gdpr-compliance

营销活动的 GDPR 合规性

确保您的营销活动符合 GDPR 对同意、数据处理和隐私权的要求。

何时使用此技能

• 设计同意收集流程
• 编写隐私声明
• 审计营销数据实践
• 处理数据主体请求
• 记录合法依据

方法论基础

依据 GDPR 第 6、7、12-23 条和 EDPB 指南，涵盖：

• 合法依据的确定
• 同意要求
• 透明度义务
• 数据主体权利
• 文档要求

Claude 的工作与您的决策

Claude 的工作	您的决策
解释 GDPR 要求	业务风险承受度
起草合规文本	实施优先级
识别差距	法律解释
创建文档	是否需要咨询 DPO
建议控制措施	资源分配

说明

第 1 步：合法依据评估

六种合法依据（第 6 条）：

依据	营销用途	所需文档
同意	电子邮件营销、Cookie、跟踪	同意记录
合同	客户沟通	合同条款
合法利益	软性选择加入、B2B 营销	LIA 文档
法律义务	监管沟通	法律依据
重大利益	很少适用	-
公共任务	很少适用	-

营销活动映射：

活动	通常采用的依据	要求
电子邮件简报	同意	双重选择加入、便捷退订
向现有客户推销升级产品	合法利益	LIA，提供退出选项
向陌生 B2B 客户主动联系	合法利益	LIA，明确身份
网站 Cookie	同意	横幅、细化选项
再营销广告	同意	Cookie 同意
潜在客户诱饵	同意	明确目的、单独同意

第 2 步：同意要求

有效同意标准（第 7 条）：

要求	含义	示例
自由给予	不得捆绑，不得处罚	与条款和条件分开
具体明确	明确说明目的	“关于 [X] 的营销电子邮件”
知情	说明对象、内容和原因	提供隐私声明链接
明确无误	明确采取肯定行动	未预先勾选的复选框
可撤回	便于撤销	一键退订

同意记录要求：

Record for each consent:
- Who consented (identifier)
- When (timestamp)
- What they consented to (purpose)
- How (mechanism)
- What they were told (notice version)

第 3 步：隐私声明要求

必需内容（第 13-14 条）：

内容	第一方数据	第三方数据
控制者身份	必需	必需
DPO 联系方式	如适用	如适用
目的	必需	必需
合法依据	必需	必需
接收方	必需	必需
数据传输	如适用	如适用
保留期限	必需	必需
权利	必需	必需
撤回	如基于同意	如基于同意
投诉权	必需	必需
来源	不适用	必需

第 4 步：数据主体权利

权利框架：

权利	时限	对营销的影响
访问权（第 15 条）	1 个月	提供所有营销数据
更正权（第 16 条）	1 个月	更新偏好设置
删除权（第 17 条）	1 个月	从列表中移除
限制处理权（第 18 条）	1 个月	暂停处理
可携权（第 20 条）	1 个月	以机器可读格式导出
反对权（第 21 条）	对营销立即生效	停止直接营销

第 5 步：文档与记录

所需文档：

1. 处理活动记录（ROPA）
2. 合法利益评估
3. 同意记录和机制
4. 隐私声明（注明版本）
5. 数据主体请求日志
6. 数据泄露通知程序

示例

示例 1：营销邮件同意流程

输入：

Design a GDPR-compliant consent flow for:
- SaaS product newsletter
- Product updates
- Promotional offers
- Third-party partner offers

输出：

## GDPR-Compliant Email Consent Flow

### Consent Collection UI

---

**Signup Form Fields:**

邮箱：[________________]

[ ] 我同意接收包含行业见解的月度通讯 [ ] 我同意接收产品更新和功能公告 [ ] 我同意接收促销优惠和折扣信息 [ ] 我同意接收来自我们可信合作伙伴的相关优惠信息

[注册]

注册即表示您确认已阅读我们的[隐私声明]。 您可以随时通过退订链接或联系我们撤回同意。

**Design Requirements:**
- All checkboxes unchecked by default
- No "select all" option
- Each purpose separate
- Privacy notice linked, not buried
- No dark patterns

