gdpr-data-handling

gdpr-data-handling skill 概览

gdpr-data-handling skill 能做什么

gdpr-data-handling skill 的作用，是把宽泛的 GDPR 要求转成可落地的实施指导，覆盖数据处理、同意、数据主体权利、保留期限，以及 privacy-by-design（隐私保护内建）等决策场景。相比一句泛泛的“确保 GDPR 合规”，它更适合在你需要一套结构化方法时使用，用来审视某个产品、流程或政策是否满足常见的 GDPR 义务。

谁适合使用它

最适合这项 skill 的用户包括：

• 正在上线涉及欧盟个人数据处理功能的产品和工程团队
• 做初步差距评估的合规、法务运营和安全审查人员
• 正在设计同意流程、DSR 处理流程或数据保留控制的创始人和业务负责人
• 需要在上线前使用 gdpr-data-handling for Compliance Review 的 AI 构建者

如果你已经了解待审查的系统，但需要一份更有纪律性的检查清单和输出结构，这个 skill 会很合适。

它真正解决的工作问题

大多数用户并不需要一份法学院式的 GDPR 理论概述。他们真正需要的，是有人帮忙回答这些实际问题：

• 涉及了哪些个人数据类别
• 当前主张的合法处理依据是什么
• 是否真的需要取得同意
• 必须支持哪些数据主体权利
• 数据保留、删除和可审计性在哪里薄弱
• 在发布前应完成哪些整改工作

这正是 gdpr-data-handling skill 的核心价值。

它和通用提示词有什么不同

普通提示词也许会给出一些宽泛的隐私建议，但当你需要模型沿着 GDPR 的关键维度逐项推演时，这个 skill 会更有用，例如：

• 个人数据类别，包括特殊类别数据和儿童数据
• Article 6 下的合法处理依据
• 数据主体权利的处理要求
• privacy by design 的预期要求
• 不只是政策文案，而是实际运营合规任务

它的差异化优势在于结构。尤其当你的输入信息比较杂乱时，它能为代理提供一个更适合做合规审查的分析框架。

安装前需要了解的事

这个 skill 看起来是一个以 SKILL.md 为核心的单文件指导型 skill，没有额外脚本或参考资料目录。这意味着接入门槛低，但输出质量会高度依赖你提供的事实信息。它可以加快审查和起草工作，但不能替代律师意见、特定司法辖区的法律建议，也不能替代从实际系统中收集证据。

如何使用 gdpr-data-handling skill

gdpr-data-handling 的安装方式与使用上下文

从包含该 skill 的仓库中安装：

npx skills add https://github.com/wshobson/agents --skill gdpr-data-handling

安装后，在你的 agent 环境里，按工作流中调用其他 skills 的方式来调用它即可。由于这个仓库为该 skill 公开的内容只有 SKILL.md，所以除了安装之外，基本不需要额外配置，重点在于准备好高质量提示词。

先读这个文件

优先查看：

• plugins/hr-legal-compliance/skills/gdpr-data-handling/SKILL.md

由于这里没有看到额外的 references/、resources/ 或脚本文件，几乎所有实际使用指导都集中在这个文件里。在把它用于真实审查前，最好先读一遍，尤其是当你需要明确它的适用边界时。

gdpr-data-handling 的最佳实践场景

gdpr-data-handling usage 特别适合以下任务：

• 审查一个会收集或共享个人数据的新功能
• 判断某个同意流程是否真的有必要，且是否有效
• 将产品流程映射到对应的合法处理依据
• 评估访问、更正、删除或可携带等 DSR 支持是否到位
• 起草带有风险项和整改建议的合规审查备忘录
• 在上线前检验 privacy-by-design 相关主张是否站得住脚

前提是，agent 手里要有具体的系统事实，而不是只有抽象意图。

让这个 skill 发挥作用，你需要提供哪些输入

要让这个 skill 做出可靠判断，就要给它足够的业务和运营细节。最有用的输入包括：

• 产品是做什么的
• 哪些用户在范围内，尤其是欧盟用户或儿童
• 收集了哪些数据字段
• 数据从哪里来、流向哪里
• 是否涉及特殊类别数据或犯罪相关数据
• 每项处理活动的目的是什么
• 当前的同意机制和告知流程
• 数据保留期限
• DSR 处理流程
• 供应商、subprocessor 以及跨境传输背景

弱输入示例：“帮我们审查 app 的 GDPR 合规性。”

强输入示例：“Review our hiring platform for GDPR. We collect name, email, CV, interview notes, optional disability accommodation details, and recruiter assessments. EU candidates can create accounts, upload documents, and request deletion. Data is stored in AWS EU-West, shared with a US email vendor and analytics provider. We currently rely on consent for marketing emails and contract necessity for application processing.”

