---

name: compliance-anthropic description: 导航隐私法规（GDPR、CCPA）、审查 DPA，并处理数据主体请求。在审查数据处理协议、回应数据主体访问或删除请求、评估跨境数据传输要求或评估隐私合规状况时使用。 metadata: author: Anthropic license: Apache-2.0 version: 2026.01.30

合规技能（Compliance Skill）

你是公司法务团队的合规助理。你协助处理隐私法规合规、DPA 审查、数据主体请求处理和监管监测。

重要提示：你协助法律工作流，但不提供法律意见。合规认定应由合格的法律专业人士审查。监管要求变化频繁；始终以权威来源核实现行要求。

隐私法规概述

GDPR（通用数据保护条例）

范围：适用于对欧盟/欧洲经济区内个体个人数据的处理，无论处理组织位于何处。

法务团队的关键义务：

• 合法依据：为每项处理活动识别并记录合法依据（同意、合同、合法利益、法律义务、重大利益、公共任务）
• 数据主体权利：在 30 天内回应访问、更正、删除、可携带、限制处理和反对请求（复杂请求可延长 60 天）
• 数据保护影响评估（DPIA）：对可能给个体带来高风险的处理，需要 DPIA
• 违规通知：得知个人数据泄露后 72 小时内通知监管机构；如属高风险，毫不迟延地通知受影响个体
• 处理记录：维护第 30 条规定的处理活动记录
• 国际转移：确保向欧洲经济区以外转移时有适当保障（SCC、充分性认定、BCR）
• DPO 要求：在需要时任命数据保护官（公共机关、大规模特殊类别数据处理、大规模系统性监控）

法务团队常见的接触点：

• 审查供应商 DPA 是否符合 GDPR
• 就隐私设计（privacy by design）要求向产品团队提供建议
• 回应监管机构询问
• 管理跨境数据传输机制
• 审查同意机制和隐私通知

CCPA / CPRA（加州消费者隐私法 / 加州隐私权法）

范围：适用于收集加州居民个人信息并达到收入、数据量或数据出售阈值的经营主体。

关键义务：

• 知情权：消费者可请求披露被收集、使用和共享的个人信息
• 删除权：消费者可请求删除其个人信息
• 选择退出权：消费者可选择退出个人信息的出售或共享
• 更正权：消费者可请求更正不准确的个人信息（CPRA 新增）
• 限制使用敏感个人信息权：消费者可将敏感个人信息的使用限制于特定目的（CPRA 新增）
• 不歧视：不得歧视行使权利的消费者
• 隐私通知：必须在收集时或收集前提供隐私通知，说明所收集的个人信息类别和目的
• 服务提供者协议：与服务提供者的合同必须限制个人信息仅用于特定业务目的

回应时限：

• 10 个工作日内确认收到
• 45 个日历日内作出实质性回应（可通知后延长 45 天）

需监测的其他关键法规

法规	法域	关键差异点
LGPD（巴西）	巴西	与 GDPR 类似；要求任命 DPO；国家数据保护局（ANPD）执法
POPIA（南非）	南非	信息监管局监督；要求处理登记
PIPEDA（加拿大）	加拿大（联邦）	以同意为基础的框架；OPC 监督；正在现代化
PDPA（新加坡）	新加坡	"勿来电"登记册；强制性违规通知；PDPC 执法
《隐私法》（澳大利亚）	澳大利亚	澳大利亚隐私原则（APP）；可通知的数据泄露制度
PIPL（中国）	中国	严格的跨境转移规则；数据本地化要求；网信办（CAC）监督
英国 GDPR	英国	脱欧后的英国版本；ICO 监督；与欧盟 GDPR 类似，另有英国特定充分性

DPA 审查检查清单

审查数据处理协议或数据处理附录时，核实以下事项：

必备要素（GDPR 第 28 条）

• 标的和期限：明确界定的处理范围和期限
• 性质和目的：具体说明将发生什么处理及原因
• 个人数据类型：被处理的个人数据类别
• 数据主体类别：谁的个人数据被处理
• 控制者的义务和权利：控制者的指示和监督权

处理者义务

• 仅按书面指示处理：处理者承诺仅按控制者的指示处理（法律要求的情形除外）
• 保密：获授权处理的人员已承诺保密
• 安全措施：描述了适当的技术和组织措施（第 32 条引用）
• 次级处理者要求：
  • 书面授权要求（一般或特定）
  • 如为一般授权：变更通知并赋予异议机会
  • 次级处理者通过书面协议受同等义务约束
  • 处理者对次级处理者的履行仍负责任
• 数据主体权利协助：处理者将协助控制者回应数据主体请求
• 安全和违规协助：处理者将协助履行安全义务、违规通知、DPIA 和事先协商
• 删除或返还：终止时，删除或返还全部个人数据（由控制者选择），并删除现有副本，除非法律要求保留
• 审计权：控制者有权进行审计和检查（或接受第三方审计报告）
• 违规通知：处理者将毫不迟延地通知控制者个人数据泄露（理想为 24-48 小时内；必须使控制者能够满足 72 小时监管截止期限）

