关于 gdpr-compliance-audit
面向数据保护审计人员的 GDPR 审计技能，按八个领域组织 50 多项控制点，并关联具体 GDPR 条款。它支持证据审查、控制测试、分级报告和整改跟踪。
主要功能
- 01八个 GDPR 审计领域
- 0250 多项条款映射控制点
- 03证据审查与控制测试
- 04按严重程度分类发现
- 05整改路线图与后续跟踪
适用场景
- 01规划全组织或专项审计
- 02核验各领域的合规证据
- 03形成分级审计报告
- 04跟踪整改措施进展
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/gdpr-compliance-audit确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py详细介绍
开展数据保护审计
概述
数据保护审计会系统地评估组织在治理、处理活动、数据主体权利、安全措施及第三方安排方面对 GDPR 要求的遵守情况。本技能提供了结构化的审计框架，其中包含 50 多个映射至特定 GDPR 条款的控制点，可帮助审计人员完成全面的合规评估，并提出按优先级排列的整改建议。
审计框架结构
审计分为八个领域，对应 GDPR 的核心章节和条款：
- 数据保护原则（第 5 条）
- 问责制和治理（第 24 条、第 5(2) 条）
- 设计隐私和默认隐私（第 25 条）
- 处理者管理（第 28 条）
- 处理活动记录（第 30 条）
- 处理安全（第 32 条）
- 数据保护影响评估（第 35 条）
- 数据保护官（第 37-39 条）
领域 1：数据保护原则（第 5 条）
| # | 控制点 | GDPR 参考条款 | 所需证据 |
|---|---|---|---|
| 1.1 | 已为每项活动明确、具体地规定并记录处理目的 | 第 5(1)(a)-(b) 条 | 包含具体目的说明的 RoPA |
| 1.2 | 已为每项处理活动确定并记录有效的合法依据 | 第 5(1)(a) 条、第 6 条 | 合法依据登记册／评估记录 |
| 1.3 | 收集的个人数据充分、相关，且仅限于必要范围 | 第 5(1)(c) 条 | 数据最小化审查、字段级依据说明 |
| 1.4 | 个人数据准确且保持最新，并设有更正程序 | 第 5(1)(d) 条 | 数据质量流程、更正日志 |
| 1.5 | 已为所有数据类别规定保留期限，并设有删除／匿名化程序 | 第 5(1)(e) 条 | 保留期限表、删除日志 |
| 1.6 | 采取了适当的安全措施，保护个人数据免遭未经授权的访问、丢失或销毁 | 第 5(1)(f) 条 | 安全控制文档、渗透测试报告 |
| 1.7 | 控制者能够证明其遵守了所有原则（问责制） | 第 5(2) 条 | 汇编的证据档案 |
领域 2：问责制和治理（第 24 条）
| # | 控制点 | GDPR 参考条款 | 所需证据 |
|---|---|---|---|
| 2.1 | 数据保护政策已获高级管理层批准，并传达给所有员工 | 第 24(2) 条 | 已签署的政策、分发记录 |
| 2.2 | 已在组织内正式分配数据保护职责和权限 | 第 24(1) 条 | RACI 矩阵、职位说明 |
| 2.3 | 为所有处理个人数据的员工提供定期数据保护培训 | 第 39(1)(b) 条 | 培训记录、出勤日志、结业证书 |
| 2.4 | 已建立数据保护治理架构，并向董事会层级汇报 | 第 24 条、第 38(3) 条 | 治理章程、董事会会议纪要 |
| 2.5 | 已为所有 GDPR 义务制定成文程序（违规通知、DSAR、DPIA） | 第 24(1) 条 | 带版本控制的程序文档 |
| 2.6 | 按规定间隔开展数据保护合规内部审计 | 第 24(1) 条 | 审计计划、以往的审计报告 |
| 2.7 | 维护并审查数据保护风险登记册 | 第 24(1) 条 | 包含风险评分和处置计划的风险登记册 |
