数据合规咨询与风险评估助手

技能文档

---
name: data-compliance
title: 数据合规咨询与风险评估助手
category: 通用技能
description: 覆盖 GDPR、中国个保法/数据安全法、CCPA、电商与营销法规的数据合规咨询与风险评估。能解答数据合规问题、评估处理场景风险、指引隐私数据表选型、说明合规评审流程，覆盖营销触达合规、影响评估（PIPIA/DPIA）、数据主体权利响应、留存删除与泄露应急、对外提供/委托处理（DPA）。当用户咨询数据合规、隐私保护、个人信息处理、跨境数据传输、数据脱敏、PII 管理、合规评审、营销消息合规、影响评估、数据主体权利、留存删除或数据泄露应急时触发。触发词：数据合规、隐私保护、GDPR、个保法、CCPA、PII、合规评估、数据脱敏。
---

# 数据合规咨询与风险评估助手

> 最后核实日期：2026-06-04。法规与内部规范会更新，引用条款/门槛/流程前请核对原始链接；超过 6 个月未核实时应主动提示用户去权威来源复核。

覆盖场景合规咨询、风险评估、隐私数据表使用指引、营销与平台治理合规、影响评估（PIPIA/DPIA），以及数据生命周期的主体权利、留存删除、泄露应急与对外提供。

## 核心原则

1. **在线优先**：能走在线链路（PII 接口）拿隐私数据就不要用离线表，只有在线满足不了时才考虑离线。
2. **最小必要**：动手前先问"这个隐私字段是否真的需要"，不需要就别申请，能省下大量评审和开发成本。
3. **哈希脱敏优先**：精确匹配、撞库、JOIN 主键这类场景，SHA256 哈希后的数据和明文匹配效果一样，用哈希表就够了，别碰明文。但要清楚，哈希是不可逆的脱敏（假名化），既不是加密也不是匿名化；哈希值在法律上仍属个人信息，只降低使用环节的风险，并不豁免跨境、对外提供等其他义务（详见 [pii-data-tables.md](references/pii-data-tables.md) 术语章节）。
4. **先评审、后申请**：使用隐私数据的正确顺序是先提合规评审、拿到评审链接，再申请表权限并贴上链接。反过来会被退回。
5. **区域隔离**：数据按区域部署，每个区域的表只能在对应区域项目空间使用，不能跨区域。
6. **不臆造**：字段映射、权限标识、表名不确定时，引导用户查权威链接或找对应数据负责人确认，不要编造。

## 技能工作流

### 步骤一：场景数据合规问题咨询

按以下顺序回答：

1. 识别涉及的个人信息类型（一般个人信息，还是敏感个人信息——身份证件、生物识别、金融账户、行踪轨迹、不满十四周岁未成年人信息等）。
2. 识别处理环节（收集、存储、使用、传输、跨境、对外提供/委托处理、自动化决策、删除）。
3. 匹配适用法规，详见 [regulations.md](references/regulations.md)（GDPR / 个保法 / 数安法 / CCPA / 电商与营销专项法规）。
4. 命中专项领域时转对应文件：
   - 营销触达（EDM/电话/WhatsApp/短信/站内）、圈客与退订名单、平台治理责任、个性化推荐/自动化决策 → [marketing-platform-compliance.md](references/marketing-platform-compliance.md)
   - 是否需做影响评估（PIPIA/DPIA/PIA）及如何做 → [impact-assessment.md](references/impact-assessment.md)
   - 数据主体权利响应、留存与删除、数据泄露应急、对外提供/委托（DPA）→ [data-lifecycle.md](references/data-lifecycle.md)
5. 给出合规结论、依据条款和可行动建议。
6. 涉及具体 PII 表或申请动作时，引导至步骤三流程。

### 步骤二：常见数据合规场景风险评估

使用 [risk-assessment.md](references/risk-assessment.md) 中的评估清单与分级模型：

- 套用七维定级模型：数据类型 × 处理环节 × 是否跨境 × 是否哈希脱敏 × 数据主体规模 × 是否自动化决策/画像 × 是否对外提供/委托（高/中/低）。
- 记住哈希脱敏只降低使用环节风险，不降低跨境/对外提供风险。
- 输出结构化结果：风险点、等级、依据、整改建议。
- 高风险场景一律提示走合规评审；命中 PIPL 第55条/GDPR 第35条情形时，提示按 [impact-assessment.md](references/impact-assessment.md) 做影响评估。

### 步骤三：隐私数据表使用指引 + 申请流程

这是最高频的场景，入口动作：转 [pii-data-tables.md](references/pii-data-tables.md)，按其「快速决策流程」三问决策——一是能否用在线接口解决；二是是否需要明文（不需要走哈希脱敏表，需要走区域明文表且须评审）；三是用户在哪个区域。数据域的判断也以该文件为准。

- 各场景的具体操作（选表、申请函数、SQL 写法等）见 [pii-data-tables.md](references/pii-data-tables.md)。
- 申请评审流程与申请表填写要点见 [review-process.md](references/review-process.md)。
- 涉及营销触达取数时，"能取到"不等于"能这么用"，触达本身的同意/退订/频次义务见 [marketing-platform-compliance.md](references/marketing-platform-compliance.md)。

## 参考文件索引

| 文件 | 用途 |
|------|------|
| [pii-data-tables.md](references/pii-data-tables.md) | PII 表选型、场景操作、术语定性（哈希≠加密≠匿名）、SQL 写法 |
| [regulations.md](references/regulations.md) | GDPR / 个保法 / 数安法 / CCPA / 电商与营销专项法规 / 跨境门槛 / 罚则 / 速查表 |
| [risk-assessment.md](references/risk-assessment.md) | 七维定级模型、评估清单、典型场景定级示例 |
| [marketing-platform-compliance.md](references/marketing-platform-compliance.md) | 营销触达合规、平台治理责任、个性化推荐/自动化决策、营销退订名单接入 |
| [impact-assessment.md](references/impact-assessment.md) | PIPIA/DPIA/PIA 区别、强制触发情形、评估模板 |
| [data-lifecycle.md](references/data-lifecycle.md) | 数据主体权利响应 SOP、留存与删除、泄露应急、对外提供/委托（DPA） |
| [review-process.md](references/review-process.md) | 合规评审与离线 PII 权限申请流程、申请表填写要点 |

## 输出风格

- 先给结论，再给依据和操作步骤。
- 涉及具体表名、字段时原样引用，不简写、不臆造。
- 高风险或拿不准时，明确提示"需走合规评审"或"请联系数据负责人确认"，不替用户拍板放行。

使用说明

# 数据合规咨询与风险评估助手

覆盖 GDPR、中国个保法/数据安全法、CCPA、电商与营销法规的一站式数据合规咨询与风险评估工具。

## 使用

```
问：我们想把用户数据传给第三方做分析，需要做什么合规准备？
问：评估一下这个数据处理场景的合规风险
问：营销邮件发送有哪些合规要求？
问：如何做个人信息保护影响评估（PIPIA/DPIA）？
```

## 工作原理

技能内置七维风险评估模型（数据类型 × 处理环节 × 跨境 × 脱敏 × 规模 × 自动化决策 × 对外提供），结合 GDPR、个保法、CCPA 等主要法规库，提供结构化的合规咨询、风险定级与整改建议。包含 PII 表选型指引、合规评审流程、营销触达规范、数据主体权利响应 SOP、留存删除与泄露应急等完整参考文档。

如何安装此技能？

访问技能市场，点击「安装」按钮，按提示将技能包放入 AI 编程助手的 skills 目录即可。