gdpr-data-handling

gdpr-data-handling skill 概覽

gdpr-data-handling skill 的作用

gdpr-data-handling skill 可協助 agent 把抽象的 GDPR 要求轉成可執行的實作指引，涵蓋資料處理、同意機制、資料主體權利、保存期限，以及隱私設計（privacy-by-design）等決策。當你不只是想下「請符合 GDPR」這種泛泛提示，而是希望用有結構的方式，檢視某個產品、流程或政策是否符合常見 GDPR 義務時，這個 skill 特別有用。

適合哪些人使用

最適合的使用者包括：

• 正在推出會處理 EU 個人資料功能的產品與工程團隊
• 進行初步缺口檢視的法遵、legal-ops 與資安審查人員
• 正在設計同意流程、DSR 處理機制或資料保存控制的創辦人與營運人員
• 上線前需要先做 gdpr-data-handling for Compliance Review 的 AI 建置者

如果你已經大致了解要審查的系統，但需要一份有紀律的檢查清單與輸出架構，這個 skill 會很合適。

實際要解決的工作

多數使用者並不需要一篇像法學院課程那樣的 GDPR 摘要，他們真正需要的是協助回答這些實務問題：

• 涉及哪些個人資料類別
• 主張的是哪一種處理法律依據
• 是否真的需要取得同意
• 必須支援哪些資料主體權利
• 在保存、刪除與可稽核性方面有哪些薄弱點
• 正式發布前應先做哪些補救工作

這就是 gdpr-data-handling skill 的核心價值。

它與一般泛用 prompt 有什麼不同

一般 prompt 往往只能產出寬泛的隱私建議。若你需要模型針對 GDPR 特有面向進行推理，這個 skill 會更實用，例如：

• 個人資料類別判定，包括特殊類別資料與兒童資料
• Article 6 下的合法處理依據
• 資料主體權利的處理方式
• privacy by design 的期待
• 不只寫政策文字，而是落到營運與法遵執行任務

它真正的差異點在於結構化：就算你提供的輸入很零散，它也能替 agent 建立更好的法遵審查框架，特別適合用於 compliance review 工作。

安裝前要先知道的事

這個 skill 看起來是以 SKILL.md 為核心的單一檔案指引型 skill，沒有額外腳本或參考資料夾。因此導入門檻低，但輸出品質會非常依賴你提供的事實資料。它能加快審查與草稿撰寫，但不能取代法律顧問、特定法域的專業意見，或從實際系統蒐集證據的工作。

如何使用 gdpr-data-handling skill

gdpr-data-handling 安裝情境

請從包含此 skill 的 repository 安裝：

npx skills add https://github.com/wshobson/agents --skill gdpr-data-handling

安裝後，就像工作流程中使用其他 skills 一樣，從你的 agent 環境中呼叫它即可。由於這個 repository 對此 skill 只提供 SKILL.md，除了安裝與準備 prompt 之外，幾乎不需要額外設定。

先讀這個檔案

請先從這裡開始：

• plugins/hr-legal-compliance/skills/gdpr-data-handling/SKILL.md

因為這裡沒有提供額外的 references/、resources/ 或腳本，幾乎所有可實際運作的指引都集中在這個檔案裡。若你打算把這個 skill 用在正式審查上，尤其需要先理解它的適用範圍與邊界時，務必先讀過。

實務上最適合的使用情境

可將 gdpr-data-handling usage 用在以下任務：

• 審查會蒐集或分享個人資料的新功能
• 檢查某個同意流程是否真的必要且有效
• 將產品流程對應到合法處理依據
• 評估對存取、刪除或可攜性的 DSR 準備程度
• 起草一份包含風險與補救項目的法遵審查 memo
• 在上線前壓力測試 privacy-by-design 的主張是否站得住腳

當 agent 手上有具體系統事實，而不是只有抽象意圖時，這個 skill 的效果最好。

要讓 gdpr-data-handling skill 發揮效果，需要哪些輸入

要讓 skill 能正確推理相關義務，就必須提供足夠的營運與系統細節。最有用的輸入包括：

• 產品實際在做什麼
• 哪些使用者在範圍內，尤其是 EU 使用者或兒童
• 蒐集了哪些資料欄位
• 資料從哪裡來、流向哪裡
• 是否涉及特殊類別資料或犯罪資料
• 每一項處理活動的目的
• 目前的同意與告知流程
• 保存期間
• DSR 的處理流程
• 供應商、subprocessors 與跨境傳輸情境

