gdpr-data-handling

GDPR 数据处理 - 隐私合规技能

技能概述

GDPR 数据处理技能提供欧盟 GDPR 合规的完整实施指南，帮助开发团队构建符合隐私法规的数据处理系统，实现同意管理、数据主体权利保护和隐私设计原则。

适用场景

处理欧盟个人数据的系统

当您的应用或服务需要收集、存储或处理欧盟用户的个人数据时，使用此技能确保数据处理活动符合 GDPR 要求，包括合法性基础、数据最小化和目的限制原则。

实施隐私控制和同意管理

在构建用户注册、表单提交或偏好设置功能时，使用此技能实现有效的同意获取机制，允许用户明确授权数据处理活动并随时撤回同意。

GDPR 合规审查与审计

当企业需要验证现有系统的合规状态、准备数据保护影响评估（DPIA）或应对监管机构检查时，使用此技能进行全面审查和文档化。

核心功能

同意管理机制

实现可验证的同意获取流程，记录用户授权时间、范围和方式，支持同意撤回，确保数据处理具有明确的法律依据。

数据主体权利处理

处理用户行使 GDPR 赋予的权利请求，包括数据访问权、更正权、删除权（被遗忘权）、数据可携带权和反对权。

隐私设计实施

在系统架构早期融入隐私保护原则，通过默认设置、数据最小化、访问控制和透明度设计，实现"隐私保护即默认状态"。

常见问题

GDPR 合规有哪些核心要求？

GDPR 核心要求包括：数据处理需有合法依据（如用户同意、合同履行）、遵循目的限制和数据最小化原则、保障数据主体权利、实施技术和组织措施、记录处理活动、指定数据保护官（如适用）、进行数据保护影响评估以及可能的数据泄露通知义务。

如何处理数据主体的删除请求？

当收到删除请求时，需验证请求者身份，确认数据是否必须保留（法律义务、公共利益等），在不影响必要保留的前提下删除或匿名化相关数据，并告知第三方处理者。整个处理过程需记录在案，通常在一个月内完成并回复用户。

小公司也需要 GDPR 合规吗？

是的，GDPR 适用于所有处理欧盟个人数据的组织，无论规模大小。虽然某些记录义务对少于 250 名员工的组织有豁免，但核心合规要求（合法依据、数据主体权利、安全措施）同样适用。建议小公司采用实用的合规方法，从风险评估和高优先级措施开始。