处理欧盟个人数据时如何实现GDPR合规：同意管理…

在构建处理欧盟个人数据的系统、实施隐私控制或进行GDPR合规审查时，提供可落地的合规做法。

适用场景

解决思路

1. 按个人数据类别分级保护：基本数据（姓名、邮箱、电话）适用标准保护；敏感数据（健康、宗教、种族，第9条）需明确同意；犯罪数据（定罪、犯罪记录，第10条）需官方授权；儿童数据（16岁以下）需父母同意。
2. 为每项处理活动确定并记录第6条合法依据：同意（自由给出、具体、知情）、合同履行必要、法律义务、重大利益（保护生命）、公共利益（官方职能）、正当利益（需与权利平衡）。
3. 实现数据主体权利并确保在1个月内响应：访问权（第15条）、更正权（第16条）、删除权（第17条）、限制处理权（第18条）、可携带权（第20条）、反对权（第21条）。
4. 最小化数据收集：只收集所需数据。
5. 记录一切：处理活动、合法依据。
6. 加密PII：静态和传输中都加密。
7. 实施访问控制：按需知悉原则。
8. 定期审计：持续验证合规性。
9. 不要预勾选同意框：必须选择加入。
10. 不要捆绑同意：不同目的分别获取同意。
11. 不要无限期保留：定义并执行保留期限。
12. 不要忽视DSAR：要求30天内响应。
13. 不要在没有保障措施的情况下传输：使用SCCs或充分性决定。
14. 当上述导航摘要不足时，阅读references/details.md中从## Implementation Patterns开始的详细章节。