关于 dpa-inspection-prep
用于准备 GDPR 监管机构检查的 Skill，面向隐私、法律、安全及业务团队。它帮助组织证据、评估文件就绪度，并为人员访谈做准备。
主要功能
- 01检查类型与常见触发因素
- 02核心及辅助文件清单
- 03文件就绪度评分
- 04按岗位划分的访谈准备
- 05访谈前后流程
适用场景
- 01为已通知的审计准备记录
- 02协调书面询问的答复
- 03准备 DPO、IT 和业务人员访谈
- 04发现检查材料中的缺口
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/dpa-inspection-prep确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py详细介绍
监管机构检查准备
概述
监管机构（数据保护机构，简称 DPA）依据 GDPR 第 58(1) 条行使调查权，包括要求控制者和处理者提供履行其职责所需的任何信息（第 58(1)(a) 条）、以数据保护审计的形式开展调查（第 58(1)(b) 条）、对认证进行审查（第 58(1)(c) 条）、告知控制者或处理者涉嫌违规行为（第 58(1)(d) 条）、获取所有必要的个人数据和信息（第 58(1)(e) 条），以及进入控制者和处理者的任何场所，包括数据处理设备（第 58(1)(f) 条）。
DPA 检查可能由数据主体投诉、全行业执法行动、数据泄露通知、随机抽选、媒体报道或举报人报告触发。检查应对不充分可能导致依据第 58(2) 条采取纠正措施、依据第 83 条处以行政罚款，以及因执法行动公开而造成声誉损害。
Sentinel Compliance Group 持续开展 DPA 检查准备计划，确保组织能在规定时限内有效应对监管机构的预先通知和突击联系。
DPA 联系类型
检查类型
| 类型 | 说明 | 通知期限 | GDPR 依据 |
|---|---|---|---|
| 书面询问 | DPA 发送需要以书面材料作答的问题 | 通常为 14-30 天 | 第 58(1)(a) 条 |
| 预先通知的审计 | 提前通知的正式数据保护审计 | 2-8 周 | 第 58(1)(b) 条 |
| 突击检查 | 未事先通知的现场检查 | 无 | 第 58(1)(f) 条 |
| 投诉调查 | 由数据主体投诉触发的调查 | 不定；通常从书面询问开始 | 第 57(1)(f)、77 条 |
| 数据泄露调查 | 根据第 33 条的数据泄露通知开展的调查 | 通知后数天至数周 | 第 58(1)(a)、(e) 条 |
| 行业专项检查 | 在某一行业内针对多个组织开展的协调调查 | 因 DPA 而异 | 第 57(1)(a)、58(1)(b) 条 |
| 事先咨询后续跟进 | DPA 对第 36 条事先咨询进行跟进 | 不定 | 第 36(2) 条 |
DPA 调查的常见触发因素
| 触发因素 | 可能性 | DPA 的做法 |
|---|---|---|
| 数据主体投诉 | 高 | 针对特定处理活动开展书面询问；可能升级为审计 |
| 数据泄露通知（第 33 条） | 高 | 提出书面问题；若泄露事件严重，则进行现场审计 |
| 媒体报道 | 中 | 初步询问；可能根据调查结果升级 |
| 全行业行动 | 中 | 同时向多个组织发送标准化问卷 |
| 举报人报告 | 中 | 有针对性的调查，可能采取突击方式 |
| 随机抽选 | 低至中 | 全面合规审计；某些 DPA（如 CNIL、AEPD）常采用此方式 |
| 事先咨询义务 | 低 | 跟进 DPIA 咨询结果 |
文档准备清单
核心文件（必须随时可用）
| # | 文件 | GDPR 参考条款 | 存放位置 | 负责人 | 最近更新 |
|---|---|---|---|---|---|
| 1 | 处理活动记录（控制者） | Art. 30(1) | OneTrust RoPA module | DPO | 每季度 |
| 2 | 处理活动记录（处理者） | Art. 30(2) | OneTrust RoPA module | DPO | 每季度 |
| 3 | 隐私政策（所有版本及变更历史） | Art. 13-14 | 法律文件存储库 | Legal | 每次变更时 |
| 4 | 数据保护影响评估（全部） | Art. 35 | DPIA register | DPO | 每次评估时 |
| 5 | 数据处理协议（所有处理者） | Art. 28 | 合同管理系统 | Legal/Procurement | 每份协议签订时 |
| 6 | 合法利益评估（全部） | Art. 6(1)(f) | LIA register | Legal | 每次评估时 |
| 7 | 国际传输机制（SCCs、BCRs、TIAs） | Art. 44-49 | Transfer register | Legal | 每次传输时 |
| 8 | 违规通知记录（所有事件） | Art. 33-34 | 事件管理系统 | CISO/DPO | 每次事件发生时 |
| 9 | DSAR 记录（所有请求及答复） | Art. 12-22 | DSAR 管理系统 | Privacy Ops | 每次请求时 |
