gdpr-audit-prep

gdpr-audit-prep skill 概览

gdpr-audit-prep 能做什么

gdpr-audit-prep 是一项合规审查 skill，用六个类似 DPO 提问方式、并引用 GDPR 条款的问题，帮助你对 GDPR 准备情况做压力测试。它的设计目的不是让 AI assistant 生成一份温和的检查清单，而是推动 AI assistant 追问隐私合规证据是否站得住脚。它的核心用途很明确：在审计、数据泄露响应、DPA 沟通、DPIA、RoPA 更新或收购审查之前，用这个 skill 暴露缺失记录、薄弱的 lawful basis 主张、未记录的跨境传输、过期的留存规则，以及不完整的数据主体权利处理流程。

最适合合规审查团队使用

gdpr-audit-prep skill 最适合隐私负责人、法律运营团队、DPO 支持人员、安全与合规经理，以及正在准备接受 GDPR 审视的初创公司运营者。它尤其适用于你已经有一些材料的场景，例如 RoPA、DPIA、privacy notice、DPA list、transfer impact assessment、retention schedule、breach log，但在把材料交给律师、审计方、买方或监管机构之前，需要先进行一次结构化质询。

它和通用 GDPR prompt 有什么不同

通用 prompt 可能只是概述 GDPR 义务。gdpr-audit-prep 的范围更窄，但对运营层面的审查更有用：它会提出与具体 GDPR Articles 绑定的追问，重点关注 Article 30 records、Article 6 lawful basis、DPIA 触发条件、国际传输、数据泄露通知，以及证据质量。它的价值不在于“做 GDPR”，而在于帮助你判断自己声称的合规状态，是否能用有日期、足够具体、可复核的文档来支撑。

采用前需要注意的限制

这个 skill 不能替代法律建议、DPO 或完整的 GDPR 审计项目。它也只是以单个 SKILL.md 的形式提供，没有附带脚本、参考资料或辅助资源，因此用户应把它理解为一个 prompt-workflow 资产，而不是自动化证据扫描器。只有在你提供明确范围和具体文档时，它的效果最好；如果只是让它“check GDPR compliance”，却不提供处理活动、地理范围、供应商清单或审计目标，效果会很弱。

如何使用 gdpr-audit-prep skill

gdpr-audit-prep 安装方式与仓库路径

对于 Claude skills 工作流，可以从以下仓库路径安装：

npx skills add alirezarezvani/claude-skills --skill gdpr-audit-prep

上游位置是 alirezarezvani/claude-skills 中的 compliance-os/skills/gdpr-audit-prep。建议先阅读 SKILL.md；这个 skill 没有单独的 README.md、rules/、references/、resources/ 或脚本需要检查。这让安装过程很直接，但也意味着输出质量很大程度上取决于你自己的证据包和 prompt 设定。

审查前需要提供哪些输入

想让 gdpr-audit-prep usage 更有效，应给 assistant 一个清晰的范围，以及你希望它质询的证据。常见有用输入包括：

• 处理活动名称、controller/processor 角色、国家/地区、数据主体和数据类别
• RoPA 摘录及最后更新日期
• 按目的拆分的 lawful basis，包括任何 legitimate interests assessment
• DPIA，或未完成 DPIA 的理由
• Vendor/subprocessor list、SCCs、传输机制和传输风险说明
• Retention schedule 和删除控制
• Breach log 或 incident-response 背景
• Privacy notice、DSAR procedure，以及相关场景下的 consent records

较差的 prompt 是：“Check if we are GDPR compliant.”
更好的 prompt 是：“Use gdpr-audit-prep for Compliance Review of our EU customer analytics processing. We are controller, use Mixpanel and AWS, process account IDs, usage events, IP addresses, and support metadata. Review the attached RoPA extract, LIA, DPA list, retention schedule, and privacy notice. Identify audit-facing gaps by GDPR Article, evidence needed, and owner-ready remediation questions.”

