关于 gdpr-prior-consultation
该技能说明 GDPR 第 36 条下的事前咨询流程，面向在 DPIA 后仍无法充分降低高风险的控制者。内容涵盖触发条件、提交材料、时限及咨询结果处理。
主要功能
- 01判断事前咨询触发条件
- 02整理第 36 条提交材料
- 03跟踪主管机关回复时限
- 04按咨询结果安排后续行动
适用场景
- 01评估高风险处理是否需事前咨询
- 02准备提交监管机构的文件
- 03跟踪回复期限并决定何时启动处理
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/gdpr-prior-consultation确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py详细介绍
开展事前咨询流程
概述
第 36 条要求，若根据第 35 条开展的数据保护影响评估（DPIA）表明，在控制者未采取措施降低风险的情况下，处理活动会造成高风险，且控制者无法充分降低该风险，则控制者必须在处理前咨询监管机构。
何时必须进行事前咨询
满足以下所有条件时，必须进行事前咨询：
- 已根据第 35 条开展 DPIA。
- DPIA 认定数据主体的权利和自由面临高风险。
- 已采取所有合理可行的风险缓解措施。
- 尽管已采取缓解措施，残余风险仍然很高。
所需文件（第 36(3) 条）
控制者必须提供：
- 控制者、共同控制者和处理者各自承担的责任
- 预期处理活动的目的和方式
- 保护数据主体的措施和保障
- DPO 的联系信息
- 根据第 35 条完成的 DPIA
- 监管机构要求的任何其他信息
时间安排
| 阶段 | 时长 | 依据 |
|---|---|---|
| 监管机构首次回复期限 | 自收到材料起 8 周 | 第 36(2) 条 |
| 复杂情况的延期 | 最多额外延长 6 周 | 第 36(2) 条 |
| 最长期限 | 共计 14 周 | 第 36(2) 条 |
| 开始处理 | 仅在收到意见或期限届满后 | 第 36(2) 条 |
咨询流程
步骤 1：提交前准备
- 确认 DPIA 已完成，且包含第 35(7) 条规定的所有必要要素。
- 确认已记录所有可行的风险缓解措施。
- 记录尽管已采取缓解措施，残余风险仍然很高的原因。
- 请 DPO 审核并签署确认。
- 准备包含第 36(3) 条所列全部文件的提交材料。
步骤 2：提交
- 向主管监管机构提交（对于第 56 条所述的跨境处理，提交给牵头监管机构）。
- 如监管机构提供了指定格式，则按该格式提交。
- 保留带有日期戳的提交凭证。
步骤 3：与监管机构沟通
- 及时回复补充信息请求。
- 跟踪 8 周期限以及任何延期通知。
- 在收到意见或期限届满之前，不得开始处理。
步骤 4：处理结果
| 结果 | 行动 |
|---|---|
| 监管机构批准 | 按照其规定的任何条件继续进行 |
| 监管机构提出建议 | 落实建议，并记录合规情况 |
| 监管机构反对或限制 | 不得继续；修改处理方案；如适用则重新提交 |
| 期限内未收到回复 | 记录已提交咨询且期限已届满；可以继续进行 |
成员国差异
第 36(5) 条允许成员国法律要求对符合公共利益的处理活动事前咨询，包括社会保障和公共卫生领域。控制者必须查阅当地实施法规。
触发事前咨询的常见情形
- 大规模生物特征识别系统
- 采用人脸识别技术对公共区域进行系统性监控
- 大规模处理遗传数据
- 缓解措施不足，且会产生法律效力或类似重大影响的自动化决策
- 风险特征难以预测的新技术处理活动
评论
支持 Markdown