| 10 | 同意记录（收集、撤回、偏好） | Art. 7 | CMP database | Privacy Ops | 持续更新 |
| 11 | DPO 任命文件 | Art. 37-39 | HR/Legal | Legal | 每年审查 |
| 12 | 隐私培训记录（所有员工） | Art. 39(1)(b) | LMS | HR/Privacy | 每次完成时 |
| 13 | 数据保护政策和程序手册 | Art. 24(2) | Policy repository | DPO | 每年 |
| 14 | 信息安全政策 | Art. 32 | Policy repository | CISO | 每年 |
| 15 | 供应商风险评估记录 | Art. 28(1) | 供应商管理平台 | Procurement | 每次评估时 |
支持文件（24 小时内可提供）
| # | 文件 | GDPR 参考条款 | 负责人 |
|---|---|---|---|
| 16 | 数据流图和系统架构 | Art. 30, 35(7)(a) | IT Architecture |
| 17 | 数据分类清单 | Art. 5(1)(c), (e) | Data Governance |
| 18 | 保留期限表及各期限的法律依据 | Art. 5(1)(e) | Records Management |
| 19 | 隐私委员会会议纪要（最近 24 个月） | Art. 24(1) | DPO |
| 20 | 内部审计报告（与隐私相关） | Art. 24(1) | Internal Audit |
| 21 | 隐私风险登记册 | Art. 24(1), 32(1) | DPO |
| 22 | 员工隐私政策（工作场所监控、自带设备） | Art. 13-14 | HR/Legal |
| 23 | Cookie 审计结果和 CMP 配置 | ePrivacy Directive Art. 5(3) | Marketing/IT |
| 24 | 子处理者名单（按处理者列出） | Art. 28(2) | Procurement |
| 25 | 近期项目的隐私保护设计文档 | Art. 25 | IT/Engineering |
| 26 | 与监管机构往来记录 | Art. 31 | DPO |
| 27 | 认证和行为准则文件 | Art. 42, 40 | DPO |
| 28 | 跨境执法合作记录 | Art. 60-66 | Legal |
| 29 | 欧盟代表任命文件（如适用） | Art. 27 | Legal |
| 30 | 有约束力的公司规则（如适用） | Art. 47 | Legal |
文件准备度评分
| 准备度等级 | 标准 | 分数 |
|---|---|---|
| 绿色（就绪） | 文件存在、内容为最新（在政策周期内已审查）、易于检索且格式适合展示 | 3 |
| 黄色（部分就绪） | 文件存在，但已逾期未审查、内容不完整，或需要从多个来源汇编 | 2 |
| 红色（未就绪） | 文件不存在、已严重过时，或无法找到 | 1 |
| 不适用 | 文件不适用于该组织 | — |
准备度得分：所有适用文件的分数总和 /（3 × 适用文件数量）× 100
目标：始终保持 >90% 的绿色就绪度
访谈准备
关键人员访谈准备情况
DPA 通常会在检查期间访谈以下岗位人员：
DPO / CPO 面试准备
需要准备的主题：
| 主题 | 需要传达的要点 | 应准备的证据 |
|---|---|---|
| DPO 职责与独立性 | DPO 向最高管理层汇报；履行职责时不受指示；不会因履行职责而被解雇；获得充足资源 | DPO 任命函、组织架构图、预算记录、董事会汇报安排 |
| 隐私计划概览 | 具备结构化计划，涵盖治理、政策、培训、监控和持续改进 | 隐私计划章程、年度计划、成熟度评估 |
| 风险管理 | 系统化识别风险、开展 DPIA 计划、维护风险登记册、管理剩余风险 | DPIA 登记册、风险评估方法、风险登记册摘录 |
| 监管合规 | 多司法管辖区合规框架、监管变更管理、差距分析 | 合规矩阵、法规追踪表、差距整改状态 |
| 数据主体权利 | 建立 DSAR 流程，并跟踪 SLA、开展质量审查和升级处理 | DSAR 指标、示例回复（已脱敏）、流程文档 |
| 国际传输 | 传输映射、适当保障措施、TIA 方法 | 传输登记册、TIA、SCC 签署记录 |
DPO 面试原则：
- 如实、准确地回答问题；不要主动提供超出提问范围的信息
- 如果不确定某项具体细节，应说明将进行核实并提供书面答复
- 引用成文的政策和流程，而不是描述非正式做法
- 展现问责意识：如实承认差距，并说明整改计划
- 及时记录所有提问及所提供的答复
IT / CISO 面试准备
需要准备的主题：
| 主题 | 要点 | 证据 |
|---|---|---|
| 安全措施（第 32 条） | 加密（静态和传输中）、访问控制、日志记录、补丁管理、漏洞管理 | 安全架构图、加密配置、RBAC 矩阵、渗透测试结果 |
