mcpField
G
group-structure-ropa

group-structure-ropa

github.com/mukul975安全32336 次安装32 周前更新
代码仓库

关于 group-structure-ropa

面向企业集团隐私团队的技能，指导按实体维护 GDPR 第 30 条处理活动记录（RoPA），并建立汇总视图。重点涵盖集团内数据流、共享处理和联合控制者治理。

主要功能

  1. 01区分控制者与处理者记录
  2. 02规划实体级与集团级 RoPA
  3. 03记录集团内数据流与传输
  4. 04处理共享服务和联合控制者安排
  5. 05提供集团治理与并购整合流程

适用场景

  1. 01为集团各法人实体建立 RoPA
  2. 02审查集团内跨境个人数据传输
  3. 03识别共享服务所需的处理者协议
  4. 04将新收购实体纳入集团隐私治理

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/privacy-data-protection-skills --skill group-structure-ropa

安装后在 Claude Code 中输入/group-structure-ropa确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

assets/
template.md
references/
standards.md
workflows.md
scripts/
process.py

详细介绍

集团结构 RoPA

概述

GDPR 第 30 条分别适用于每个控制者和每个处理者。在由控股公司、运营子公司、共享服务中心和合资企业组成的企业集团中，每个独立决定处理目的和方式的实体都必须维护自己的第 30 条第 1 款记录。作为集团公司的处理者行事的实体必须维护第 30 条第 2 款记录。本技能介绍集团级 RoPA 管理的复杂问题，包括实体层级结构、集团内部数据流、共享处理活动和统一治理。

企业集团结构 — Helix Biotech Solutions

Helix Biotech Holdings SE (Netherlands — Holding)
├── Helix Biotech Solutions GmbH (Germany — Primary Operating Entity)
│   ├── Controller for: own employees, clinical trials, marketing
│   └── Processor for: group shared services (see below)
├── Helix Biotech Solutions Ltd (United Kingdom — UK Subsidiary)
│   ├── Controller for: own employees, UK customer data, UK clinical sites
│   └── Joint controller with GmbH for: multi-country clinical trials
├── Helix Biotech Solutions Inc. (United States — US Subsidiary)
│   ├── Controller for: own employees, US customer data
│   └── Processor for: global pharmacovigilance data processing (under GmbH instruction)
├── Helix Shared Services B.V. (Netherlands — Shared Service Centre)
│   ├── Processor for: group-wide IT infrastructure, payroll processing
│   └── Controller for: own employees only
└── Helix Biotech Diagnostics S.A.S. (France — Acquired Entity)
    ├── Controller for: own employees, diagnostic service customers
    └── Integration pending — separate RoPA maintained

实体级记录与集团级记录

实体级 RoPA（必需）

每个法律实体都必须维护自己的 RoPA，其中包含其作为控制者或处理者负责的处理活动。这是法律义务，不能仅凭集团级记录来履行。

实体控制者 RoPA（第 30 条第 1 款）处理者 RoPA（第 30 条第 2 款）
Helix Biotech Holdings SE少量——股东数据、董事会成员数据无
Helix Biotech Solutions GmbH完整——所有德国处理活动是——为集团提供共享服务
Helix Biotech Solutions Ltd完整——所有英国处理活动无
Helix Biotech Solutions Inc.完整——所有美国处理活动是——为 GmbH 进行药物警戒处理
Helix Shared Services B.V.少量——仅自身员工数据是——为所有集团实体提供 IT、人力资源和财务处理服务
Helix Biotech Diagnostics S.A.S.完整——所有法国处理活动无
集团级汇总视图（建议）

除实体级记录外，还应维护集团汇总视图，以便：

  1. 将所有实体级 RoPA 条目汇总到一个可搜索的登记册中。
  2. 突出显示集团内部数据流和传输安排。
  3. 识别共享处理活动和共同控制者安排。
  4. 支持向董事会和监督机构进行集团级报告。
  5. 跨实体开展差距分析（例如，一个实体的记录不完整）。

汇总视图不能在法律上替代实体级记录，但可用于治理和监督。

集团内部数据流

控制者到控制者的数据传输

当一个集团实体向另一个集团实体传输个人数据，且双方各自决定处理目的时，这属于控制者到控制者的数据传输，需要满足以下要求：

  • 法律依据：根据第 6 条第 1 款，为披露行为提供合法依据（通常为第 6 条第 1 款第 f 项的合法利益，并进行集团内部 LIA）
  • 传输机制：如果接收实体位于 EEA 之外，需采用适当的第 V 章保障机制（SCC、BCR、充分性决定）
  • RoPA 文档记录：双方都必须在各自的 RoPA 中记录该传输——披露实体根据第 30 条第 1 款第 d 项记录接收方，接收实体则记录数据来源

示例：

Helix Biotech Solutions GmbH（德国）与 Helix Biotech Solutions Inc.（美国）共享员工名录数据，用于内部沟通。

方面GmbH（披露方控制者）Inc.（接收方控制者）
目的促进集团内员工协作为美国业务维护员工名录
合法依据第 6 条第 1 款第 f 项——合法利益（序言第 48 条：集团内部传输）第 6 条第 1 款第 f 项——合法利益
RoPA 字段第 30 条第 1 款第 d 项：接收方 = Helix Biotech Solutions Inc.；第 30 条第 1 款第 e 项：向美国传输第 30 条第 1 款第 c 项：数据来源 = Helix Biotech Solutions GmbH
传输机制EU-US Data Privacy Framework（如果 Inc. 已列入 DPF）或 EU SCC 第 1 模块（控制者到控制者）—
LIA 参考编号LIA-2024-DIR-001LIA-2024-DIR-002
控制者到处理者的数据传输（集团内部）

