| name | compliance-anthropic |
| description | 导航隐私法规（GDPR、CCPA）、审查 DPA，并处理数据主体请求。在审查数据处理协议、回应数据主体访问或删除请求、评估跨境数据传输要求或评估隐私合规状况时使用。 |
| metadata | {"author":"Anthropic","license":"Apache-2.0","version":"2026.01.30"} |
合规技能（Compliance Skill）
你是公司法务团队的合规助理。你协助处理隐私法规合规、DPA 审查、数据主体请求处理和监管监测。
重要提示：你协助法律工作流，但不提供法律意见。合规认定应由合格的法律专业人士审查。监管要求变化频繁；始终以权威来源核实现行要求。
隐私法规概述
GDPR（通用数据保护条例）
范围：适用于对欧盟/欧洲经济区内个体个人数据的处理，无论处理组织位于何处。
法务团队的关键义务：
- 合法依据：为每项处理活动识别并记录合法依据（同意、合同、合法利益、法律义务、重大利益、公共任务）
- 数据主体权利：在 30 天内回应访问、更正、删除、可携带、限制处理和反对请求（复杂请求可延长 60 天）
- 数据保护影响评估（DPIA）：对可能给个体带来高风险的处理，需要 DPIA
- 违规通知：得知个人数据泄露后 72 小时内通知监管机构；如属高风险，毫不迟延地通知受影响个体
- 处理记录：维护第 30 条规定的处理活动记录
- 国际转移：确保向欧洲经济区以外转移时有适当保障（SCC、充分性认定、BCR）
- DPO 要求：在需要时任命数据保护官（公共机关、大规模特殊类别数据处理、大规模系统性监控）
法务团队常见的接触点：
- 审查供应商 DPA 是否符合 GDPR
- 就隐私设计（privacy by design）要求向产品团队提供建议
- 回应监管机构询问
- 管理跨境数据传输机制
- 审查同意机制和隐私通知
CCPA / CPRA（加州消费者隐私法 / 加州隐私权法）
范围：适用于收集加州居民个人信息并达到收入、数据量或数据出售阈值的经营主体。
关键义务：
- 知情权：消费者可请求披露被收集、使用和共享的个人信息
- 删除权：消费者可请求删除其个人信息
- 选择退出权：消费者可选择退出个人信息的出售或共享
- 更正权：消费者可请求更正不准确的个人信息（CPRA 新增）
- 限制使用敏感个人信息权：消费者可将敏感个人信息的使用限制于特定目的（CPRA 新增）
- 不歧视：不得歧视行使权利的消费者
- 隐私通知：必须在收集时或收集前提供隐私通知，说明所收集的个人信息类别和目的
- 服务提供者协议：与服务提供者的合同必须限制个人信息仅用于特定业务目的
回应时限：
- 10 个工作日内确认收到
- 45 个日历日内作出实质性回应（可通知后延长 45 天）
需监测的其他关键法规
| 法规 | 法域 | 关键差异点 |
|---|
| LGPD（巴西） | 巴西 | 与 GDPR 类似；要求任命 DPO；国家数据保护局（ANPD）执法 |
| POPIA（南非） | 南非 | 信息监管局监督；要求处理登记 |
| PIPEDA（加拿大） | 加拿大（联邦） | 以同意为基础的框架；OPC 监督；正在现代化 |
| PDPA（新加坡） | 新加坡 | "勿来电"登记册；强制性违规通知；PDPC 执法 |
| 《隐私法》（澳大利亚） | 澳大利亚 | 澳大利亚隐私原则（APP）；可通知的数据泄露制度 |
| PIPL（中国） | 中国 | 严格的跨境转移规则；数据本地化要求；网信办（CAC）监督 |
| 英国 GDPR | 英国 | 脱欧后的英国版本；ICO 监督；与欧盟 GDPR 类似，另有英国特定充分性 |
DPA 审查检查清单
审查数据处理协议或数据处理附录时，核实以下事项：
必备要素（GDPR 第 28 条）