如何把模糊目标改写成高质量提示词

一个好的 gdpr-data-handling guide 提示词通常包含四部分：

1. 系统描述
2. 数据清单
3. 法律/合规前提假设
4. 期望输出格式

示例提示词：
“Use the gdpr-data-handling skill to perform a compliance review of our employee wellness app. Identify personal data categories, likely legal bases, where explicit consent is required, DSR obligations, retention risks, and privacy-by-design gaps. Then produce a prioritized remediation list with high/medium/low severity and note assumptions where facts are missing.”

这个提示词更好，因为它要求模型做分类、分析和优先级排序，而不是泛泛解释 GDPR。

一个真正省时间的实用工作流

更稳妥的工作流通常是：

1. 先描述系统和用户
2. 列出数据类别和处理目的
3. 让 agent 将每项活动映射到合法处理依据
4. 继续追问权利、同意、保留和跨境传输影响
5. 要求输出带严重程度和下一步行动的差距清单
6. 第一轮后补充缺失事实，再进行修订

这种分阶段做法，通常比一开始就直接要求“给出最终政策”或“给出法律结论”效果更好。

建议要求哪些输出

如果你的目的是推进实施，建议要求产出可以直接执行的结果，例如：

• 处理活动表
• 合法处理依据映射表
• 同意决策矩阵
• DSR 支持检查清单
• 数据保留与删除要求
• privacy-by-design 建议
• 上线阻断项与非阻断项
• 需要法务进一步判断的开放问题

相比一篇叙述性长文，这些格式会让 gdpr-data-handling skill 对工程和合规团队更有实用价值。

gdpr-data-handling 最可能在哪些地方帮上忙

当团队需要做一次结构化的初步审查，但又还没有成熟的隐私合规 playbook 时，这个 skill 的价值最大。它尤其擅长暴露那些“以为自己知道、其实并不清楚”的前提：很多团队知道自己收集了什么，却说不清究竟依赖哪一种合法依据，也不清楚收到访问或删除请求后，端到端该如何履行。

约束与权衡

由于这是一个以文档指导为主、没有内置自动化能力的 skill，它不会自行检查你的数据库、日志、供应商合同或生产配置。它可以基于你提供的事实进行推理，并生成质量不错的审查产物，但无法验证实施证据。更准确地说，它适合作为“引导式合规分析层”，而不是“自动审计系统”。

什么情况下普通提示词就够了

如果你只是想简短了解 GDPR 的一些概念，用通用提示词通常就够了。只有当你希望实施审查过程具备可重复的结构，尤其是在合法依据选择、权利处理以及需要转化为工程任务的设计决策上，才更值得安装 gdpr-data-handling。

gdpr-data-handling skill 常见问题

gdpr-data-handling 适合新手吗？

适合，前提是你已经了解自己的产品。这个 skill 会围绕合法处理依据、数据主体权利等实用 GDPR 概念来组织审查过程，因此对新手很有帮助。但如果你连数据流都还没梳理清楚，它的帮助就会打折，因为模型只能做大量猜测。

我可以把 gdpr-data-handling 用于 Compliance Review 吗？

可以。这正是它最值得使用的场景之一。这个 skill 非常适合对某个功能、产品或业务流程做第一轮合规审查，尤其适合你需要的是差距清单和整改方案，而不是一段泛泛的法规解释时。

它能替代律师或 DPO 吗？

不能。gdpr-data-handling skill 可以帮助识别可能适用的义务、风险和缺失控制项，但它不能构成法律意见，也不能保证你的解释在监管争议中一定成立。更合适的用法，是在正式法务审查前先提高准备度、减少盲区。

