privacy-compliance

⚠️ 实验性 — 此技能仅用于教育和信息提供，不构成法律建议。使用本技能所产生的所有责任均由用户承担。采取任何行动前，请咨询合格的法律专业人士。

隐私合规导航器

提供工具和指南，帮助用户遵循 9 项全球主要隐私法规、审查数据处理协议（DPA），并管理数据主体请求的全生命周期。

---

目录

• 工具
  • 隐私法规检查器
  • DSR 跟踪器
• 参考指南
• 工作流
• 故障排除
• 成功标准
• 范围与限制
• 反模式
• 工具参考

---

先澄清

开始评估前，请确认以下信息。如有任何信息未知或含糊不清，请询问，不要自行假设：

• 组织所在地 + 数据主体所在地区 — 根据属地适用范围确定适用的 9 项法规（涵盖整个义务矩阵）
• 处理的数据类型 — 个人、敏感、金融、健康、生物识别、儿童数据 — 决定相关义务及特殊类别触发条件
• 处理活动 — 营销、分析、人力资源、画像、医疗保健 — 影响法规的适用性及相关义务
• 当前做法（如需差距分析）— 标记差距所必需；未提供此信息时，只会生成义务矩阵，不会生成差距报告

停止规则：只询问对结果影响最大的 2-3 项信息。如果用户说“直接起草”，则继续，并在评估开头列出你的假设。

工具

隐私法规检查器

根据组织所在地、数据主体、数据类型和处理活动，确定适用于该组织的隐私法规。生成合规义务矩阵并标记差距。

# Basic check — organization in Germany processing EU and US data
python scripts/privacy_regulation_checker.py \
  --org-location DE \
  --data-subjects EU,US \
  --data-types personal,sensitive,financial \
  --processing-activities marketing,analytics,hr

# JSON output for integration
python scripts/privacy_regulation_checker.py \
  --org-location SG \
  --data-subjects SG,AU,CN \
  --data-types personal,health \
  --processing-activities healthcare,research \
  --json

# Include gap analysis against current practices
python scripts/privacy_regulation_checker.py \
  --org-location US-CA \
  --data-subjects EU,US,BR \
  --data-types personal,biometric \
  --processing-activities ecommerce,profiling \
  --current-practices consent_mechanism,breach_process,retention_policy

确定：

• 根据属地适用范围规则，确定适用的 9 项法规
• 各项适用法规的主要义务
• 各项法规规定的数据主体权利
• 各项法规规定的响应时限
• 在提供当前做法后进行差距分析

输出：

• 适用法规列表及置信度
• 各项法规的义务矩阵
• 带风险评级的差距分析
• 建议的优先行动

---

DSR 跟踪器

管理跨多项法规的数据主体请求（DSR）全生命周期，包括计算截止期限、跟踪状态和逾期提醒。

# Add a new GDPR access request
python scripts/dsr_tracker.py add \
  --type access --regulation gdpr \
  --subject "Jane Smith" --email "[email protected]"

# Add CCPA deletion request
python scripts/dsr_tracker.py add \
  --type deletion --regulation ccpa \
  --subject "John Doe" --email "[email protected]"

# List all open requests
python scripts/dsr_tracker.py list

# List overdue requests only
python scripts/dsr_tracker.py list --overdue

# Update request status
python scripts/dsr_tracker.py update --id DSR-0001 --status verified

# Dashboard view with time remaining
python scripts/dsr_tracker.py dashboard

# Export as JSON
python scripts/dsr_tracker.py dashboard --json

支持的请求类型：

类型	GDPR 条款	CCPA 条款	LGPD 条款
访问	Art. 15	§1798.100	Art. 18
删除/清除	Art. 17	§1798.105	Art. 18(VI)
更正/修正	Art. 16	§1798.106	Art. 18(III)
可携带性	Art. 20	§1798.130	Art. 18(V)
限制处理	Art. 18	—	Art. 18(IV)
反对	Art. 21	§1798.120	Art. 18(IV)
退出自动化决策	Art. 22	§1798.185	Art. 20
撤回同意	Art. 7(3)	—	Art. 18(IX)

截止期限计算：

法规	初始期限	延期	延期后期限
GDPR	30 个日历日	+60 天（复杂情况）	90 个日历日
CCPA	10 个工作日（确认收悉）+ 45 个日历日	+45 天	90 个日历日
LGPD	15 个日历日	—	—
POPIA	30 个日历日	—	—
PIPEDA	30 个日历日	+30 天	60 个日历日
PDPA（新加坡）	30 个日历日	—	—
隐私法（澳大利亚）	30 个日历日	+30 天	60 个日历日
PIPL	15 个日历日	+15 天	30 个日历日
UK GDPR	30 个日历日	+60 天	90 个日历日