| 泄露检测与响应 | SIEM 配置、检测规则、事件响应计划、通知流程 | SIEM 仪表板、事件响应计划、桌面演练记录 |
| 数据删除与保留 | 以技术手段执行保留期限、安全删除方法、备份删除 | 删除作业日志、NIST SP 800-88 合规情况、保留期限自动化配置 |
| 访问管理 | 身份与访问管理、特权访问控制、访问审查、撤销访问权限 | IAM 配置、访问审查记录、撤销访问权限 SOP |
| 假名化与匿名化 | 使用的技术、可逆性评估、密钥管理 | 技术文档、匿名化风险评估 |
业务流程负责人面试准备
需要准备的主题：
| 主题 | 要点 | 证据 |
|---|---|---|
| 处理目的与合法依据 | 清楚说明收集和处理数据的原因；明确合法依据 | RoPA 条目、LIA（如基于合法利益）、同意记录（如基于同意） |
| 数据最小化 | 说明每个数据元素的必要性 | 各处理目的对应的数据元素必要性说明 |
| 数据主体告知 | 如何向数据主体告知相关处理活动 | 隐私声明、分层告知、即时通知 |
| 保留期限 | 数据保留时长及原因 | 保留期限表、保留期限的法律依据 |
| 向第三方共享 | 数据接收方及共享原因 | 接收方名单、DPA、数据流图 |
访谈行为规范
访谈前：
- 法律顾问确认调查范围以及 DPA 的法律权限
- 确定受访者，并向他们说明可能涉及的主题
- 按主题整理并准备证据活页夹或数字文件夹
- 指定记录员，实时记录访谈内容
- 向受访者说明访谈原则（陈述事实、准确、不要主动提供信息）
访谈期间：
- 介绍参与者的姓名和角色
- 确认 DPA 检查的范围和法律依据
- 尽可能要求以书面形式提出问题
- 如果问题含糊不清，请求对方澄清
- 记录员逐字记录所有问题和回答
- 不提供原始文件；提供副本或受控访问权限
- 如果问题需要调查研究，承诺在明确的期限内答复（通常为 5-10 个工作日）
- 不要猜测或假设；只陈述有记录佐证的事实
访谈后：
- 在 24 小时内进行内部复盘
- 完成并分发访谈记录
- 确定后续承诺并指派负责人
- 开始准备承诺提供的答复或文件
- 更新 DPA 往来记录
技术演示流程
DPA 常要求的技术演示
| 演示内容 | DPA 希望查看的内容 | 准备步骤 |
|---|---|---|
| DSAR 履行 | 从受理到答复的端到端 DSAR 处理流程 | 在预发布环境中准备测试 DSAR；逐步演示每个环节；展示身份验证、从所有系统检索数据、审核答复以及发送答复 |
| 同意管理 | 同意的收集、存储和撤回处理 | 展示 CMP 配置；演示如何获取同意；展示同意数据库记录；演示撤回处理及下游执行 |
| 数据删除 | 保留期限届满或收到删除请求后的技术删除流程 | 展示删除作业配置；在预发布环境中演示删除执行；展示数据已无法恢复的验证结果；说明备份数据的删除方式 |
| 访问控制 | 个人数据访问的 RBAC 配置 | 展示 IAM 系统；演示角色分配；展示访问审查流程；演示未经授权的用户无法访问 PII |
| 加密 | 静态存储和传输中的个人数据加密 | 展示数据库加密配置；演示 TLS 证书部署；展示密钥管理流程 |
| 违规检测 | 如何检测和评估违规事件 | 展示 SIEM 规则；演示警报工作流；演练模拟违规场景 |
| 日志记录与审计跟踪 | 个人数据访问日志 | 展示日志配置；演示日志审查流程；展示日志保留和完整性控制措施 |
演示环境准备
- 预发布环境：维护一个包含匿名化数据的预发布环境，使其与生产环境一致，以供演示使用
- 测试账户：预先配置具有适当角色的测试账户，以供演示使用
- 演示脚本：为每个系统准备分步演示脚本
- 屏幕录制：如果 DPA 提出要求，请准备好提供屏幕录制
- 技术支持：确保系统管理员和开发人员在演示期间可以提供支持
应答流程
未经通知的检查流程
DPA Arrives On-Site
↓
Reception notifies DPO/Legal (immediate phone call)
↓
DPO/Legal arrives at reception within 15 minutes
↓
Verify inspector credentials (official ID, authorization letter)
↓
Confirm scope of inspection (which processing activities, which legal basis)
↓
Escort inspectors at all times (never leave unaccompanied)
↓
Provide requested documents (copies, not originals)
↓
Designate meeting room for interviews
↓
Note-taker present at all interactions
↓
Do not obstruct (Art. 83(5)(e): failure to cooperate is fineable)
↓
At conclusion: obtain list of follow-up requests and deadlines