领域 3：设计与默认隐私保护（第 25 条）
| # | 控制点 | GDPR 参考 | 所需证据 |
|---|---|---|---|
| 3.1 | 将隐私要求纳入系统开发生命周期 | 第 25(1) 条 | 包含隐私检查点的 SDLC 文档 |
| 3.2 | 在部署新系统或更改现有处理活动前评估隐私影响 | 第 25(1) 条 | DPIA 筛查记录、变更管理日志 |
| 3.3 | 默认设置确保仅处理必要的个人数据 | 第 25(2) 条 | 配置审查、默认设置文档 |
| 3.4 | 在系统和流程的设计阶段落实数据最小化 | 第 25(1) 条 | 显示最小化决策的设计文档 |
| 3.5 | 在系统设计中考虑假名化和加密 | 第 25(1)、32(1)(a) 条 | 架构文档、加密标准 |
| 3.6 | 用户界面便于数据主体行使权利（访问、删除、可携带） | 第 25(1)-(2) 条 | UI/UX 规范、数据导出功能 |
领域 4：处理者管理（第 28 条）
| # | 控制点 | GDPR 参考 | 所需证据 |
|---|---|---|---|
| 4.1 | 在供应商名册中识别并记录所有处理者 | 第 28(1) 条 | 包含处理者分类的供应商名册 |
| 4.2 | 与所有处理者签订书面数据处理协议，其中包含第 28(3) 条规定的强制性条款 | 第 28(3) 条 | DPA 名册、DPA 样本审查 |
| 4.3 | 在合作前及之后定期对处理者开展尽职调查 | 第 28(1) 条 | 尽职调查问卷、评估报告 |
| 4.4 | 记录次级处理者的授权和通知流程 | 第 28(2)-(4) 条 | 次级处理者条款、通知记录 |
| 4.5 | 通过审计、认证或自我评估监控处理者的合规情况 | 第 28(3)(h) 条 | 已行使的审计权、SOC 2/ISO 27001 证书 |
| 4.6 | 合同终止时，处理者须返还或删除个人数据 | 第 28(3)(g) 条 | 数据返还/删除确认 |
| 4.7 | 在合同中明确规定处理者的违规通知义务，并进行测试 | 第 28(3)(f)、33 条 | DPA 违规条款、事件响应测试结果 |
领域 5：处理活动记录（第 30 条）
| # | 控制点 | GDPR 参考 | 所需证据 |
|---|---|---|---|
| 5.1 | 为所有控制者的处理活动维护完整的 RoPA | 第 30(1) 条 | 包含第 30(1)(a)-(g) 条所有字段的完整 RoPA |
| 5.2 | 为代表控制者进行的所有处理活动维护处理者记录 | 第 30(2) 条 | 包含第 30(2)(a)-(d) 条字段的处理者 RoPA |
| 5.3 | 通过明确的审查和更新流程保持 RoPA 为最新状态 | 第 30(1)-(2) 条 | 最近审查日期、更新流程 |
| 5.4 | 可根据要求向监管机构提供 RoPA | 第 30(4) 条 | 导出功能、访问流程 |
| 5.5 | 以书面形式（包括电子形式）维护 RoPA | 第 30(3) 条 | 电子 RoPA 系统或有文档记录的电子表格 |
领域 6：处理安全（第 32 条）
| # | 控制点 | GDPR 参考 | 所需证据 |
|---|---|---|---|
| 6.1 | 开展风险评估，以确定适当的安全措施 | Art. 32(1)-(2) | 处理活动的风险评估报告 |
| 6.2 | 在适当情况下，对个人数据实施假名化和加密 | Art. 32(1)(a) | 静态数据和传输中数据的加密文档 |
| 6.3 | 确保系统持续具备保密性、完整性、可用性和韧性 | Art. 32(1)(b) | ISO 27001 控制措施、访问管理、业务连续性计划／灾难恢复计划 |
| 6.4 | 发生事故后，能够及时恢复对个人数据的访问 | Art. 32(1)(c) | 备份流程、恢复测试记录 |
| 6.5 | 定期测试和评估安全措施 | Art. 32(1)(d) | 渗透测试报告、漏洞扫描、审计结果 |
