关于 gdpr-accountability
gdpr-accountability 是帮助组织落实 GDPR 问责原则的技能，面向负责数据保护治理与合规的团队。它提供文档清单、分阶段实施路线图、证据库结构和成熟度评估框架。
主要功能
- 01整理四类问责文档清单
- 02分阶段规划实施路线图
- 03组织集中式合规证据库
- 04评估五级问责成熟度
- 05安排审计、培训与持续监控
适用场景
- 01建立 GDPR 合规证据组合
- 02规划组织的数据保护治理工作
- 03跟踪审计发现与整改进度
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/gdpr-accountability确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py详细介绍
实施 GDPR 问责框架
概述
第 5(2) 条中的问责原则要求控制者不仅遵守数据保护原则，还必须证明其合规。第 24 条通过要求采取适当的技术和组织措施来落实这一原则，以证明合规，并在必要时进行审查和更新。本技能提供了一套完整的框架，用于建立和维护问责证据档案。
问责文档清单
第 1 级：治理文件
| 文件 | GDPR 参考条款 | 用途 |
|---|---|---|
| 数据保护政策 | 第 24(2) 条 | 对数据保护原则的最高层级承诺，经高级管理层批准 |
| 数据保护战略 | 第 24(1) 条 | 在整个组织中落实数据保护的多年计划 |
| 数据保护治理章程 | 第 24(1)、38 条 | 明确角色、职责、汇报关系和决策权限 |
| DPO 任命书和职权范围 | 第 37-39 条 | 正式任命、独立性、资源和汇报关系 |
| 数据保护培训框架 | 第 39(1)(b) 条 | 培训课程、频率、目标受众和评估标准 |
第 2 级：运营记录
| 文件 | GDPR 参考条款 | 用途 |
|---|---|---|
| 处理活动记录（RoPA） | 第 30 条 | 涵盖所有处理活动并包含必填字段的完整记录 |
| 合法依据登记册 | 第 6、9 条 | 每项处理活动的合法依据评估记录 |
| 数据保护影响评估 | 第 35 条 | 针对高风险处理的风险评估及缓解措施 |
| 合法利益评估 | 第 6(1)(f) 条 | 针对每项基于合法利益的处理活动记录三部分测试 |
| 数据处理协议登记册 | 第 28 条 | 所有处理者关系及 DPA 状态清单 |
| 国际传输记录 | 第 46-49 条 | 传输机制、TIA 和保障措施文档 |
| 同意记录 | 第 7 条 | 有效同意的证据：谁、何时、同意什么以及如何同意 |
第 3 级：事件和响应记录
| 文件 | GDPR 参考条款 | 用途 |
|---|---|---|
| 个人数据泄露登记册 | 第 33(5) 条 | 所有泄露事件的日志，包括未向监管机构报告的事件 |
| 泄露通知记录 | 第 33-34 条 | 向监管机构和数据主体发送通知的记录 |
| 数据主体权利请求日志 | 第 15-22 条 | 所有 DSAR 的日志，包含响应时限和处理结果 |
| 投诉登记册 | 第 77 条 | 数据主体投诉及解决情况的记录 |
第 4 级：审查和保证记录
| 文件 | GDPR 参考条款 | 用途 |
|---|---|---|
| 审计报告 | 第 24(1) 条 | 内部和外部审计发现及整改跟踪 |
| 培训完成记录 | 第 39(1)(b) 条 | 证明员工已完成规定的数据保护培训 |
| 政策审查记录 | 第 24(1) 条 | 所有政策的版本历史和审批记录 |
| DPO 年度报告 | 第 38(3)、39 条 | 向董事会提交的数据保护状况年度报告 |
| 风险登记册 | 第 24(1)、32 条 | 数据保护风险及其可能性、影响和处理计划 |
实施路线图
阶段 1：基础建设（第 1-3 个月）
- 正式任命或确认 DPO，制定职权范围并提供充足资源。
- 起草最高层级的数据保护政策，并提交董事会批准。
- 制定数据保护治理章程，明确各方角色（DPO、指导委员会、处理负责人、数据保护倡导者）。
- 开展初步处理活动清查，以填充 RoPA。
- 为问责记录实施安全的文档管理系统。
阶段 2：运营文档（第 3-6 个月）
- 完成 RoPA，为每项处理活动填写 Art. 30(1) 要求的所有必填字段。
- 对所有处理活动进行合法依据评估，并填写合法依据登记册。
- 识别高风险处理活动，并依据 Art. 35 启动 DPIA。
- 审查所有处理者关系，并签署符合 Art. 28(3) 要求的 DPA。
- 记录国际传输机制，并开展传输影响评估。
- 实施同意管理，并保留可审计的同意记录。
阶段 3：流程与培训（第 6-9 个月）
- 制定以下运营流程：违规通知、DSAR 处理、DPIA 流程、同意管理、数据保留执行。
- 设计并部署数据保护培训计划，设置针对不同角色的模块。
- 建立个人数据违规登记册和事件响应流程。
- 建立数据主体权利请求处理流程，并跟踪 SLA。
- 通过桌面演练测试所有流程。
阶段 4：持续合规（第 9 个月起）
- 安排首次年度数据保护审计。
- 为董事会编制首份 DPO 年度报告。
- 实施持续监控：每季度审查 RoPA，每月统计 DSAR 指标，每周审查违规登记册。
- 将审计发现和事件经验纳入政策与流程更新。
- 跟踪监管动态，并根据需要更新框架。
证据档案结构
在集中式存储库中整理问责证据：
Accountability Portfolio/
├── 01-Governance/
│ ├── data-protection-policy-v3.2.pdf
│ ├── governance-charter.pdf
│ ├── dpo-appointment-letter.pdf
│ └── board-minutes-dp-reporting.pdf
├── 02-Processing-Records/
│ ├── ropa-export-2026-01.xlsx
│ ├── lawful-basis-register.xlsx
│ └── consent-records/
├── 03-Risk-Assessments/
│ ├── dpias/
│ ├── lias/
│ └── transfer-impact-assessments/
├── 04-Processor-Management/
│ ├── dpa-register.xlsx
│ ├── due-diligence-reports/
│ └── signed-dpas/
├── 05-Incidents/
│ ├── breach-register.xlsx
│ ├── breach-notification-records/
│ └── dsar-log.xlsx
├── 06-Training/
│ ├── training-programme.pdf
│ └── completion-records/
├── 07-Audits/
│ ├── audit-reports/
│ └── remediation-tracker.xlsx
└── 08-Annual-Reports/
└── dpo-annual-report-2025.pdf
成熟度评估
从以下五个级别评估问责成熟度：
| 级别 | 描述 | 指标 |
|---|---|---|
| 1 — 临时应对 | 没有系统性的问责机制 | 缺少政策、没有 RoPA、没有 DPO、没有培训 |
| 2 — 被动响应 | 因事件或投诉而开展基本合规工作 | 存在部分政策，RoPA 不完整，培训零散 |
| 3 — 已定义 | 建立了系统性框架，并制定了文档化流程 | 所有 Tier 1-2 文档均已建立，已任命 DPO，每年开展培训 |
| 4 — 已管理 | 通过指标和监控主动维护框架 | 定期审计、跟踪 DSAR、维护违规登记册、向董事会报告 |
| 5 — 已优化 | 通过主动风险管理持续改进 | 将隐私保护设计融入工作，实施自动化监控，开展预测性风险评估 |
评论
支持 Markdown