弱的輸入範例：「Review our app for GDPR.」

強的輸入範例：「Review our hiring platform for GDPR. We collect name, email, CV, interview notes, optional disability accommodation details, and recruiter assessments. EU candidates can create accounts, upload documents, and request deletion. Data is stored in AWS EU-West, shared with a US email vendor and analytics provider. We currently rely on consent for marketing emails and contract necessity for application processing.」

把模糊目標改寫成強而有力的 prompt

一個好的 gdpr-data-handling guide prompt，通常會包含四個部分：

1. 系統描述
2. 資料盤點
3. 法律／法遵前提
4. 希望的輸出格式

範例 prompt：
「Use the gdpr-data-handling skill to perform a compliance review of our employee wellness app. Identify personal data categories, likely legal bases, where explicit consent is required, DSR obligations, retention risks, and privacy-by-design gaps. Then produce a prioritized remediation list with high/medium/low severity and note assumptions where facts are missing.」

這樣的 prompt 之所以更好，是因為它要求的是分類、分析與優先順序，而不是泛泛而談的 GDPR 建議。

一套實用又省時的工作流程

一個可靠的流程是：

1. 描述系統與使用者
2. 列出資料類別與處理目的
3. 要求 agent 將每項活動對應到合法處理依據
4. 再請它分析權利、同意、保存與傳輸的影響
5. 要求產出附嚴重程度與後續行動的缺口清單
6. 第一輪後補足缺失事實，再重新修正

這種分階段方式，通常比一開始就要求最終政策文字或法律結論更有效。

建議要求哪些輸出

若是為了實作落地，請要求可直接採取行動的輸出格式：

• processing activity table
• lawful basis map
• consent decision matrix
• DSR support checklist
• retention and deletion requirements
• privacy-by-design recommendations
• launch blockers vs non-blockers
• open questions for legal review

和純敘述式文章相比，這些格式能讓 gdpr-data-handling skill 對工程與法遵團隊更有實際價值。

gdpr-data-handling skill 最可能在哪裡幫上大忙

當團隊需要先做一輪有結構的初步審查，但還沒有成熟的隱私 playbook 時，這個 skill 最能發揮價值。它特別擅長把原本未明說的前提挖出來：許多團隊知道自己蒐集了什麼，卻不清楚實際依賴的是哪一種法律依據，也不知道若收到存取或刪除要求，端到端究竟要怎麼履行。

限制與取捨

由於這個 skill 是文件導向，且未內建自動化能力，它無法自行檢查你的資料庫、log、供應商合約或正式環境設定。它可以根據你提供的事實進行推理，並產出有價值的審查成果，但無法驗證實作證據。請把它視為受引導的法遵分析層，而不是稽核系統。

什麼時候一般 prompt 就夠了

如果你只是想快速理解 GDPR 的基本概念，泛用 prompt 可能就夠了。當你需要可重複使用的實作審查結構，尤其是圍繞法律依據選擇、權利處理，以及最終要落成工程任務的設計決策時，再安裝 gdpr-data-handling 會更值得。

gdpr-data-handling skill 常見問題

gdpr-data-handling 適合初學者嗎？

適合，前提是你已經了解自己的產品。這個 skill 能用合法處理依據、資料主體權利等實務 GDPR 概念，幫助初學者把審查流程整理得更有條理。但如果你連資料流都還沒盤清，幫助就會有限，因為模型只能被迫做太多猜測。

我可以把 gdpr-data-handling 用於 Compliance Review 嗎？

可以，而且這正是最值得使用它的原因之一。這個 skill 很適合對某個功能、產品或流程進行第一輪 compliance review，特別是當你要的是缺口清單與補救計畫，而不是對法規的泛泛解說時。

它能取代律師或 DPO 嗎？

不能。gdpr-data-handling skill 可以幫你辨識可能的義務、風險與缺失控制，但它不能構成法律意見，也不能保證你的解讀在監管爭議中站得住腳。更好的用法，是在正式法律審查前，先用它提高準備程度、減少盲點。