它只是用来做 consent management 吗？

不是。同意只是合法处理依据中的一种，而且很多团队会过度依赖它。这个 skill 也能帮助你处理 contract necessity、legitimate interests、legal obligation、privacy-by-design、DSR 处理和数据分类等问题。正因为视角更完整，它比那种只盯着 consent 的窄版检查清单更值得优先考虑。

什么情况下不该使用这个 skill？

以下情况建议不要直接使用：

• 你的任务完全是非欧盟隐私工作，与 GDPR 无关
• 你需要从系统中自动收集合规证据
• 你需要超出这个 skill 范围的特定司法辖区法律意见
• 你还不知道自己的系统到底处理了哪些数据

遇到这些情况，应该先做数据发现，或者尽早引入专业人员。

它和普通的 GDPR 提示词有什么区别？

普通提示词经常只会返回泛化的合规表述。gdpr-data-handling usage 更适合那些需要模型在一次分析中稳定检查数据类别、合法依据、数据主体权利以及实施影响的场景。尤其在功能审查里，这种结构化方式能明显减少遗漏。

如何改进 gdpr-data-handling skill 的使用效果

给它“处理清单”，不要只给一句口号

想显著提升质量，最有效的做法就是把模糊请求换成一份紧凑的处理清单。建议至少包括：

• actor：客户、员工、候选人、儿童、患者
• data：收集的字段
• purpose：为什么处理
• basis：你目前假设的合法依据
• movement：存储、共享、传输路径
• lifecycle：保留和删除方式

这样 gdpr-data-handling 才能输出分析，而不是靠猜。

尽早标出高风险数据类别

如果涉及特殊类别数据、犯罪相关数据、儿童数据、大规模监控或跨境传输，请在提示词一开始就点明。这些事实会实质性改变合规分析的方向，也往往决定是否需要额外保护措施或更深入审查。

要求模型把“假设”和“结论”分开写

一个常见失败模式是“错误的确定性”。要提升输出可靠性，可以明确要求 agent 标注：

• 已确认事实
• 假设
• 可能适用的义务
• 尚未解决的法律问题

把这些层次分开后，结果会更适合在内部流转。

用实施语言要求整改建议

不要只停留在“识别 GDPR 风险”。更好的做法是要求输出：

• 需要补齐的控制项
• 建议责任人
• 优先级
• 需要收集的证据
• 建议的产品或流程变更

这样一来，gdpr-data-handling guide 就不只是分析工具，而能真正变成工程和合规团队的执行工具。

对比当前状态与目标状态

如果想让结果更扎实，最好把当前已有内容也提供进去，例如：

• consent banner 或账户流程
• 隐私声明摘要
• 保留规则
• 删除流程
• 供应商清单
• 安全控制措施

然后让这个 skill 对比“当前状态”和“GDPR 目标要求”。相比一份泛泛的检查清单，差距分析通常更容易落地。

在第一轮输出后继续迭代

第一轮的价值，往往在于暴露缺失事实。接着你可以继续追问，例如：

• “Reassess legal bases now that analytics is optional and disabled by default for EU users.”
• “Update the review assuming disability information is processed only when candidates request accommodations.”
• “Prioritize remediation items that block launch in the next 30 days.”

很多时候，正是在第二轮里，gdpr-data-handling skill 才真正开始对决策有帮助。

留意这些常见失败模式

结果不理想，通常是因为：

• 数据类别不清楚
• 没有区分 controller 和 processor 角色
• 默认认为凡事都需要 consent
• 忽略了保留和删除操作
• 忘了供应商共享或国际传输
• 在事实不足的情况下就要求最终法律结论

遇到这些问题，先修正输入，再去判断是不是 skill 本身不行。

把它和仓库/系统的具体上下文一起用

如果你审查的是一个真实代码库或产品，请把架构说明、API 字段、注册流程和供应商文档一并贴进提示词。这个 skill 本身提供的是通用指导，真正让它变成有意义审查结果的，是你系统的具体上下文。

把 gdpr-data-handling 当作审查层，而不是打勾清单

想提升 gdpr-data-handling 的实际效果，最好的方式是把它放进持续性的工作流中使用：设计评审、上线前审查、DSR 就绪性检查，以及变更后的重新评估。团队在产品变化后反复回看分析，通常会比把第一版输出当成最终答案获得更大价值。