mcpField
I
implementing-gdpr-data-protection-controls

implementing-gdpr-data-protection-controls

github.com/mukul975安全35.2k107 次安装8 周前更新
代码仓库

关于 implementing-gdpr-data-protection-controls

该技能提供实施 GDPR 数据保护控制的流程，面向负责隐私、合规和系统安全的团队。内容从数据盘点与风险评估延伸到技术措施、权利请求处理和持续合规文档。

主要功能

  1. 01盘点个人数据与处理活动
  2. 02开展 DPIA 和差距评估
  3. 03实施加密与假名化
  4. 04建立数据主体权利处理流程
  5. 05准备违规通知与合规记录

适用场景

  1. 01评估高风险数据处理活动
  2. 02设计个人数据访问和保留控制
  3. 03建立删除与可携带性流程
  4. 04准备跨境传输合规材料

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill implementing-gdpr-data-protection-controls

安装后在 Claude Code 中输入/implementing-gdpr-data-protection-controls确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

详细介绍

实施 GDPR 数据保护控制

概述

《通用数据保护条例》(EU) 2016/679 (GDPR) 是欧盟综合性的数据保护法律，规范个人数据的收集、处理、存储和传输。本技能涵盖实施 GDPR 所要求的技术和组织措施，包括默认和设计的数据保护、数据保护影响评估 (DPIA)、数据主体权利管理、违规通知程序以及跨境数据传输机制。

何时使用

  • 在您的环境中部署或配置实施 GDPR 数据保护控制能力时
  • 在建立符合合规要求的安全控制时
  • 在为该领域构建或改进安全架构时
  • 在进行需要此实施的安全评估时

先决条件

  • 了解欧盟数据保护法律及其地域适用范围
  • 了解组织内的个人数据处理活动
  • 熟悉数据架构、数据库和应用系统
  • 了解数据流，包括跨境传输

核心概念

技术控制相关的关键 GDPR 条款
条款要求
第 5 条原则：合法性、目的限制、数据最小化、准确性、存储限制、完整性和保密性、问责制
第 6 条处理的合法依据（同意、合同、法律义务、重大利益、公共任务、合法利益）
第 25 条默认和设计的数据保护
第 28 条处理者义务和合同要求
第 30 条处理活动记录 (ROPA)
第 32 条处理的安全性（技术和组织措施）
第 33 条向监管机构通知违规（72 小时）
第 34 条向数据主体通报违规
第 35 条数据保护影响评估 (DPIA)
第 37-39 条数据保护官 (DPO) 的任命和角色
第 44-49 条跨境数据传输（充分性、SCCs、BCRs）
第 32 条安全措施

该条例要求组织实施与风险相适应的措施：

  • 个人数据的假名化和加密
  • 处理系统的保密性、完整性、可用性和韧性
  • 能够及时恢复个人数据的可用性和访问
  • 对技术和组织措施进行定期测试和评估
数据主体权利（第 12-22 条）
权利条款描述
知情权13-14关于处理的透明信息
访问权15获取个人数据副本
更正权16更正不准确的数据
删除权17“被遗忘权”
限制处理权18限制数据处理
数据可携权20以机器可读格式接收数据
反对权21反对处理（尤其是直接营销）
自动化决策22不受仅基于自动化决策的约束

工作流

阶段 1：数据映射和评估（第 1-6 周）
  1. 创建全面的数据清单：
    • 收集哪些个人数据
    • 从谁那里收集（数据主体）
    • 为什么收集（目的和合法依据）
    • 存储在哪里（系统、地点、国家）
    • 谁有访问权限（内部和外部）
    • 保留多长时间
    • 哪些安全措施保护它
  2. 根据第 30 条记录处理活动记录 (ROPA)
  3. 确定每项处理活动的合法依据
  4. 映射跨境数据传输和传输机制
  5. 确定需要 DPIA 的处理活动
阶段 2：差距分析与风险评估（第 7-10 周）
  1. 对照 GDPR 要求评估当前状态
  2. 对高风险处理活动执行 DPIA
  3. 识别第 32 条合规方面的安全差距
  4. 评估数据保留合规性
  5. 评估数据主体权利请求处理能力
阶段 3：技术控制实施（第 11-24 周）
  1. 加密：
    • 静态数据：数据库、文件系统、备份采用 AES-256
    • 传输中数据：所有个人数据传输采用 TLS 1.2+
    • 密钥管理：安全的密钥存储与轮换流程
  2. 假名化：
    • 对敏感标识符实施令牌化
    • 将假名化密钥与数据存储分离
  3. 访问控制：
    • 对个人数据实施基于角色的访问控制（RBAC）
    • 最小权限原则
    • 处理个人数据的系统启用 MFA
    • 定期访问审查
  4. 数据最小化：
    • 在应用层实施数据收集限制
    • 默认隐私设置（默认数据保护）
    • 自动化数据保留强制执行
  5. 删除与可携带性：
    • 构建跨所有系统的数据删除工作流
    • 以机器可读格式（JSON、CSV）实施数据导出
    • 将删除级联到备份和归档
  6. 同意管理：
    • 实施细粒度同意收集机制
    • 同意撤回功能
    • 同意审计追踪与版本管理
  7. 违规检测：
    • 用于个人数据访问监控的 SIEM
    • 数据丢失防护（DLP）控制
    • 异常访问检测
阶段 4：组织控制（第 11-24 周）
  1. 如有需要，任命数据保护官（DPO）
  2. 制定数据保护政策与流程
  3. 创建违规通知流程（72 小时时限）
  4. 建立数据主体请求（DSR）处理流程
  5. 通过数据处理协议（DPA）实施供应商管理
  6. 为全体员工部署隐私意识培训
  7. 为开发团队创建设计即数据保护指南
阶段 5：文档与合规证据（第 25-30 周）
  1. 完成 ROPA 文档
  2. 记录所有 DPIA 及结果
  3. 创建数据保护政策
  4. 记录技术与组织措施
  5. 建立隐私声明与同意记录
  6. 创建国际传输文档（SCC、TIA）
阶段 6：持续合规（持续进行）
  1. 针对新的处理活动定期进行 DPIA 审查
  2. 每年刷新数据映射
  3. 定期测试安全措施（第 32 条要求）
  4. 数据主体请求跟踪与 SLA 监控
  5. 违规响应准备测试
  6. 培训刷新与意识宣传活动

关键产物

  • 处理活动记录（ROPA）
  • 数据保护影响评估（DPIA）
  • 数据处理协议（DPA）
  • 隐私声明与同意记录
  • 违规响应流程与登记册
  • 数据主体请求处理流程
  • 国际数据传输机制（SCC、BCR）
  • 技术与组织措施文档

常见陷阱

  • 将 GDPR 仅视为法律/合规工作而缺乏技术实施
  • 数据映射不完整，遗漏影子 IT 或遗留系统
  • 未能维护同意审计追踪
  • 未测试 72 小时违规通知能力
  • 忽视云服务的跨境传输要求
  • 在合法利益适用时过度依赖同意作为合法性基础

参考资料

评论

支持 Markdown