关于 gdpr-parental-consent
该技能为直接面向儿童的信息社会服务提供 GDPR 第 8 条家长同意核验框架，适用于处理儿童个人数据的控制者。内容包括成员国年龄门槛、风险分级核验方式及同意记录要求。
主要功能
- 01判断第 8 条适用条件
- 02参考各成员国年龄门槛
- 03按风险选择家长核验方式
- 04记录同意及核验信息
适用场景
- 01为儿童服务确定是否需要家长同意
- 02按处理风险选择身份核验机制
- 03建立可审计的家长同意记录
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/gdpr-parental-consent确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py详细介绍
GDPR 家长同意验证
概述
GDPR 第 8 条规定，当信息社会服务直接提供给儿童时，基于同意处理个人数据只有在儿童至少 16 岁时才合法。成员国可以将这一年龄门槛下调至最低 13 岁。如果儿童未达到适用的年龄门槛，则必须由行使父母责任的人作出或授权同意。控制者必须考虑现有技术，采取合理措施核实作出同意的人是否行使父母责任。本技能提供了全面的框架，用于落实第 8 条合规要求，参考了 EDPB《5/2020 号指南》、各国的实施规定和执法先例。
法律依据 — GDPR 第 8 条
第 8(1) 条 — 儿童同意的条件
如果在直接向儿童提供信息社会服务时适用第 6(1)(a) 条（同意），那么儿童至少 16 岁时，相关处理才合法。如果儿童未满 16 岁，只有在由对该儿童行使父母责任的人作出或授权同意的范围内，处理才合法。成员国可以通过法律规定用于这些目的的较低年龄，但该年龄不得低于 13 岁。
第 8(2) 条 — 验证义务
在此类情况下，控制者应考虑现有技术，采取合理措施核实同意是否由对该儿童行使父母责任的人作出或授权。
第 8(3) 条 — 不影响其他合法性依据
第 8(1) 条不影响成员国的一般合同法，例如有关儿童合同效力、订立或效果的规则。
欧盟/欧洲经济区成员国的年龄门槛
| 国家 | 年龄门槛 | 国家立法 |
|---|---|---|
| 奥地利 | 14 | 奥地利数据保护法（DSG）第 4(4) 条 |
| 比利时 | 13 | 2018 年 7 月 30 日法案，第 7 条 |
| 保加利亚 | 14 | 个人数据保护法，第 25a 条 |
| 克罗地亚 | 16 | GDPR 实施法，第 19 条 |
| 塞浦路斯 | 14 | 第 125(I)/2018 号法律，第 8 条 |
| 捷克共和国 | 15 | 第 110/2019 Sb. 号法案，第 7 条 |
| 丹麦 | 13 | 丹麦数据保护法，第 6(2) 条 |
| 爱沙尼亚 | 13 | 个人数据保护法，第 8 条 |
| 芬兰 | 13 | 1050/2018 号数据保护法，第 5 条 |
| 法国 | 15 | 《信息与自由法》，第 45 条 |
| 德国 | 16 | GDPR 默认年龄 — 未颁布降低年龄的规定 |
| 希腊 | 15 | 第 4624/2019 号法律，第 21 条 |
| 匈牙利 | 16 | GDPR 默认年龄 — 已修订第 CXII/2011 号法案 |
| 爱尔兰 | 16 | 2018 年数据保护法，第 31 条 |
| 意大利 | 14 | 第 101/2018 号立法法令，第 2-quinquies 条 |
| 拉脱维亚 | 13 | 个人数据处理法，第 10 条 |
| 立陶宛 | 14 | 个人数据法律保护法，第 5 条 |
| 卢森堡 | 16 | 2018 年 8 月 1 日法案，第 8 条 |
| 马耳他 | 13 | 第 586 章数据保护法，第 30 条 |
| 荷兰 | 16 | GDPR 默认年龄 — UAVG 未降低年龄 |
| 挪威 | 13 | 个人数据法，第 5 条 |
| 波兰 | 16 | GDPR 默认年龄 — 2018 年 5 月 10 日法案 |
| 葡萄牙 | 13 | 第 58/2019 号法律，第 16 条 |
| 罗马尼亚 | 16 | GDPR 默认年龄 — 第 190/2018 号法律 |
| 斯洛伐克 | 16 | GDPR 默认年龄 — 第 18/2018 号法案 |
| 斯洛文尼亚 | 16 | GDPR 默认年龄 — 个人数据保护法 |
| 西班牙 | 14 | 第 3/2018 号组织法，第 7 条 |
| 瑞典 | 13 | 2018:218 号法案，第 2 章第 4 条 |
| 英国（脱欧后） | 13 | 2018 年数据保护法，第 9 条；UK GDPR 第 8 条 |
确定何时适用第 8 条
只有在满足以下所有条件时，才适用第 8 条：
-
信息社会服务：通常以营利为目的，通过电子方式远程提供，并根据接收者的个人请求提供的服务（Directive 2015/1535，第 1(1)(b) 条）。包括社交媒体、游戏平台、电子商务、流媒体和教育类应用。不包括向儿童提供的预防或咨询服务。
-
直接向儿童提供：服务面向儿童，或控制者知晓用户群体中包含儿童。相关迹象包括面向儿童的设计、内容或营销，或在应用商店中归入儿童类别。
-