↓
Internal debrief within 2 hours of departure
书面问询应答流程
Written Inquiry Received (email, letter, secure portal)
↓
DPO acknowledges receipt within 2 business days
↓
Legal reviews the inquiry for scope and legal basis
↓
DPO assigns response owner(s) for each question
↓
Response drafting (owner gathers evidence, drafts responses)
↓
DPO reviews draft responses for accuracy and completeness
↓
Legal reviews for legal privilege, scope compliance, and strategic considerations
↓
Senior management approves (if required by response materiality)
↓
Response submitted via the DPA's specified channel
↓
Response logged in DPA correspondence register
↓
Deadline: per DPA instruction (typically 14-30 days; request extension if needed)
升级矩阵
| 情况 | 升级级别 | 行动 |
|---|---|---|
| 常规书面咨询 | DPO + 相关业务部门 | 标准响应流程 |
| 已通知的审计 | DPO + Legal + CISO + CPO | 正式准备，召开法律策略会议 |
| 未通知的检查 | DPO + Legal + CPO + 通知 CEO | 立即响应协议 |
| 投诉调查（重大） | DPO + Legal + 业务部门负责人 | 有针对性的响应，根本原因分析 |
| 泄露调查 | DPO + Legal + CISO + CPO + CEO | 启动完整的事件响应团队 |
| 正式执法程序 | DPO + Legal + 外部法律顾问 + CPO + CEO + 通知董事会 | 法律辩护策略，聘请外部法律顾问 |
检查后的后续跟进
立即跟进（1 周内）
- 完成并分发全面的检查记录
- 创建行动登记表，记录所有承诺和截止日期
- 为每项后续任务指定负责人
- 开始准备已承诺提供的文件和答复
- 根据 DPA 的问题和关注重点，识别潜在调查结果
- 如果可能采取执法行动，聘请外部法律顾问
对 DPA 调查结果的响应
当 DPA 发布调查结果或建议时：
| DPA 行动 | 所需响应 | 时间线 |
|---|---|---|
| 非正式建议 | 自愿实施；记录决定 | 30-60 天 |
| 正式警告（Art. 58(2)(a)） | 确认收到；实施纠正措施；反馈结果 | 按 DPA 指示 |
| 合规命令（Art. 58(2)(c)-(j)） | 实施所需变更；报告合规情况 | 按 DPA 指示（通常为 30-90 天） |
| 行政罚款（Art. 83） | 缴纳罚款或提出申诉；无论如何都要实施纠正措施 | 按 DPA 指示缴款；在国家规定的期限内提出申诉 |
| 处理禁令（Art. 58(2)(f)） | 立即停止处理；实施所需措施；申请解除禁令 | 立即执行；证明合规后恢复处理 |
经验教训流程
每次与 DPA 互动后：
- 记录完整的互动时间线
- 评估准备计划的有效性
- 识别检查暴露出的文件或流程缺口
- 根据 DPA 的要求更新文件准备清单
- 根据提出的问题更新访谈准备材料
- 为关键人员开展复训
- 更新检查准备计划
- 与隐私团队分享匿名化的经验教训
Sentinel Compliance Group 的 DPA 检查准备情况
- 文件准备评分：94% 为绿色（30 份文件中有 28 份为绿色；2 份为黄色：两家供应商的子处理方清单待更新）
- 访谈准备情况：DPO、CISO 和 5 位业务流程负责人已完成年度访谈准备复训；上次复训于 2024 年 12 月进行
- 技术演示：维护与生产环境每周同步的预发布环境（已匿名化）；所有 7 种常见场景的演示脚本均为最新
- 响应协议测试：每年开展一次模拟未通知检查的桌面演练；上次演练于 2024 年 11 月进行；发现并解决了 3 项改进事项
- DPA 互动历史：2024 年共进行 4 次互动（2 次投诉调查、1 份行业专项问卷、1 次泄露后续询问）；均已妥善解决，未采取正式执法行动
- 响应时间表现：从收到 DPA 询问到提交答复的平均时间：11 个工作日（目标：在 DPA 规定的截止日期内，通常为 14-30 天）
- 未通知检查准备情况：接待人员已接受初始响应协议培训；工作时间内可在 15 分钟内联系到 DPO；已建立非工作时间 DPO 值班轮换机制
评论
支持 Markdown