gdpr-dsgvo-expert

GDPR/DSGVO 专家

用于欧盟《通用数据保护条例》（GDPR）和德国《联邦数据保护法》（BDSG）合规的工具与指南。

---

目录

• 工具
  • GDPR 合规检查器
  • DPIA 生成器
  • 数据主体权利跟踪器
• 参考指南
• 工作流

---

工具

GDPR 合规检查器

扫描代码库，查找潜在的 GDPR 合规问题，包括个人数据模式和风险代码实践。

# Scan a project directory
python scripts/gdpr_compliance_checker.py /path/to/project

# JSON output for CI/CD integration
python scripts/gdpr_compliance_checker.py . --json --output report.json

检测内容：

• 个人数据模式（电子邮件、电话、IP 地址）
• 特殊类别数据（健康、生物识别、宗教信仰）
• 金融数据（信用卡、IBAN）
• 风险代码模式：
  • 记录个人数据
  • 缺少同意机制
  • 无限期的数据保留
  • 未加密的敏感数据
  • 禁用的删除功能

输出：

• 合规评分（0-100）
• 风险分类（严重、高、中）
• 附带 GDPR 条款引用的优先级建议

---

DPIA 生成器

按照第 35 条要求生成数据保护影响评估（DPIA）文档。

# Get input template
python scripts/dpia_generator.py --template > input.json

# Generate DPIA report
python scripts/dpia_generator.py --input input.json --output dpia_report.md

功能特性：

• 自动 DPIA 触发阈值评估
• 基于处理特征的风险识别
• 法律依据要求文档
• 缓解建议
• 生成 Markdown 报告

评估的 DPIA 触发情形：

• 系统性监控（第 35 条第 3 款第 c 项）
• 大规模特殊类别数据（第 35 条第 3 款第 b 项）
• 自动化决策（第 35 条第 3 款第 a 项）
• 欧洲数据保护委员会（EDPB）认可的高风险标准（WP248 rev.01）

---

数据主体权利跟踪器

管理 GDPR 第 15 至 22 条下的数据主体权利请求。

# Add new request
python scripts/data_subject_rights_tracker.py add \
  --type access --subject "John Doe" --email "[email protected]"

# List all requests
python scripts/data_subject_rights_tracker.py list

# Update status
python scripts/data_subject_rights_tracker.py status --id DSR-202601-0001 --update verified

# Generate compliance report
python scripts/data_subject_rights_tracker.py report --output compliance.json

# Generate response template
python scripts/data_subject_rights_tracker.py template --id DSR-202601-0001

支持的权利：

权利	条款	期限
访问权	第 15 条	一个月（第 12 条第 3 款）
更正权	第 16 条	一个月（第 12 条第 3 款）
删除权	第 17 条	一个月（第 12 条第 3 款）
限制处理权	第 18 条	一个月（第 12 条第 3 款）
数据可携权	第 20 条	一个月（第 12 条第 3 款）
反对权	第 21 条	一个月（第 12 条第 3 款）
自动化决策	第 22 条	一个月（第 12 条第 3 款）

功能特性：

• 带逾期提醒的期限跟踪
• 身份验证工作流
• 回复模板生成
• 合规报告

---

参考指南

GDPR 合规指南

references/gdpr_compliance_guide.md

全面的实施指导，涵盖：

• 处理的法律依据（第 6 条）
• 特殊类别数据要求（第 9 条）
• 数据主体权利的实现
• 问责要求（第 30 条）
• 国际数据传输（第五章）
• 数据泄露通知（第 33-34 条）

德国 BDSG 要求

references/german_bdsg_requirements.md

德国特定要求，包括：

• 数据保护官（DPO）任命门槛（BDSG 第 38 条，20 名及以上员工）
• 员工数据处理（BDSG 第 26 条）
• 视频监控规则（BDSG 第 4 条）
• 信用评分要求（BDSG 第 31 条）
• 州数据保护法（Landesdatenschutzgesetze）
• 企业委员会共同决定权

DPIA 方法论

references/dpia_methodology.md

DPIA 分步流程：

• 触发阈值评估标准
• EDPB 认可的高风险指标（WP248 rev.01）
• 风险评估方法
• 缓解措施类别
• 与 DPO 及监管机构的磋商
• 模板与检查清单

---

工作流

工作流 1：新处理活动评估

Step 1: Run compliance checker on codebase
        → python scripts/gdpr_compliance_checker.py /path/to/code

Step 2: Review findings and compliance score
        → Address critical and high issues

Step 3: Determine if DPIA required
        → Check references/dpia_methodology.md threshold criteria

Step 4: If DPIA required, generate assessment
        → python scripts/dpia_generator.py --template > input.json
        → Fill in processing details
        → python scripts/dpia_generator.py --input input.json --output dpia.md

Step 5: Document in records of processing activities

工作流 2：数据主体请求处理

Step 1: Log request in tracker
        → python scripts/data_subject_rights_tracker.py add --type [type] ...

Step 2: Verify identity (proportionate measures)
        → python scripts/data_subject_rights_tracker.py status --id [ID] --update verified

Step 3: Gather data from systems
        → python scripts/data_subject_rights_tracker.py status --id [ID] --update in_progress

Step 4: Generate response
        → python scripts/data_subject_rights_tracker.py template --id [ID]

Step 5: Send response and complete
        → python scripts/data_subject_rights_tracker.py status --id [ID] --update completed

Step 6: Monitor compliance
        → python scripts/data_subject_rights_tracker.py report

工作流 3：德国 BDSG 合规检查

Step 1: Determine if DPO required
        → 20+ employees processing personal data automatically
        → OR processing requires DPIA
        → OR business involves data transfer/market research

Step 2: If employees involved, review § 26 BDSG
        → Document legal basis for employee data
        → Check works council requirements

Step 3: If video surveillance, comply with § 4 BDSG
        → Install signage
        → Document necessity
        → Limit retention

Step 4: Register DPO with supervisory authority
        → See references/german_bdsg_requirements.md for authority list

---

GDPR 核心概念

法律依据（第 6 条）

• 同意：营销、新闻通讯、分析（必须是自由给予、具体、知情的）
• 合同：订单履行、服务交付
• 法律义务：税务记录、劳动法
• 合法利益：欺诈防范、安全（需要进行利益平衡测试）

特殊类别数据（第 9 条）

需要明确同意或符合第 9(2) 条的例外情形：

• 健康数据
• 生物识别数据
• 种族或民族出身
• 政治观点
• 宗教信仰
• 工会成员身份
• 基因数据
• 性取向

数据主体权利

所有权利必须在收到请求后一个月内予以满足（第 12(3) 条）。期限按日历月计算，而非 30 天，对于复杂或数量众多的请求，可再延长两个月。延期须在第一个月内告知数据主体，并说明理由：

• 访问权：提供数据副本及处理信息
• 更正权：更正不准确的数据
• 删除权：删除数据（法律义务除外）
• 限制处理权：在问题解决期间限制处理
• 数据可携权：以机器可读格式提供数据
• 反对权：基于合法利益的处理可据此停止

德国《联邦数据保护法》（BDSG）补充规定

主题	BDSG 条款	关键要求
数据保护官门槛	§ 38	20 名及以上员工须设立数据保护官
雇佣	§ 26	员工数据的详细规则
视频监控	§ 4	标识与比例原则
评分	§ 31	算法须可解释