以同意为合法依据：处理依据第 6(1)(a) 条的同意。如果控制者依据其他合法依据（合法利益、履行合同、法定义务）进行处理，则不适用第 8 条；不过，根据序言第 38 条，儿童的最大利益仍然相关。
-
儿童未达到适用的国家门槛年龄：数据主体未达到适用成员国设定的年龄门槛。
家长验证机制
第 1 级——高可靠性（适用于敏感数据或高风险处理，推荐使用）
| 方法 | 说明 | 优势 | 劣势 |
|---|---|---|---|
| 电子身份验证（eIDAS） | 家长使用国家电子身份进行身份验证 | 具有法律约束力，确定性高 | 跨境可用性有限 |
| 视频通话验证 | 与家长进行实时视频通话，由家长出示身份证件 | 可进行有力的视觉确认 | 资源密集，难以扩展 |
| 信用卡交易 | 从家长的信用卡扣取小额款项后退款 | 可通过金融信息验证身份 | 无法覆盖没有银行账户的家长 |
| 政府签发的身份证件上传 | 家长上传政府签发的带照片身份证件 | 基于文件进行验证 | 存在身份证件欺诈风险，并引发数据最小化方面的顾虑 |
第 2 级——中等可靠性（适用于标准处理）
| 方法 | 说明 | 优势 | 劣势 |
|---|---|---|---|
| 邮件加验证 | 向家长发送邮件，并通过基于知识的问题进行确认 | 大规模实施时投入合理 | 儿童可能能够访问该邮箱 |
| 通过回拨进行短信验证 | 向家长的手机号码发送短信验证码 | 与实体设备关联 | 儿童可能会使用家长的手机 |
| 家长账户关联 | 家长创建经过验证的账户，并将其与儿童关联 | 可持续监督 | 创建家长账户会增加操作阻力 |
| 数字签名 | 家长以电子方式签署同意表 | 具有法律效力，可审计 | 要求家长具备数字素养 |
选择验证级别——基于风险的方法
适当的验证级别取决于：
- 收集的数据性质：特殊类别数据（第 9 条）要求采用第 1 级验证
- 数据量：对儿童进行广泛画像分析或监控，要求采用第 1 级验证
- 处理目的：与教育工具相比，营销或行为广告要求更高的可靠性
- 对儿童的风险：允许与陌生人直接消息往来或社交互动的服务要求采用第 1 级验证
- 可用技术：根据第 8(2) 条，控制者必须考虑实施时可用的技术
同意记录要求
必须使用以下字段记录每项家长同意，以履行第 7(1) 条规定的证明义务：
| 字段 | 说明 | 示例 |
|---|---|---|
consent_id | 同意记录的唯一标识符 | PC-2026-0001457 |
child_identifier | 假名化的儿童标识符 | child_a3b7c9d2 |
child_age_at_consent | 同意时儿童的年龄 | 12 |
applicable_threshold | 适用的国家年龄门槛 | 13 (Belgium) |
parent_identifier | 假名化的家长标识符 | parent_f4e8a1b6 |
verification_method | 用于验证家长责任的方法 | credit_card_transaction |
verification_outcome | 验证结果 | verified |
purposes | 同意的具体处理目的 | ["account_creation", "content_personalization"] |
data_categories | 涵盖的个人数据类别 | ["name", "age", "usage_data"] |
consent_text_version | 所示同意文本的 SHA-256 哈希值 | a1b2c3d4... |
timestamp | 同意的 ISO 8601 时间戳 | 2026-03-14T10:30:00Z |
withdrawal_mechanism | 家长撤回同意的方式 | parental_dashboard |
expiry_date | 同意审查／到期日期 | 2027-03-14 |
BrightPath Learning Inc. — 实施示例
BrightPath Learning Inc. 运营一个面向欧盟 8–15 岁儿童的教育游戏平台。该平台在法国（年龄门槛：15 岁）、德国（年龄门槛：16 岁）、西班牙（年龄门槛：14 岁）和比利时（年龄门槛：13 岁）提供服务。
实施步骤
步骤 1：年龄收集（中性设计）
- 创建账户时，平台使用可滚动的日期选择器（而非自由文本字段）询问“您出生于哪一年？”
- 年龄提示不会说明提问原因，也不会暗示什么是“正确”答案
- 平台根据回答计算年龄，并应用儿童居住国的年龄门槛
步骤 2：门槛判定
- 法国的 14 岁儿童 → 未达到年龄门槛（15 岁）。需要家长同意。
- 比利时的 14 岁儿童 → 已达到年龄门槛（13 岁）。儿童可以独立同意。
- 德国的 15 岁儿童 → 未达到年龄门槛（16 岁）。需要家长同意。
步骤 3：家长验证流程
- 儿童输入家长的电子邮件地址
- 平台向家长发送验证邮件，其中包含一次性链接
- 家长点击链接并创建家长监督账户
- 家长通过信用卡小额交易验证身份（0.50 欧元将在 48 小时内退还）
- 家长查看并批准具体的处理目的
- 家长收到确认邮件，其中包含家长控制面板的链接
步骤 4：持续家长监督
- 家长控制面板按每项用途显示所有有效同意
- 家长可以随时撤回对任何用途的同意