状态： 已收到 → 已验证 → 处理中 → 已完成 | 已拒绝 | 已延期

---

参考指南

全球隐私法规

references/global_privacy_regulations.md

对 9 项主要隐私法规进行全面比较，涵盖：

• 适用地域范围和适用标准
• 处理的法律依据
• 数据主体权利对照表
• 数据泄露通知要求和时限
• 跨境传输机制
• DPO 要求
• 处罚结构

DPA 审查清单

references/dpa_review_checklist.md

完整的数据处理协议审查指南：

• GDPR 第 28 条要求的要素
• 10 项处理者义务及分析要点
• 国际传输机制（2021 年 6 月 SCC、模块选择）
• 传输影响评估要求
• 常见 DPA 问题及风险等级
• 实用谈判注意事项

DSR 处理指南

references/dsr_handling_guide.md

数据主体请求处理参考指南：

• 8 类请求及受理流程
• 身份验证方法
• 各法规规定的响应时限
• 各法规规定的豁免情形
• 6 步响应流程
• 监管监测方法

---

工作流

工作流 1：法规适用性评估

Step 1: Identify organization parameters
        → Location, data subjects, data types, processing activities

Step 2: Run regulation checker
        → python scripts/privacy_regulation_checker.py --org-location [LOC] ...

Step 3: Review applicable regulations and obligations
        → Prioritize by risk (penalties, data volume, enforcement activity)

Step 4: Gap analysis against current practices
        → Re-run with --current-practices flag

Step 5: Build remediation roadmap
        → Address critical gaps first (missing legal basis, no breach process)

工作流 2：数据主体请求处理

Step 1: Receive and log request
        → python scripts/dsr_tracker.py add --type [type] --regulation [reg] ...

Step 2: Verify identity (proportionate to sensitivity)
        → See references/dsr_handling_guide.md for methods
        → python scripts/dsr_tracker.py update --id [ID] --status verified

Step 3: Gather data from all systems
        → python scripts/dsr_tracker.py update --id [ID] --status processing

Step 4: Apply exemptions if applicable
        → Check references/dsr_handling_guide.md exemptions table

Step 5: Prepare and send response within deadline
        → python scripts/dsr_tracker.py update --id [ID] --status completed

Step 6: Monitor dashboard for overdue requests
        → python scripts/dsr_tracker.py dashboard

工作流 3：DPA 审查

Step 1: Check DPA against Art. 28 required elements
        → Use references/dpa_review_checklist.md

Step 2: Verify processor obligations (10 items)
        → Sub-processing, deletion, audit rights, etc.

Step 3: Assess international transfer provisions
        → SCC module selection (C2P, C2C, P2P, P2C)
        → Transfer impact assessment
        → Supplementary measures

Step 4: Review practical considerations
        → Liability caps, insurance, termination, data locations

Step 5: Document findings and negotiate amendments

工作流 4：多法规合规计划

Step 1: Run regulation checker for full scope
        → python scripts/privacy_regulation_checker.py [params]

Step 2: Map overlapping obligations across regulations
        → Use references/global_privacy_regulations.md comparison matrix

Step 3: Build unified controls (satisfy strictest requirement)
        → GDPR-first approach covers most other regulations

Step 4: Layer regulation-specific requirements
        → CCPA opt-out mechanisms, LGPD DPO, PIPL localization

Step 5: Monitor regulatory changes
        → See references/dsr_handling_guide.md monitoring approach

---

故障排除

问题	可能原因	解决方案
法规检查器标记了意料之外的法规	未考虑位于相关司法辖区的数据主体	检查数据流图；即使是间接收集数据（分析数据、Cookie）也可能触发地域适用范围
未能在 DSR 截止期限内响应	未及时记录请求或未更新状态	实施受理 SLA（在 24 小时内记录）；每日使用仪表板查看逾期提醒
DPA 缺少第 28 条要求的要素	处理者提供的模板不完整	使用 DPA 审查清单找出缺漏；签署前要求修订
跨境传输机制不明确	存在多层传输（控制者 → 处理者 → 子处理者）	梳理完整的数据流链；每个传输环节都需要单独的机制
不同法规的义务相互冲突	保留与删除要求存在差异	记录冲突；除非当地法律另有强制要求，否则适用最严格的义务；寻求法律顾问意见
身份验证的适度性不明确	过度验证阻碍了合法请求	根据风险匹配验证方式：低风险数据 = 邮件确认；高风险 = 身份证件验证

