gdpr-audit-prep
作者 alirezarezvanigdpr-audit-prep 透過六個引用 GDPR 條文的 DPO 問題，協助團隊在稽核或盡職調查前壓力測試 GDPR 準備度，檢查 RoPA、合法依據、DPIA、跨境傳輸、資料外洩、保存期限與證據缺口。
此 skill 評分為 73/100，代表它適合收錄於目錄中；作為聚焦 GDPR audit prep 的 prompt，它能提供比一般合規提示更清楚的追問架構。目錄使用者應將它視為一份輕量的 DPO 風格檢核清單，用來壓力測試 GDPR 準備度，而不是具備配套 templates、scripts 或法律參考資料的完整稽核系統。
- 觸發方式與使用情境清楚：命令 `/cs:gdpr-audit-prep <scope>` 明確對應年度 GDPR review、資料外洩應變、DPA investigation readiness，以及併購盡職調查。
- 核心具備實務價值：此 skill 以六個引用條文的 DPO 問題為主軸，涵蓋 Article 30 RoPA、Article 6 lawful basis、DPIA 觸發條件，以及與資料外洩相關的 Articles 33-34。
- 有助於 agent 進行追問：強制提問的格式能協助 agent 挑戰缺漏的合規證據，而不只是產出泛泛的 GDPR 評述。
- 未提供支援檔案、參考資料、scripts、templates 或安裝指引，因此使用者只能取得 SKILL.md workflow。
- 從 repository 內容來看，除了清單式追問之外，實務執行細節有限；對需要完整 GDPR 稽核套件的團隊而言，可能仍不足夠。
gdpr-audit-prep skill 概覽
gdpr-audit-prep 的用途
gdpr-audit-prep 是一項合規審查 skill，用六個接近 DPO 審查思維、並引用 GDPR 條文的問題，協助壓力測試 GDPR 準備程度。它的設計目的不是讓 AI assistant 產出一份溫和的檢核表，而是要求 AI assistant 追問隱私合規證據。核心任務很明確：在稽核、資料外洩應變、DPA 溝通、DPIA、RoPA 更新，或併購審查之前，使用這項 skill 找出缺漏紀錄、薄弱的合法依據主張、未文件化的跨境傳輸、過期的保存規則，以及不完整的資料主體權利處理流程。
最適合合規審查團隊
gdpr-audit-prep skill 最適合隱私負責人、法務營運團隊、DPO 支援人員、資安／合規經理，以及正在準備面對 GDPR 檢視的新創營運者。當你已經有一些素材，例如 RoPA、DPIA、隱私權聲明、DPA 清單、傳輸影響評估、資料保存時程、外洩紀錄，但需要在交給法律顧問、稽核人員、買方或監管機關前先做一次結構化挑戰時，這項 skill 特別有用。
它和一般 GDPR prompt 有什麼不同
一般 prompt 可能只會摘要 GDPR 義務。gdpr-audit-prep 的範圍更窄，也更適合實務審查：它會提出與特定 GDPR 條文相關的迫問式問題，聚焦 Article 30 紀錄、Article 6 合法依據、DPIA 觸發條件、國際傳輸、外洩通知，以及證據品質。它的價值不在於「處理 GDPR 全部事項」，而是協助你看清楚：你主張的合規狀態，是否能用有日期、具體、可被審閱的文件來支撐。
採用前的重要限制
這項 skill 不能取代法律意見、DPO，或完整的 GDPR 稽核計畫。它也只以單一 SKILL.md 提供，沒有隨附腳本、參考資料或輔助資源，因此使用者應把它視為 prompt 工作流程資產，而不是自動化證據掃描器。當你提供具體範圍與文件時，它效果最好；如果只是要求它「check GDPR compliance」，卻沒有處理活動、地理範圍、供應商清單或稽核目標，輸出品質會很有限。
如何使用 gdpr-audit-prep skill
gdpr-audit-prep 安裝與 repository path
若使用 Claude skills 工作流程，請從以下 repository path 安裝：
npx skills add alirezarezvani/claude-skills --skill gdpr-audit-prep
上游位置是 alirezarezvani/claude-skills 內的 compliance-os/skills/gdpr-audit-prep。建議先閱讀 SKILL.md；這項 skill 沒有另外的 README.md、rules/、references/、resources/ 或 scripts 可供檢查。這讓安裝很直接，但也代表你自己的證據包與 prompt 設計，會大幅影響輸出品質。
審查前需要提供的輸入資料
若要取得較扎實的 gdpr-audit-prep usage 成果，請給 assistant 明確範圍，以及你希望被挑戰的證據。實用輸入包括：
- 處理活動名稱、controller/processor 角色、涉及國家、資料主體與資料類別
- RoPA 摘要與最後更新日期
- 依目的列出的合法依據，包括任何 legitimate interests assessment
- DPIA，或未執行 DPIA 的理由
- 供應商／subprocessor 清單、SCCs、傳輸機制與傳輸風險備註
- 資料保存時程與刪除控制
- 外洩紀錄或事件應變脈絡
- 相關的隱私權聲明、DSAR 程序與同意紀錄
較差的 prompt 是：「Check if we are GDPR compliant。」
