01
GDPR概述与核心原则
立法背景、适用范围、核心原则（合法、公正、透明）及关键定义
基础原则
02
数据主体权利详解
八大权利（访问、更正、删除、限制处理、可携、反对、自动化决策等）及企业响应
权利响应
03
数据映射与处理活动记录
绘制数据流图，建立并维护RoPA，识别个人数据全路径
映射RoPA
04
合法处理基础
六种合法基础：同意、合同、法律义务、重大利益、公共利益、合法利益
合法性基础
05
同意管理机制
设计GDPR标准的同意获取、记录、撤回，Cookie/营销同意场景
同意Cookie
06
隐私政策与通知
撰写符合透明度要求的隐私政策，语言清晰易懂，涵盖必要信息
政策透明度
07
数据保护影响评估
DPIA九步方法论，输出评估报告，识别高风险处理
DPIA风险评估
08
数据保护官的角色与任命
DPO职责、资质、任命流程及独立地位
DPO治理
09
跨境数据传输机制
SCCs、BCR、充分性认定等工具，完成SCCs签署
跨境SCCs
10
供应商与第三方风险管理
第三方尽职调查、合同嵌入GDPR条款，管理数据处理者风险
供应商第三方
11
数据泄露应急响应
响应计划、72小时通知义务、演练复盘
泄露应急
12
隐私设计默认与数据最小化
隐私设计融入产品，实施最小化策略，从源头减少风险
PbD最小化
13
员工隐私培训与意识提升
全员培训计划，岗位定制内容，建立隐私文化
培训意识
14
数据留存与销毁策略
分类分级标准，留存期限，安全销毁流程
留存销毁
15
国际数据传输与 Schrems II 裁决
Schrems II影响，补充传输工具应用
Schrems II传输
16
监管机构沟通与调查应对
建立良好关系，接受调查/问询标准流程
监管调查
17
GDPR下的自动化决策与画像
法律要求，公平性评估，人工干预机制
自动化画像
18
儿童数据保护特殊要求
年龄验证、监护人同意等特殊规则
儿童特殊保护
19
数据安全技术措施
加密、假名化、匿名化、访问控制，确保CIA
安全技术
20
隐私事件记录与日志管理
建立隐私事件日志，满足问责制要求
日志问责
21
数据主体请求处理流程
端到端SOP：身份验证、响应时限、拒绝理由
DSR流程
22
合规审计与内部评估
内部审计计划，评估合规状态，跟踪整改
审计评估
23
集团内部数据共享协议
起草集团内数据共享协议，确保关联公司传输合规
集团共享
24
营销合规与直接营销
邮件、短信、电话营销合规，同意与退订机制
营销退订
25
人力资源数据管理
员工数据特殊考量：招聘、考勤、绩效、背景调查
HR员工
26
健康数据与特殊类别数据
特殊类别处理条件，加密、访问限制等保护措施
健康特殊类别
27
GDPR与AI/大模型的合规挑战
训练/推理阶段合规：最小化、公平性、可解释性
AI大模型
28
数据可携权实施技术方案
技术接口设计，结构化、通用、机器可读格式导出
可携权API
29
GDPR罚款与法律责任
罚款计算、行政处罚流程、企业与个人责任
罚款责任
30
GDPR合规成熟度评估与持续改进
成熟度模型，定期评估，持续改进路线图，动态合规
成熟度改进