---

成功标准

• 识别并映射所有适用法规 — 法规检查器确认覆盖完整，数据主体所在司法辖区均无未处理事项
• 100% 的 DSR 均在法定期限内得到响应 — 仪表板显示没有逾期请求；如使用延期，须记录在案
• 签署前依据第 28 条清单审查 DPA — 涵盖全部 10 项处理者义务；国际传输机制均经过验证
• 合规矩阵得到维护并保持最新 — 每季度审查各法规下的义务，并记录变更
• 监管监测正常运行 — 明确升级标准；在新法规颁布后 30 天内评估其适用性

---

范围与限制

范围内：

• 评估 9 项主要隐私法规的适用性
• 跟踪数据主体请求，并计算多项法规规定的截止期限
• 根据 GDPR 第 28 条要求审查 DPA
• 映射不同法规下的义务
• 对照当前实践开展差距分析
• 评估国际传输机制

范围外：

• 就特定法律依据的选择提供法律建议 — 请咨询合格的隐私法律顾问
• 向监管机构提交文件或进行数据泄露通知
• Cookie 同意的实施或同意管理平台的配置
• 具有约束力的公司规则（BCR）申请流程
• 本指南涵盖的 9 项法规框架之外的行业特定法规（HIPAA、FERPA、GLBA）
• 数据保护影响评估（参见 dpia-assessment 技能）

反模式

反模式	失败原因	更好的做法
仅遵守 GDPR	组织认为 GDPR 涵盖了所有义务，忽略了 CCPA 的选择退出要求、LGPD 的 DPO 要求以及 PIPL 的数据本地化要求	使用法规检查器检查数据主体所在的所有司法辖区；叠加针对特定法规的控制措施
一刀切的 DSR 流程	将 GDPR 的 30 天期限应用于所有法规，会忽略 CCPA 的 10 个工作日确认期限或 PIPL 的 15 天期限	按法规配置期限；使用带法规参数的 DSR 跟踪器准确计算截止日期
审查 DPA 时忽略子处理者链条	DPA 涵盖了直接处理者，但子处理者可能在没有 TIA 的情况下将数据传输到第三国	在 DPA 审查中梳理完整的处理链条；要求履行 Art. 28(2) 中关于子处理者的义务；核验每个传输环节
将隐私视为一次性项目	法规会不断演变；新法律陆续颁布；执法重点也会变化	建立包含升级标准的法规监控机制；每季度开展合规审查

---

工具参考

privacy_regulation_checker.py

根据组织参数确定适用的隐私法规并映射相关义务。

标志	必需	描述
--org-location <code>	是	组织总部所在地（ISO 国家/地区代码，例如 DE、US-CA、SG）
--data-subjects <list>	是	以逗号分隔的数据主体所在地（EU、US、BR、ZA、CA、SG、AU、CN、UK）
--data-types <list>	是	以逗号分隔的数据类型（personal、sensitive、financial、health、biometric、children）
--processing-activities <list>	是	以逗号分隔的活动（marketing、analytics、hr、ecommerce、profiling、healthcare、research）
--current-practices <list>	否	以逗号分隔的当前做法，用于差距分析
--json	否	以 JSON 格式输出

dsr_tracker.py

跟踪数据主体请求的生命周期，并根据多项法规计算期限。

子命令	描述
add	添加新的 DSR（必需参数：--type、--regulation、--subject、--email）
list	列出所有请求（使用 --overdue 仅列出逾期请求）
update	更新请求状态（必需参数：--id、--status）
dashboard	显示包含剩余时间和提醒的仪表板

标志	描述
--type <type>	请求类型：access、deletion、correction、portability、restriction、objection、automated_decision、withdraw_consent
--regulation <reg>	法规：gdpr、ccpa、lgpd、popia、pipeda、pdpa、privacy_act_au、pipl、uk_gdpr
--subject <name>	数据主体姓名
--email <email>	数据主体电子邮件
--id <id>	请求 ID（例如 DSR-0001）
--status <status>	状态：received、verified、processing、completed、denied、extended
--overdue	仅筛选逾期请求
--json	以 JSON 格式输出
--data-file <path>	自定义数据文件路径（默认值：dsr_requests.json）