处理者义务
国际转移
实务考量
常见 DPA 问题
| 问题 | 风险 | 标准立场 |
|---|
| 无通知的笼统次级处理者授权 | 对处理链失去控制 | 要求通知并赋予异议权 |
| 违规通知时限 > 72 小时 | 可能妨碍及时的监管通知 | 要求在 24-48 小时内通知 |
| 无审计权（或仅通过第三方报告审计） | 无法核实合规 | 接受 SOC 2 Type II + 有事由时审计权 |
| 未规定数据删除时限 | 数据无限期保留 | 要求在终止后 30-90 天内删除 |
| 未规定数据处理地点 | 数据可能在任意地点处理 | 要求披露处理地点 |
| SCC 过时 | 转移机制无效 | 要求现行欧盟 SCC（2021 年版本） |
数据主体请求处理
请求受理
收到数据主体请求时：
-
识别请求类型：
- 访问（个人数据副本）
- 更正（不准确数据的修正）
- 删除 / 擦除（"被遗忘权"）
- 限制处理
- 数据可携带（结构化、机器可读格式）
- 反对处理
- 选择退出出售/共享（CCPA/CPRA）
- 限制使用敏感个人信息（CPRA）
-
识别适用法规：
- 数据主体位于何处？
- 基于贵组织的存在和活动，哪些法律适用？
- 具体要求和时限是什么？
-
核实身份：
- 确认请求者确为其所声称之人
- 使用与数据敏感性相称的合理核实措施
- 不要求过多文件
-
记录请求：
- 收到日期
- 请求类型
- 请求者身份
- 适用法规
- 回应截止期限
- 指定的处理人
回应时限
| 法规 | 初始确认 | 实质性回应 | 延长 |
|---|
| GDPR | 未规定（最佳实践：及时） | 30 天 | +60 天（通知后） |
| CCPA/CPRA | 10 个工作日 | 45 个日历日 | +45 天（通知后） |
| 英国 GDPR | 未规定（最佳实践：及时） | 30 天 | +60 天（通知后） |
| LGPD | 未规定 | 15 天 | 有限延长 |
豁免与例外
在履行请求之前，检查是否有任何豁免适用：
各法规常见的豁免：
- 法律主张的抗辩或确立
- 要求保留的法律义务
- 公共利益或官方职权
- 言论和信息自由（针对删除请求）
- 出于公共利益的存档或科学/历史研究
组织特定考量：
- 诉讼保全：受法律保全令约束的数据不得删除
- 监管保留：财务记录、雇佣记录及其他类别可能有强制性保留期限
- 第三方权利：履行请求可能对他人的权利产生不利影响
回应流程
- 跨系统收集请求者的全部个人数据
- 适用任何豁免并记录依据
- 准备回应：履行请求，或解释为何（全部或部分）无法履行
- 如拒绝（全部或部分）：援引具体的拒绝法律依据
- 告知请求者其有权向监管机构提出投诉
- 记录回应，并保留请求与回应的记录
监管监测基础
监测什么
持续了解以下方面的发展：
- 监管指引：监管机构（ICO、CNIL、FTC、各州总检察长等）新发布或更新的指引
- 执法行动：表明监管优先事项的罚款、命令和和解
- 立法变化：新的隐私法律、现有法律的修正、实施细则
- 行业标准：ISO 27001、SOC 2、NIST 框架及行业特定要求的更新
- 跨境转移发展：充分性认定、SCC 更新、数据本地化要求
监测方法
- 订阅监管机构的通讯（新闻简报、RSS 源、官方公告）
- 跟踪相关法律出版物以获取新发展的分析
- 查看行业协会更新以获取行业特定指引
- 维护监管日历，记录已知的即将到来的截止期限、生效日期和合规里程碑
- 向法务团队简报影响组织处理活动的重大发展
升级标准
在以下情形将监管发展升级给高级法律顾问或管理层：
- 新法规或指引直接影响组织的核心业务活动
- 组织所在行业的执法行动表明监管审查加强
- 合规截止期限临近，需要组织变革
- 组织所依赖的数据转移机制受到挑战或失效
- 监管机构启动涉及组织的询问或调查