编写完整 prompt 的实用工作流

应在正式审查会议之前运行这个 skill，而不是在决策已经固定之后再运行。一个实用工作流如下：

1. 明确具体范围：年度审计、Article 30 更新、高风险产品上线、泄露响应准备、DPA 调查，或 M&A 尽调。
2. 粘贴或附上相关材料，不要让模型只凭记忆回答。
3. 要求 skill 对每个 DPO 式追问都按以下字段回答：finding、GDPR Article、evidence seen、evidence missing、risk 和 next action。
4. 区分事实和假设。如果模型进行了推断，要求它明确标注为推断。
5. 将第一次输出转换成整改跟踪表，包含 owner、due date、evidence link 和 audit status。

提升输出质量的提示

请要求它进行对抗式审查，而不是给你安慰性总结。像 “challenge our evidence”、“act as a DPO before supervisory authority engagement” 和 “do not accept undocumented claims” 这样的表达，通常比 “summarize compliance” 更能得到有价值的结果。如果你有多个处理活动，应分别对每个活动运行 gdpr-audit-prep；Article 6 basis、retention、transfers 和 DPIA 逻辑往往会因目的不同而变化。

gdpr-audit-prep skill 常见问题

gdpr-audit-prep 适合初学者吗？

适合，前提是初学者能接触到真实的隐私文档，并理解相关处理活动。这个 skill 的六问结构能降低 GDPR 审查的启动门槛，但它不会从零讲完每一个 GDPR 概念。初学者在对外作出任何合规声明之前，应将输出交由法律或隐私专业人士复核。

什么时候不该使用 gdpr-audit-prep？

不要把它作为法律解释、监管沟通、数据泄露通知决策或最终 DPIA 批准的唯一依据。它也不适合用于宽泛的隐私项目设计、cookie banner 实施、仅针对 CCPA 的审查，或自动化代码库扫描。它最适合的任务是 GDPR 审计准备和证据质询。

它和隐私检查清单有什么区别？

检查清单通常只问某个项目是否存在。gdpr-audit-prep guide 的方法会进一步追问这个项目是否经得起质询：是否有日期、是否对应具体 Article、是否绑定到特定处理目的、是否有记录支撑。这个区别很重要，因为许多 GDPR 审计失败并不是完全没有文件，而是 RoPA 过期、lawful bases 混用、legitimate interest 主张缺少支撑，或跨境传输没有文档记录。

它同时适用于 processors 和 controllers 吗？

适用，但你必须说明当前适用的是哪种角色。Article 30 对 controllers 和 processors 的要求不同，对合同、subprocessors、instructions 和 joint controller arrangements 所期待的证据也有实质差异。如果你的组织同时承担两种角色，应按处理关系拆分审查。

如何改进 gdpr-audit-prep skill

用更好的证据包改进 gdpr-audit-prep

提升 gdpr-audit-prep 结果的最快方式，是在要求它得出结论之前先提供证据包。应包含文件名、日期、文档 owner 和已知缺口。例如：“RoPA updated 2024-11-02, LIA draft missing balancing test, SCCs signed with vendor but no TIA, retention rule says 24 months but deletion job not evidenced.” 这能帮助 assistant 区分真正的审计发现和只是上下文缺失。

留意常见失败模式

最主要的失败模式，是接受含糊的合规表述。如果输出只是说 “ensure appropriate measures”，却没有点名具体记录、Article、控制措施或缺失证据，就应追问。另一个常见问题是把不同目的混在一起；一个产品工作流可能同时包含账户创建、计费、分析、欺诈防控和客服支持，而每一项都可能有不同的 lawful basis 和 retention 逻辑。

从问题推进到整改

第一次运行后，可以要求它进行第二轮处理，把发现转换成行动计划。一个有用的后续 prompt 是：“Turn the unresolved gdpr-audit-prep findings into a remediation table with priority, GDPR Article, required evidence, accountable team, suggested due date, and what would satisfy an auditor.” 这样能让这个 skill 在 Compliance Review 中更具可执行性。

最终使用前加入本地政策背景

用于生产环境前，应根据你所在组织的风险偏好和文档标准调整这个 skill。加入你的 RoPA template、DPIA threshold rules、breach escalation policy、vendor review criteria、transfer assessment method 和 retention taxonomy。当它依据你的实际合规运营模型进行审查，而不是按照泛化的 GDPR 预期来判断时，可靠性会更高。