---

### Consent Record Structure

```json
{
  "email": "[email protected]",
  "consents": [
    {
      "purpose": "newsletter",
      "granted": true,
      "timestamp": "2026-01-31T10:30:00Z",
      "source": "signup_form_v3",
      "notice_version": "privacy_v2.1"
    },
    {
      "purpose": "product_updates",
      "granted": true,
      "timestamp": "2026-01-31T10:30:00Z",
      "source": "signup_form_v3",
      "notice_version": "privacy_v2.1"
    },
    {
      "purpose": "promotional",
      "granted": false,
      "timestamp": null,
      "source": null,
      "notice_version": null
    },
    {
      "purpose": "third_party",
      "granted": false,
      "timestamp": null,
      "source": null,
      "notice_version": null
    }
  ],
  "ip_address": "192.168.1.1",
  "user_agent": "Mozilla/5.0..."
}

---

邮件页脚（必需）

---
You're receiving this because you subscribed to our [newsletter/updates].

Manage preferences: [link]
Unsubscribe from this list: [link]
Unsubscribe from all: [link]

[Company Name]
[Address]
[Contact Email]

---

偏好中心

订阅	状态	操作
月度通讯	[ON/OFF]	行业见解和技巧
产品更新	[ON/OFF]	新功能和改进
促销优惠	[ON/OFF]	折扣和特别优惠
合作伙伴优惠	[ON/OFF]	相关第三方优惠

[更新偏好设置] [全部退订]

---

合规检查清单

• 所有同意均为细分同意（使用单独的复选框）
• 默认情况下不勾选复选框
• 清楚说明每项用途
• 可访问隐私声明
• 明确说明撤回方式
• 已存储同意记录
• 已实施双重确认订阅
• 每封邮件均提供退订方式
• 提供偏好中心

### Example 2: Legitimate Interest Assessment

**Input:**

我们想向现有客户发送与相关产品有关的邮件。 我们是否需要取得同意，还是可以依据合法利益？

**Output:**

合法利益评估：向客户交叉销售

摘要

您很可能可以依据合法利益（而非同意），向现有客户发送有关类似产品的邮件，但必须 完成此评估并提供便捷的退出方式。

---

三部分 LIA 测试

1. 目的测试：是否存在合法利益？

利益： 向现有客户推广相关产品 合法性： 是——客户开发属于公认的商业利益 益处： 增加收入、深化客户关系

✅ 通过

---

2. 必要性测试：处理是否必要？

问题	答案
为实现该利益，发送邮件是否必要？	是——直接沟通渠道
是否有侵扰性更低的方式？	可以使用应用内通知，但效果较差
该处理是否合乎比例？	是——频率有限，内容相关

✅ 通过（附带条件）

条件：

• 仅限真正相关的产品
• 频率合理（不是每天）
• 立即落实退出请求

---

3. 权衡测试：个人权利与您的利益

因素	评估
数据性质	基本联系信息——敏感度低
合理预期	客户会预期卖家向其发送营销信息
关系	现有客户关系
对个人的影响	轻微不便，且易于退出
保障措施	每封邮件均提供退出方式

✅ 通过

---

结论

合法依据： 合法利益（第 6(1)(f) 条）

合规要求：

1. 记录本 LIA并存档
2. 在隐私声明中说明： “我们可能会基于合法利益联系现有客户，介绍类似产品。 您可以随时选择退出。”
3. 便捷退出： 每封邮件都必须提供退订方式
4. 尊重偏好： 选择退出后立即停止发送
5. 仅限类似产品： 不要扩展到无关产品
6. 频率合理： 每周不超过一次

---

邮件页脚模板

You're receiving this as a valued [Company] customer.

Not interested in product updates?
[Opt out of marketing] | [Manage preferences]

This email was sent based on our legitimate interest in keeping
customers informed about relevant products. See our Privacy Notice
for details and your rights.

---

不适用情形

以下情况请改用同意：

• 产品差异很大
• 客户在 2 年多以前只购买过一次
• 您从第三方获取了数据
• 客户之前已选择退出
• 邮件主要用于促销（而非提供信息）

## Skill Boundaries

### What This Skill Does Well
- Explaining GDPR requirements
- Drafting compliant language
- Creating documentation templates
- Identifying compliance gaps

### What This Skill Cannot Do
- Provide legal advice
- Know your specific jurisdiction nuances
- Guarantee regulatory acceptance
- Replace DPO consultation

### When to Escalate to Human
- Complex cross-border transfers
- Regulatory investigation
- Data breach response
- Novel processing activities

## Iteration Guide

**Follow-up Prompts:**
- "Draft the privacy notice section for [activity]"
- "How do we handle a right to erasure request?"
- "What documentation do we need for [processing]?"
- "Is this cookie banner compliant?"

## References

- GDPR Text (Regulation 2016/679)
- EDPB Guidelines on Consent
- ICO Direct Marketing Guidance
- CNIL Cookie Guidelines

## Related Skills

- `terms-analyzer` - Terms of service review
- `contract-review` - DPA analysis
- `nda-generator` - Confidentiality

## Skill Metadata

- **Domain**: Legal / Marketing
- **Complexity**: Intermediate
- **Mode**: centaur
- **Time to Value**: 1-2 hours per assessment
- **Prerequisites**: Basic GDPR familiarity