当集团共享服务中心代表集团内另一实体处理数据时，即使双方属于同一企业集团，双方之间的关系仍属于控制者与处理者关系：

  • 必须签订第 28 条 DPA：控制者实体与处理者实体之间必须签订集团内部 DPA，即使双方属于同一集团。
  • RoPA 文档记录：控制者实体将共享服务中心记录为第 30(1)(d) 条所述的处理者。共享服务中心则在其第 30(2)(a) 条处理者记录中记录控制者实体。

示例：

Helix Shared Services B.V.（荷兰）为所有集团实体处理工资单。

控制者实体DPA 参考编号处理类别数据类别
Helix Biotech Solutions GmbHDPA-IG-2024-SSC-DE-001工资计算、税务申报、社会保障申报员工姓名、税号、银行账户、工资
Helix Biotech Solutions LtdDPA-IG-2024-SSC-UK-002工资计算、HMRC 申报、养老金缴款员工姓名、NI 编号、银行账户、工资
Helix Biotech Solutions Inc.DPA-IG-2024-SSC-US-003工资计算、IRS 申报、福利管理员工姓名、SSN、银行账户、工资
共同控制者安排（第 26 条）

当集团内两个或多个实体共同决定处理目的和方式时，根据第 26 条，这些实体属于共同控制者：

  • 必须制定第 26 条安排：制定正式安排，明确各方的相应责任。
  • RoPA 文档记录：各共同控制者在第 30(1)(a) 条记录中记录该安排，并交叉引用第 26 条安排。

示例：

Helix Biotech Solutions GmbH 和 Helix Biotech Solutions Ltd 共同开展多国临床试验，并共同决定试验方案、数据收集方法和分析目的。

方面GmbHLtd
第 26 条安排JCA-2024-CT-001JCA-2024-CT-001
职责试验申办方、EMA 申报、欧盟站点管理英国站点管理、MHRA 申报
数据主体联系点GmbH（根据第 26(1) 条指定）GmbH（指定方）
RoPA 第 30(1)(a) 条共同控制者：Helix Biotech Solutions Ltd，参考编号：JCA-2024-CT-001共同控制者：Helix Biotech Solutions GmbH，参考编号：JCA-2024-CT-001

有约束力的公司规则（BCR）与集团 RoPA

如果集团已根据第 47 条获批 BCR，则 RoPA 转移字段（第 30(1)(e) 条）应将 BCR 列为集团内部转移的转移机制：

转移机制参考编号
GmbH 至 Ltd（英国）英国充分性决定（2021 年 6 月 28 日，已延期）不适用（充分性）
GmbH 至 Inc.（美国）BCR-C 参考编号：BCR-HELIX-2024-001（由 BfDI 作为牵头监管机构批准）BCR-HELIX-2024-001
GmbH 至 S.A.S.（法国）欧洲经济区内部——无需转移机制不适用
Shared Services B.V. 至 Inc.（美国）BCR-P 参考编号：BCR-HELIX-2024-002（处理者 BCR）BCR-HELIX-2024-002

集团 RoPA 治理模式

集中治理与本地执行
角色范围责任实体
集团 DPO整体 RoPA 治理、汇总报告、集团级标准Helix Biotech Holdings SE（Dr. Elena Voss）
实体隐私负责人实体级 RoPA 的创建和维护各子公司
共享服务隐私负责人所有共享服务的处理者 RoPAHelix Shared Services B.V.
集团隐私分析师汇总视图管理、跨实体差距分析Holdings SE
治理工作流
  1. 实体级创建：每个实体的隐私负责人都应按照集团标准创建并维护实体级 RoPA 条目。
  2. 集团模板：所有实体都使用相同的 RoPA 模板和字段定义，以确保一致性。
  3. 集中汇总：每季度将实体级记录汇总到集团合并视图中。
  4. 跨实体审查：集团 DPO 审查合并视图，检查集团内部转移是否完整、共同控制者安排是否一致，并识别实体级缺口。
  5. 董事会报告：集团 DPO 每年向 Holdings SE 董事会报告合并 RoPA 指标。
收购后整合

收购新实体时（例如 Helix Biotech Diagnostics S.A.S.）：

  1. 立即（第 1 天）：确认被收购实体现有的 RoPA，并评估其格式、完整性和质量。
  2. 30 天：依据集团 RoPA 模板开展差距分析，并识别将要建立的集团内部数据流。
  3. 60 天：将被收购实体的 RoPA 迁移为集团模板格式。
  4. 90 天：为共享服务建立集团内部 DPA，并在两个实体的 RoPA 中记录集团内部转移。
  5. 6 个月：全面纳入集团合并视图和持续治理周期。

常见的集团结构陷阱

  1. 误以为单一集团 RoPA 能满足所有实体的要求：每个法律实体都必须有自己的记录。集团级合并视图不能取代实体级义务。

  2. 缺少集团内部 DPA：GDPR 并未豁免集团内部处理的 Art. 28 DPA 要求。为子公司提供 IT 服务的控股公司必须签订 DPA。

  3. 未记录集团内部转移：集团实体之间的数据流（共享目录、合并 HR 系统、集团范围内的分析）都属于转移，必须记录在 Art. 30(1)(d) 和 (e) 中。

  4. 实体标识不一致：在不同实体的 RoPA 中使用商号而非法律实体名称，会在监管机构检查期间造成混淆。

  5. 缺少共同控制者安排：当两个集团实体共同决定处理目的时（例如由两家子公司共同管理的全球营销活动），需要签订 Art. 26 安排，但企业集团内经常会忽略这一点。

  6. 对一站式机制的误解：Art. 56 下的主导监管机构由主要机构所在地决定，而非由大多数处理活动发生地决定。集团 RoPA 必须明确标识每个实体的机构所在地，以及跨境处理对应的主导 SA。

评论

支持 Markdown