| 6.6 | 根据知情必要原则限制对个人数据的访问 | Art. 32(1)(b) | 访问控制矩阵、用户访问权限审查 |
| 6.7 | 通过物理安全控制保护处理个人数据的场所 | Art. 32(1)(b) | 物理安全政策、访问日志 |
| 6.8 | 制定个人数据泄露检测和响应流程 | Art. 33-34 | 事件响应计划、泄露登记册 |
领域 7：数据保护影响评估（第 35 条）
| # | 控制点 | GDPR 参考 | 所需证据 |
|---|---|---|---|
| 7.1 | 定义并向组织传达必须开展 DPIA 的标准 | Art. 35(1),(3) | DPIA 门槛标准、考虑 DPA 黑名单 |
| 7.2 | 在可能导致高风险的处理活动开始前开展 DPIA | Art. 35(1) | 含完成日期的 DPIA 登记册 |
| 7.3 | DPIA 包含 Art. 35(7) 规定的所有必备要素（描述、必要性、风险、措施） | Art. 35(7) | 抽查 DPIA，检查其完整性 |
| 7.4 | 在 DPIA 流程中征求 DPO 的意见 | Art. 35(2) | DPO 意见征询记录、签字确认 |
| 7.5 | 在适当情况下征求数据主体的意见 | Art. 35(9) | 征询记录，或未征询的书面理由 |
| 7.6 | 落实并监控 DPIA 的结果 | Art. 35(11) | 整改跟踪、后续审查 |
| 7.7 | 剩余风险仍然较高时，启动与监管机构的事先协商 | Art. 36 | 事先协商记录（如适用） |
领域 8：数据保护官（第 37-39 条）
| # | 控制点 | GDPR 参考 | 所需证据 |
|---|---|---|---|
| 8.1 | 在法律要求时（公共机构、大规模监控、特殊类别数据）任命 DPO | Art. 37(1) | DPO 任命函、已公布的联系方式 |
| 8.2 | 为 DPO 提供充足资源、独立性以及接触高级管理层的渠道 | Art. 38(1)-(3) | 预算分配、汇报关系文件 |
| 8.3 | 不得就 DPO 履行其职责向其发出指示 | Art. 38(3) | 雇佣／服务合同中的独立性条款 |
| 8.4 | 公布 DPO 的联系方式，并告知监管机构 | Art. 37(7) | 网站公布信息、DPA 通知记录 |
| 8.5 | 及时让 DPO 参与所有数据保护事项 | Art. 38(1) | 会议邀请、意见征询记录 |
| 8.6 | 由 DPO 监控合规情况、提供建议并与监管机构合作 | Art. 39(1) | DPO 活动报告、建议记录 |
审计执行方法
阶段 1：规划（第 1 周）
- 确定审计范围（整个组织或指定领域）。
- 组建具备数据保护和信息安全专业知识的审计团队。
- 提前 2 周向各业务部门发出审计通知。
- 向各领域负责人索取审计前文档资料包。
第 2 阶段：文档审查（第 2–3 周）
- 根据每个控制点审查所有要求的证据。
- 将每项控制分类为：有效、部分有效、无效或尚未实施。
- 找出证据缺失或不足之处。
第 3 阶段：测试与访谈（第 3–4 周）
- 访谈处理负责人、IT 安全人员、人力资源、法律人员和 DPO。
- 对关键控制进行抽样测试（例如，访问审查、违规模拟、DSAR 流程演练）。
- 通过配置审查或工具演示验证技术控制。
第 4 阶段：报告（第 5 周）
- 编制审计报告，并按严重程度对发现进行分类（严重、重大、轻微、观察项）。
- 提供各领域的合规评分和整体成熟度评级。
- 提供按优先级排列的整改路线图，并列出负责人和截止日期。
- 向数据保护指导委员会和董事会汇报发现。
第 5 阶段：后续跟进（持续进行）
- 通过发现登记册跟踪整改措施。
- 根据严重程度，每隔 30/60/90 天进行后续审查。
- 将审计发现纳入年度 DPO 报告和风险登记册更新。
评论
支持 Markdown