較好的 prompt 是：「Use gdpr-audit-prep for Compliance Review of our EU customer analytics processing. We are controller, use Mixpanel and AWS, process account IDs, usage events, IP addresses, and support metadata. Review the attached RoPA extract, LIA, DPA list, retention schedule, and privacy notice. Identify audit-facing gaps by GDPR Article, evidence needed, and owner-ready remediation questions.」
完整 prompt 的實務工作流程
請在正式審查會議前使用這項 skill，而不是等決策都已定案後才使用。實用流程如下：
- 定義精確範圍：年度稽核、Article 30 更新、高風險功能上線、外洩應變準備、DPA 調查，或 M&A due diligence。
- 貼上或附上相關素材，不要只靠記憶要求 assistant 推測。
- 要求 skill 針對每個 DPO 迫問式問題，以
finding、GDPR Article、evidence seen、evidence missing、risk與next action回答。 - 區分事實與假設。如果模型推論了某件事，要求它明確標示為推論。
- 將第一版輸出轉換成修補追蹤表，包含負責人、到期日、證據連結與稽核狀態。
提升輸出品質的技巧
請要求對抗式審查，而不是尋求安慰。像是「challenge our evidence」、「act as a DPO before supervisory authority engagement」和「do not accept undocumented claims」這類說法，通常會比「summarize compliance」產出更好的結果。如果你有多個處理活動，請針對每一個活動分別執行 gdpr-audit-prep；Article 6 依據、保存規則、跨境傳輸與 DPIA 邏輯，往往會因目的而異。
gdpr-audit-prep skill 常見問題
gdpr-audit-prep 適合初學者嗎？
可以，前提是初學者能取得真實的隱私文件，並理解該處理活動。這項 skill 的六題結構能降低開始 GDPR 審查的門檻，但它不會從零教完整的 GDPR 概念。初學者在對外提出主張前，應搭配法律或隱私專業人員審閱輸出。
什麼情況不該使用 gdpr-audit-prep？
不要把它當成法律解釋、監管機關往來、外洩通知決策或最終 DPIA 核准的唯一依據。它也不適合用於廣泛的隱私治理設計、cookie banner 實作、僅限 CCPA 的審查，或自動化 codebase 掃描。當任務是 GDPR 稽核準備與證據挑戰時，再使用它。
這和隱私檢核表有什麼不同？
檢核表問的是某個項目是否存在。gdpr-audit-prep guide 的做法則是追問該項目是否站得住腳：是否有日期、是否對應條文、是否連結到特定處理目的，以及是否有紀錄支撐。這個差異很重要，因為許多 GDPR 稽核失敗並不是完全沒有文件，而是 RoPA 過期、合法依據混用、legitimate interest 主張缺乏支撐，或跨境傳輸沒有文件化。
它適用於 processors 和 controllers 嗎？
可以，但你必須說明適用的是哪一種角色。Article 30 對 controllers 和 processors 的要求不同，對合約、subprocessors、指示與 joint controller 安排所期待的證據也有實質差異。如果你的組織同時扮演兩種角色，請依處理關係拆分審查。
如何改進 gdpr-audit-prep skill
用更完整的證據包改進 gdpr-audit-prep
改善 gdpr-audit-prep 結果最快的方法，是在要求結論前先提供證據包。請包含檔案名稱、日期、文件負責人與已知缺口。例如：「RoPA updated 2024-11-02, LIA draft missing balancing test, SCCs signed with vendor but no TIA, retention rule says 24 months but deletion job not evidenced。」這有助於 assistant 區分真正的稽核發現與只是缺少脈絡。
留意常見失敗模式
主要失敗模式是接受模糊的合規用語。若輸出只說「ensure appropriate measures」，卻沒有指出紀錄、條文、控制措施或缺少的證明，就應要求重做。另一個失敗模式是把不同目的混在一起；同一個產品工作流程可能包含帳號建立、計費、分析、詐欺防制與客服支援，而每一項都可能有不同的合法依據與保存邏輯。
從問題迭代到修補行動
第一次執行後，請要求第二輪輸出，把發現轉換成行動計畫。實用的追問 prompt 是：「Turn the unresolved gdpr-audit-prep findings into a remediation table with priority, GDPR Article, required evidence, accountable team, suggested due date, and what would satisfy an auditor。」這會讓這項 skill 對 Compliance Review 更具操作性。
最終使用前加入本地政策脈絡
若要用於正式作業，請依你組織的風險胃納與文件標準調整這項 skill。加入你的 RoPA template、DPIA threshold rules、breach escalation policy、vendor review criteria、transfer assessment method 與 retention taxonomy。當 skill 是依據你實際的合規營運模型，而不是泛泛的 GDPR 期待進行審查時，可靠度會更高。