- 平台每年发送同意续期提醒
- 儿童达到适用的年龄门槛时，平台会通知家长和儿童，并将同意权限移交给儿童
同意记录示例
{
"consent_id": "PC-2026-0003891",
"child_identifier": "child_bp_8f3a2d",
"child_age_at_consent": 12,
"applicable_threshold": 15,
"applicable_country": "FR",
"parent_identifier": "parent_bp_c7e4f1",
"verification_method": "credit_card_micro_transaction",
"verification_outcome": "verified",
"verification_timestamp": "2026-03-14T14:22:00Z",
"purposes": [
{
"purpose_id": "edu_content_delivery",
"description": "Deliver educational gaming content appropriate to child's learning level",
"consented": true
},
{
"purpose_id": "progress_tracking",
"description": "Track learning progress and generate reports for parent",
"consented": true
},
{
"purpose_id": "personalized_recommendations",
"description": "Recommend games based on learning progress and preferences",
"consented": false
}
],
"data_categories": ["name", "age", "learning_progress", "game_interactions"],
"consent_text_version": "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855",
"timestamp": "2026-03-14T14:25:00Z",
"withdrawal_mechanism": "parental_dashboard",
"expiry_date": "2027-03-14",
"controller": "BrightPath Learning Inc.",
"controller_address": "200 Education Lane, Amsterdam, 1012 AB, Netherlands"
}
执法先例
- TikTok（DPC Ireland，2023）：因违反多项规定被罚款 3.45 亿欧元，包括未能为 13 岁以下儿童实施充分的家长同意机制、儿童账户默认设为公开，以及未履行《条例》第 5(1)(a)、5(1)(c)、12、13、24 和 25 条规定的透明度义务。
- Instagram（DPC Ireland，2022）：因允许 13 至 17 岁儿童使用默认公开的商业账户，导致儿童联系信息暴露，被罚款 4.05 亿欧元。这与未充分履行第 8 条和第 25 条义务有关。
- Google/YouTube（FTC，2019）：因收集儿童个人信息（持久标识符）用于定向广告，却未获得可验证的家长同意，违反 COPPA，达成 1.7 亿美元和解。
- Fortnite/Epic Games（FTC，2022）：因未经家长通知或同意便收集 13 岁以下儿童的个人信息，并默认启用与陌生人的实时语音和文字通信，达成 2.75 亿美元和解。
- 法国 CNIL — TIKTOK（2022）：因平台上拒绝 Cookie 的操作困难被罚款 500 万欧元，儿童用户数量庞大被视为加重因素。
常见合规失败
- 对所有欧盟业务采用统一年龄门槛：控制者对所有成员国统一采用一个年龄门槛（例如 16 岁），而非根据儿童居住国采用当地适用的门槛
- 仅依赖自行申报：完全依赖儿童自行申报年龄，不采取任何验证机制
- 未验证家长身份：收集家长的电子邮箱，却未验证邮箱持有人是否确实承担家长责任
- 捆绑同意：通过单个复选框获取家长对所有处理目的的同意，而非按目的分别获取具体同意
- 未设置同意有效期：未定期更新家长同意，或未在儿童达到适用年龄门槛时移交授权
- 面向儿童设置 Cookie 墙：除非用户接受所有 Cookie（包括分析和广告 Cookie），否则拒绝其访问服务
集成要点
- 年龄验证方法：第 8(2) 条要求在判定是否需要家长同意前，采取合理措施验证年龄
- 儿童隐私声明：第 12 条的透明度义务要求向家长和儿童双方清楚说明相关信息
- 儿童数据最小化：根据序言第 38 条，在处理儿童数据时，应严格解释第 5(1)(c) 条的数据最小化要求
- 英国 AADC 实施：英国《适龄设计规范》通过 15 项设计标准补充英国 GDPR 第 8 条
- COPPA 合规：对于也面向美国 13 岁以下儿童的服务，COPPA 要求与 GDPR 第 8 条并行适用
评论
支持 Markdown