关于 dpia-register-mgmt
面向 GDPR 合规团队的 DPIA 登记管理技能，说明如何记录评估、安排定期审查，并跟踪处理变更触发的重新评估。涵盖生命周期状态、审查事件及监管报告所需信息。
主要功能
- 01DPIA 核心字段与状态管理
- 02按风险级别规划审查周期
- 03跟踪变更触发的重新评估
- 04记录第 36 条事先咨询
- 05关联缓解计划与 RoPA
适用场景
- 01维护组织的 DPIA 中央登记册
- 02安排高风险处理活动的复审
- 03响应监管机构的登记册检查
安装
复制下面的命令，在终端中运行。
npx skills add https:/安装后在 Claude Code 中输入/dpia-register-mgmt确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py详细介绍
DPIA 登记册管理
概述
GDPR 第 35(11) 条要求控制者对 DPIA 进行审查，“至少在处理操作所代表的风险发生变化时”进行。有效管理 DPIA 登记册可确保所有评估均得到跟踪、按计划审查，并在处理活动发生变化时及时更新。该登记册是问责记录的核心，用于证明控制者已系统地识别并评估组织内的高风险处理活动。
登记册结构
DPIA 记录的核心字段
| 字段 | 说明 | GDPR 参考条款 |
|---|---|---|
| DPIA 参考编号 | 唯一标识符（格式：DPIA-[DEPT]-[YEAR]-[SEQ]） | 第 5(2) 条问责制 |
| 处理活动 | 受评估处理操作的名称和说明 | 第 35(7)(a) 条 |
| RoPA 参考编号 | 指向处理活动记录条目的链接 | 第 30 条 |
| 控制者／联合控制者 | 负责的数据控制者 | 第 35(1) 条 |
| 是否征求 DPO 意见 | 确认是否依照第 35(2) 条征求了 DPO 意见 | 第 35(2) 条 |
| 评估日期 | DPIA 完成日期 | 第 5(2) 条 |
| DPIA 负责人 | 开展评估的人员 | 问责制 |
| 状态 | 草稿、审查中、已批准、需要更新、已归档 | 第 35(11) 条 |
| 总体风险级别 | 缓解措施实施后的剩余风险级别（低／中／高／极高） | 第 35(7)(c)-(d) 条 |
| 事先咨询 | 是否需要依照第 36 条进行事先咨询，以及咨询结果 | 第 36 条 |
| 审查日期 | 下次计划审查日期 | 第 35(11) 条 |
| 审查触发条件 | 将触发提前重新评估的事件 | 第 35(11) 条 |
| 关联缓解计划 | 缓解计划文档的参考信息 | 第 35(7)(d) 条 |
| 批准权限人 | 批准该评估的高级管理人员或董事会成员 | 第 24 条 |
DPIA 生命周期状态
[Screening] ──► [Draft] ──► [DPO Review] ──► [Approved]
│
┌─────────────┤
│ │
[Requires Update] [Active Monitoring]
│ │
└─► [Revised] ─► [Re-approved]
│
[Archived]
筛查：已识别可能需要 DPIA 的处理活动；已开展门槛评估。
草稿：正在编制 DPIA；处理说明、必要性评估和风险评估正在进行中。
DPO 审查：已将完整草稿提交给 DPO，征求其依照第 35(2) 条提出的意见。
已批准：DPIA 已完成审查，已纳入 DPO 的意见，剩余风险已获接受，可以开始处理活动。
持续监控：已批准的 DPIA，持续跟踪缓解措施并定期审查。
需要更新：因处理活动变更、事件或计划审查而触发。
已修订：已更新 DPIA，以应对变更或新风险。
重新批准：修订后的 DPIA 已完成审查并获批准。
已归档：处理活动已停止；根据保留政策留存 DPIA，作为问责记录。
审查安排
第 35(11) 条定期审查要求
GDPR 未规定固定的审查频率。EDPB 建议，DPIA 应“至少在处理操作所代表的风险发生变化时”进行审查。组织最佳实践规定：
| 风险级别 | 审查频率 | 理由 |
|---|---|---|
| 极高（需依照第 36 条进行咨询） | 每 6 个月 | 风险最高，需要最频繁地重新评估 |
| 高 | 每年 | 风险显著，应每年审查 |
| 中 | 每 18 个月 | 风险中等，采用标准审查周期 |
| 低 | 每 24 个月 | 风险较低，可延长审查周期 |
变更触发的审查事件
无论是否已安排审查，出现以下情况时都必须重新评估 DPIA：
- 处理范围变更：新增数据类别、新的数据主体或扩大地域范围
- 技术变更：更换系统或供应商、更新算法、迁移基础设施
- 法律/监管变更：颁布新法规、监管机构发布指导意见或法院作出裁决
- 事件或泄露：发生影响已评估处理活动的数据泄露
- 组织变更：合并、收购、新增控制者或处理者
- 数据主体投诉：出现针对已评估处理活动的投诉趋势
- 审计发现：内部或外部审计发现 DPIA 存在缺陷
- DPO 建议：DPO 发现新出现的风险或背景情况发生变化
向监管机构报告
Art. 35(1) 文档义务
监管机构提出要求时，必须提供 DPIA 登记册供其检查。报告的关键要素：
- 所有已开展 DPIA 的完整清单，包含日期和结果
- 每项 DPIA 的状态（当前有效、需要更新、已归档）
- Art. 36 事先咨询记录及监管机构的回复
- 按计划开展 Art. 35(11) 定期审查的证明
- 每项 DPIA 的 DPO 咨询记录
Art. 36 事先咨询跟踪
对于触发事先咨询的 DPIA，登记册会跟踪以下信息：
| 字段 | 说明 |
|---|---|
| 提交日期 | 向监管机构提交 DPIA 的日期 |
| SA 参考编号 | 监管机构的案件参考编号 |
| 回复日期 | SA 回复的日期 |
| SA 结果 | 批准、有条件批准、提出异议 |
| 条件 | SA 施加的任何条件 |
| 合规状态 | 是否已满足相关条件 |
集成点
- DPIA 风险评分：将风险评估方法纳入登记册的风险等级（参见 dpia-risk-scoring skill）
- DPIA 缓解计划：在登记册中跟踪关联的缓解计划（参见 dpia-mitigation-plan skill）
- DPIA 利益相关方咨询：将咨询记录关联到 DPIA 条目（参见 dpia-stakeholder-consult skill）
- GDPR 问责：登记册作为关键的问责证明（参见 gdpr-accountability skill）
- 自动生成 ROPA：将 RoPA 条目关联到 DPIA 登记册（参见 automated-ropa-generation skill）