它只適合做 consent management 嗎？

不是。Consent 只是合法處理依據之一，而且很多團隊其實過度依賴 consent。這個 skill 也能協助檢視 contract necessity、legitimate interests、legal obligation、privacy-by-design、DSR handling，以及資料分類。這種較完整的框架，也是它比單純 consent checklist 更值得選用的原因。

什麼情況下不該用這個 skill？

以下情況可先跳過：

• 你的任務純粹是非 EU 隱私工作，沒有 GDPR 面向
• 你需要的是從系統自動蒐集證據
• 你要的是超出此 skill 範圍的特定法域法律意見
• 你還不知道系統實際處理哪些資料

遇到這些情況，應先做 data discovery，或直接找專業人員介入。

它和一般 GDPR prompt 的差異是什麼？

一般 prompt 很容易回傳空泛的法遵措辭。當你需要模型在一次分析中，穩定檢視資料類別、法律依據、資料主體權利與實作影響時，gdpr-data-handling usage 會更好。這種結構化方式能減少遺漏，尤其適合功能審查。

如何提升 gdpr-data-handling skill 的效果

提供處理活動盤點，不要只給一句口號

輸出品質提升最大的關鍵，是把模糊請求換成精簡但完整的處理活動盤點。請至少包含：

• actor：customer、employee、candidate、child、patient
• data：蒐集的欄位
• purpose：為何要處理
• basis：你目前假設的法律依據
• movement：儲存、分享、傳輸
• lifecycle：保存與刪除

這樣 gdpr-data-handling 才能做分析，而不是只能猜。

及早標註高風險資料類別

請在 prompt 一開始就明確指出特殊類別資料、犯罪資料、兒童資料、大規模監控，或跨境傳輸等情況。這些事實會實質改變法遵分析，也常直接決定是否需要額外保護措施或更深入審查。

要求把假設與結論分開

常見失敗模式之一，是模型表現出過度確定。若想提高輸出可靠性，請要求 agent 明確標示：

• confirmed facts
• assumptions
• likely obligations
• unresolved legal questions

這種區分會讓結果更適合在內部流通與討論。

要求用實作語言提出補救方案

不要只停在「identify GDPR risks」。請進一步要求：

• required controls
• owner suggestions
• priority level
• evidence to collect
• proposed product or process changes

這樣才能把 gdpr-data-handling guide 變成工程與法遵團隊真正可執行的工具。

比較現況與目標狀態

若想得到更強的結果，請一併提供目前已存在的內容：

• consent banner 或 account flow
• privacy notice 摘要
• retention rules
• deletion process
• vendor list
• security controls

接著要求 skill 將現況與 GDPR 目標要求做對照。缺口分析遠比泛用 checklist 更能直接促成行動。

第一輪輸出後再迭代

先用第一輪結果找出缺少的事實，接著再追問，例如：

• “Reassess legal bases now that analytics is optional and disabled by default for EU users.”
• “Update the review assuming disability information is processed only when candidates request accommodations.”
• “Prioritize remediation items that block launch in the next 30 days.”

很多時候，真正讓 gdpr-data-handling skill 變得對決策有用的，正是這第二輪。

留意這些常見失敗模式

結果不佳通常來自以下問題：

• 資料類別不清楚
• 沒有區分 controller 與 processor 角色
• 預設 consent 一定是必要的
• 忽略保存與刪除作業
• 忘記供應商共享或國際傳輸
• 在事實不足時就要求最終法律結論

在怪罪 skill 之前，先把這些輸入問題修正好。

搭配 repository 以外的系統脈絡一起用

如果你審查的是實際 codebase 或產品，請把架構說明、API 欄位、註冊流程與供應商文件一併貼進 prompt。這個 skill 本身提供的是通用指引；真正讓審查有意義的，是你的系統脈絡。

把 gdpr-data-handling 當成審查層，而不是打勾清單

要提升 gdpr-data-handling 成效，最好的做法是把它放進持續運作的流程裡：設計審查、上線前審查、DSR readiness 檢查，以及變更後重新評估。當團隊會在產品變動後重新檢視分析，而不是把第一次輸出當成定稿時，得到的價值會更高。