mcpField
C
consent-for-transfers

consent-for-transfers

github.com/mukul975安全32338 次安装32 周前更新
代码仓库

关于 consent-for-transfers

面向隐私与合规团队的 GDPR 跨境传输同意管理技能，说明在缺少充分性决定或适当保障措施时，如何处理第 49(1)(a) 条的明确同意。内容也说明必要风险披露及这种例外依据的限制。

主要功能

  1. 01明确同意的要素与信息要求
  2. 02跨境传输风险披露内容
  3. 03同意声明与记录机制
  4. 04第 49 条例外的使用限制
  5. 05监管依据梳理

适用场景

  1. 01评估向第三国传输数据的同意方案
  2. 02编写目的地与风险披露信息
  3. 03判断传输是否适合依赖同意

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/privacy-data-protection-skills --skill consent-for-transfers

安装后在 Claude Code 中输入/consent-for-transfers确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

assets/
template.md
references/
standards.md
workflows.md
scripts/
process.py

详细介绍

管理数据传输的同意

概述

GDPR 第 49(1)(a) 条规定，在不存在充分性决定（第 45 条）或适当保障措施（第 46 条）的情况下，如果“数据主体已明确同意拟议的数据传输，并且在同意前已获知，由于不存在充分性决定和适当保障措施，此类传输可能给数据主体带来的风险”，则可以将个人数据传输至第三国。

这是一项豁免——最后的补救措施——而非主要的数据传输机制。EDPB 关于第 49 条豁免的《指南 2/2018》强调，必须从严解释这些豁免，不应将其作为常规做法。

数据传输的明确同意要求

什么样的同意才算“明确”

第 49(1)(a) 条规定的明确同意标准高于第 6(1)(a) 条规定的常规同意：

  1. 明确声明：数据主体必须专门针对该数据传输明确声明同意。未勾选的复选框足以表示常规同意，但可能不足以构成明确同意——最好采用书面或键入的声明。
  2. 针对特定传输：同意必须明确提及国际数据传输，而不能埋没在通用条款中。
  3. 已获知风险：必须告知数据主体该数据传输的具体风险，而不只是泛泛的警告。
  4. 具体目的地：必须列明第三国或多个第三国的名称。
  5. 披露缺失情况：必须告知数据主体，目的地没有充分性决定，也没有适当保障措施。
同意前必须提供的信息

根据第 49(1)(a) 条及 EDPB《指南 2/2018》：

信息要素说明CloudVault SaaS Inc. 示例
目的地国家具体国家名称India
接收方身份谁将接收数据CloudVault India Pvt. Ltd.（子公司）
数据传输目的传输数据的原因在欧盟夜间时段提供客户支持
数据类别将传输哪些个人数据姓名、电子邮件、账户元数据、支持工单内容
不存在充分性决定India 没有欧盟充分性决定“欧盟委员会尚未认可 India 提供了充分的数据保护水平”
不存在保障措施本次数据传输没有采用 SCC 或 BCR“本次数据传输不受标准合同条款或具有约束力的公司规则保护”
具体风险可能出现的问题“印度数据保护法（DPDP Act 2023）可能无法提供同等保护。政府的数据访问请求可能不受与欧盟法律相同的限制。”
撤回权如何撤回同意“您可以随时在 Settings > Privacy 中撤回对本次数据传输的同意”

CloudVault SaaS Inc. 的数据传输同意实施

场景：向印度传输客户支持数据

CloudVault SaaS Inc. 在印度班加罗尔运营客户支持中心（CloudVault India Pvt. Ltd.）。当欧盟用户在欧盟工作时间之外提交支持工单时，印度的人员可能会访问工单数据。

同意声明（向用户显示）：

“为了向您提供 24/7 客户支持，CloudVault SaaS Inc. 可能会将您的支持工单数据（您的姓名、电子邮件地址、账户详情以及支持请求内容）传输给位于印度班加罗尔的 CloudVault India Pvt. Ltd.。

欧盟委员会尚未对印度作出充分性决定，且此次特定传输不受标准合同条款或有约束力的公司规则保护。

这意味着您的数据可能无法获得与欧盟法律规定同等水平的保护。具体而言：

  • 印度《2023 年数字个人数据保护法》仍处于实施初期，其执法机制尚未完全建立
  • 印度政府机关可能拥有访问个人数据的法定权限，这些权限与欧盟机关所拥有的权限有所不同
  • 您在印度可获得的司法救济可能不同于欧盟法律规定的救济

您无需同意此次传输。如果您不同意，您的支持请求将仅在欧盟工作时间内（周一至周五，08:00-18:00 CET）由我们位于都柏林的支持团队处理。

您可以随时在 Settings > Privacy > Data Transfers 中撤回此项同意。撤回将在 24 小时内生效。”

同意机制
  • 两步流程：(1) 用户阅读完整的风险披露，(2) 用户在文本框中输入“I consent to the transfer”
  • 此输入声明满足“明确”的要求
  • 除所有标准同意记录字段外，还会记录传输专用字段

同意作为传输依据的局限性

根据 EDPB Guidelines 2/2018：

  1. 不适用于系统性／重复性传输：不应依据第 49(1)(a) 条使用同意作为系统性、大规模或重复性传输的依据。此类传输应使用 SCC（第 46(2)(c) 条）或 BCR（第 47 条）。
  2. 并非空白支票：每次传输都必须获得具体同意，或者同意必须涵盖一组定义清晰且范围有限的传输。
  3. 权力不平衡同样适用：同样必须满足自由作出同意的要求——通常情况下，在雇佣关系中对传输作出的同意无效。
  4. 必须能够撤回：如果控制者在操作上无法于撤回同意后停止传输，则同意可能并非适当依据。

主要监管参考资料

  • GDPR 第 44 条——传输的一般原则
  • GDPR 第 45 条——基于充分性决定的传输
  • GDPR 第 46 条——受适当保障措施约束的传输
  • GDPR 第 49(1)(a) 条——例外情形：通过明确同意进行传输
  • EDPB Guidelines 2/2018 on Derogations under Article 49（2018 年 5 月 25 日通过）
  • CJEU C-311/18（Schrems II，2020 年 7 月 16 日）——判定 Privacy Shield 无效；加强了对传输的审查
  • EDPB Recommendations 01/2020——传输的补充措施

评论

支持 Markdown