|
| 日本 | 每两年一次 | 2023 | 2025 |
| 韩国 | 每两年一次 | 2024 | 2026 |
| 美国（DPF） | 每年一次 | 2024 年 10 月 | 2025 年 10 月 |
| 英国 | 日落条款生效前（2025 年 6 月） | 进行中 | 2025 年 6 月 |
| 既有认定（安道尔、阿根廷等） | 至少每 4 年一次 | 不一 | 不一 |
组织的监控措施
- 订阅欧盟委员会通知：关注欧盟委员会的数据保护页面和 EDPB 新闻栏目，了解充分性审查相关公告。
- 跟踪立法变化：关注组织依赖充分性决定的国家和地区的数据保护立法动态。
- 英国充分性决定的到期日：英国充分性决定包含一项到期条款，将于 2025 年 6 月 27 日失效。若未续期，组织必须立即将英国数据传输改用 SCC 或其他机制。
- DPF 法律挑战：关注 CJEU 的诉讼进展，留意是否有人对 DPF 充分性决定提出质疑。
- 维护备用机制：对于依赖即将接受审查或已知存在风险的充分性决定进行的数据传输，应备妥已签署的 SCC，以供应急使用。
实用核查工作流
对于依赖充分性决定的每项数据传输：
- 确定充分性决定：确认目的地国家或地区或所属行业适用哪项决定。
- 核实适用范围：确认具体接收方属于充分性决定的适用范围之内（不存在部分充分性覆盖缺口）。
- 核实决定仍然有效：查看欧盟委员会的充分性决定列表，以及近期的修订、暂停或废止情况。
- 在数据传输登记册中记录：记录充分性决定的参考信息、适用范围核查结果和下次审查日期。
- 设置监控提醒：在日历中标记下次定期审查日期和任何到期条款的截止日期。
- 制定应急计划：对于已知存在风险的决定（英国到期条款、DPF 法律挑战），准备备用 SCC。