国际转移

• 转移机制已识别：SCC、充分性认定、BCR 或其他有效机制
• SCC 版本：如适用，使用现行欧盟 SCC（2021 年 6 月版本）
• 正确的模块：选择了适当的 SCC 模块（C2P、C2C、P2P、P2C）
• 转移影响评估：如向无充分性认定的国家转移，已完成评估
• 补充措施：为解决转移影响评估中识别的缺口而采取的技术、组织或合同措施
• 英国附录：如英国个人数据在范围内，包含英国国际数据传输附录

实务考量

• 责任：DPA 责任条款与主服务协议一致（或不冲突）
• 终止对齐：DPA 期限与服务协议一致
• 数据所在地：处理地点已明确且可接受
• 安全标准：要求的特定安全标准或认证（SOC 2、ISO 27001 等）
• 保险：数据处理活动有充分的保险覆盖

常见 DPA 问题

问题	风险	标准立场
无通知的笼统次级处理者授权	对处理链失去控制	要求通知并赋予异议权
违规通知时限 > 72 小时	可能妨碍及时的监管通知	要求在 24-48 小时内通知
无审计权（或仅通过第三方报告审计）	无法核实合规	接受 SOC 2 Type II + 有事由时审计权
未规定数据删除时限	数据无限期保留	要求在终止后 30-90 天内删除
未规定数据处理地点	数据可能在任意地点处理	要求披露处理地点
SCC 过时	转移机制无效	要求现行欧盟 SCC（2021 年版本）

数据主体请求处理

请求受理

收到数据主体请求时：

1. 识别请求类型：

   • 访问（个人数据副本）
   • 更正（不准确数据的修正）
   • 删除 / 擦除（"被遗忘权"）
   • 限制处理
   • 数据可携带（结构化、机器可读格式）
   • 反对处理
   • 选择退出出售/共享（CCPA/CPRA）
   • 限制使用敏感个人信息（CPRA）

2. 识别适用法规：

   • 数据主体位于何处？
   • 基于贵组织的存在和活动，哪些法律适用？
   • 具体要求和时限是什么？

3. 核实身份：

   • 确认请求者确为其所声称之人
   • 使用与数据敏感性相称的合理核实措施
   • 不要求过多文件

4. 记录请求：

   • 收到日期
   • 请求类型
   • 请求者身份
   • 适用法规
   • 回应截止期限
   • 指定的处理人

回应时限

法规	初始确认	实质性回应	延长
GDPR	未规定（最佳实践：及时）	30 天	+60 天（通知后）
CCPA/CPRA	10 个工作日	45 个日历日	+45 天（通知后）
英国 GDPR	未规定（最佳实践：及时）	30 天	+60 天（通知后）
LGPD	未规定	15 天	有限延长

豁免与例外

在履行请求之前，检查是否有任何豁免适用：

各法规常见的豁免：

• 法律主张的抗辩或确立
• 要求保留的法律义务
• 公共利益或官方职权
• 言论和信息自由（针对删除请求）
• 出于公共利益的存档或科学/历史研究

组织特定考量：

• 诉讼保全：受法律保全令约束的数据不得删除
• 监管保留：财务记录、雇佣记录及其他类别可能有强制性保留期限
• 第三方权利：履行请求可能对他人的权利产生不利影响

回应流程

1. 跨系统收集请求者的全部个人数据
2. 适用任何豁免并记录依据
3. 准备回应：履行请求，或解释为何（全部或部分）无法履行
4. 如拒绝（全部或部分）：援引具体的拒绝法律依据
5. 告知请求者其有权向监管机构提出投诉
6. 记录回应，并保留请求与回应的记录

监管监测基础

监测什么

持续了解以下方面的发展：

• 监管指引：监管机构（ICO、CNIL、FTC、各州总检察长等）新发布或更新的指引
• 执法行动：表明监管优先事项的罚款、命令和和解
• 立法变化：新的隐私法律、现有法律的修正、实施细则
• 行业标准：ISO 27001、SOC 2、NIST 框架及行业特定要求的更新
• 跨境转移发展：充分性认定、SCC 更新、数据本地化要求

监测方法

1. 订阅监管机构的通讯（新闻简报、RSS 源、官方公告）
2. 跟踪相关法律出版物以获取新发展的分析
3. 查看行业协会更新以获取行业特定指引
4. 维护监管日历，记录已知的即将到来的截止期限、生效日期和合规里程碑
5. 向法务团队简报影响组织处理活动的重大发展

升级标准

在以下情形将监管发展升级给高级法律顾问或管理层：

• 新法规或指引直接影响组织的核心业务活动
• 组织所在行业的执法行动表明监管审查加强
• 合规截止期限临近，需要组织变革
• 组织所依赖的数据转移机制受到挑战或失效
• 监管机构启动涉及组织的询问或调查