compliance-check

/compliance-check -- コンプライアンスレビュー

見慣れないプレースホルダーがある場合や、どのツールが接続されているか確認したい場合は、CONNECTORS.md をご覧ください。

提案された行動、製品機能、マーケティングキャンペーン、または事業施策について、コンプライアンスチェックを実施します。

重要：このコマンドは法務業務を支援するものですが、法的助言を提供するものではありません。コンプライアンス評価は、資格を有する法律専門家の確認を受けてください。規制要件は頻繁に変更されるため、必ず信頼できる情報源で最新の要件を確認してください。

使用方法

/compliance-check $ARGUMENTS

お知らせいただきたいこと

計画している内容を説明してください。例：

• 「現金報酬付きの紹介プログラムを開始したい」
• 「モバイルアプリに生体認証を追加する」
• 「EU の顧客データを米国のデータセンターで処理する必要がある」
• 「マーケティングチームが広告に顧客の推薦コメントを使いたい」

出力

## Compliance Check: [Initiative]

### Summary
[Quick assessment: Proceed / Proceed with conditions / Requires further review]

### Applicable Regulations and Policies
| Regulation/Policy | Relevance | Key Requirements |
|-------------------|-----------|-----------------|
| [GDPR / CCPA / HIPAA / etc.] | [How it applies] | [What you need to do] |

### Requirements
| # | Requirement | Status | Action Needed |
|---|-------------|--------|---------------|
| 1 | [Requirement] | [Met / Not Met / Unknown] | [What to do] |

### Risk Areas
| Risk | Severity | Mitigation |
|------|----------|------------|
| [Risk] | [High/Med/Low] | [How to address] |

### Recommended Actions
1. [Most important action]
2. [Second priority]
3. [Third priority]

### Approvals Needed
| Approver | Why | Status |
|----------|-----|--------|
| [Person/Team] | [Reason] | [Pending] |

### Further Review Recommended
[Areas where outside counsel or specialist review is advised]

プライバシー規制の概要

GDPR（一般データ保護規則）

適用範囲：処理を行う組織の所在地にかかわらず、EU／EEA 内の個人の個人データを処理する場合に適用されます。

社内法務チームの主な義務：

• 適法な根拠：各処理活動について、適法な根拠（同意、契約、正当な利益、法的義務、重大な利益、公共の利益に関わる業務）を特定し、記録する
• データ主体の権利：アクセス、訂正、消去、ポータビリティ、処理の制限、異議申し立ての請求に30日以内に対応する（複雑な請求の場合は60日間延長可能）
• データ保護影響評価（DPIA）：個人に高いリスクをもたらす可能性のある処理には実施が必要
• 侵害通知：個人データ侵害を認識してから72時間以内に監督機関へ通知する。高いリスクがある場合は、過度な遅延なく影響を受ける個人にも通知する
• 処理記録：第30条に基づく処理活動の記録を維持する
• 国際移転：EEA 域外への移転に適切な保護措置（SCC、十分性認定、BCR）を確保する
• DPO の要件：必要な場合（公的機関、特別カテゴリーの大規模な処理、大規模で体系的な監視）にデータ保護責任者を任命する

社内法務がよく関与する事項：

• ベンダーの DPA が GDPR に準拠しているか確認する
• プライバシー・バイ・デザイン要件について製品チームに助言する
• 監督機関からの照会に対応する
• 越境データ移転の仕組みを管理する
• 同意の仕組みやプライバシー通知を確認する

CCPA／CPRA（カリフォルニア州消費者プライバシー法／カリフォルニア州プライバシー権法）

適用範囲：カリフォルニア州居住者の個人情報を収集し、収益、データ量、またはデータ販売に関する基準を満たす事業者に適用されます。

主な義務：

• 知る権利：消費者は、収集、使用、共有された個人情報の開示を請求できます
• 削除する権利：消費者は、自身の個人情報の削除を請求できます
• オプトアウトする権利：消費者は、個人情報の販売または共有をオプトアウトできます
• 訂正する権利：消費者は、不正確な個人情報の訂正を請求できます（CPRA による追加）
• 機微な個人情報の使用を制限する権利：消費者は、機微な個人情報の使用を特定の目的に制限できます（CPRA による追加）
• 差別の禁止：権利を行使した消費者を差別してはなりません
• プライバシー通知：収集する個人情報のカテゴリーと目的を記載したプライバシー通知を、収集時または収集前に提供する必要があります
• サービスプロバイダーとの契約：サービスプロバイダーとの契約では、個人情報の使用を指定された事業目的に制限する必要があります

対応期限：

• 10営業日以内に受領を確認する
• 45暦日以内に実質的な回答を行う（通知すれば45日間延長可能）

監視すべきその他の主要な規制

規制	管轄地域	主な相違点
LGPD（ブラジル）	ブラジル	GDPRと類似。DPOの任命が必要。国家データ保護機関（ANPD）が執行
POPIA（南アフリカ）	南アフリカ	情報規制当局が監督。処理の登録が必要
PIPEDA（カナダ）	カナダ（連邦）	同意に基づく枠組み。OPCが監督。近代化が進行中
PDPA（シンガポール）	シンガポール	Do Not Call登録簿。侵害通知が義務。PDPCが執行
Privacy Act（オーストラリア）	オーストラリア	オーストラリアプライバシー原則（APP）。通知対象となるデータ侵害制度
PIPL（中国）	中国	国境を越える移転に関する厳格な規則。データの国内保存要件。CACが監督
UK GDPR	英国	Brexit後の英国版。ICOが監督。英国独自の十分性認定を除けばEU GDPRと類似

DPAレビューのチェックリスト

データ処理契約またはデータ処理条項をレビューする際は、以下を確認してください。

必須項目（GDPR第28条）

• 対象事項と期間：処理の範囲と期間が明確に定義されている
• 処理の性質と目的：どのような処理を行うのか、またその理由が具体的に記載されている
• 個人データの種類：処理対象となる個人データのカテゴリー
• データ主体のカテゴリー：誰の個人データが処理されるのか
• 管理者の義務と権利：管理者の指示と監督権

処理者の義務

• 文書化された指示に基づいてのみ処理する：処理者は、法的要件による例外を除き、管理者の指示に従ってのみ処理することを約束している
• 機密保持：処理を許可された担当者が機密保持を約束している
• セキュリティ対策：適切な技術的・組織的対策が記載されている（第32条を参照）
• 再処理者に関する要件：
  • 書面による承認が必要（一般的または個別）
  • 一般的な承認の場合：変更の通知と異議を申し立てる機会
  • 再処理者は書面による契約を通じて同じ義務を負う
  • 処理者は再処理者の業務に対して引き続き責任を負う
• データ主体の権利に関する支援：処理者は、データ主体からの請求への対応において管理者を支援する
• セキュリティおよび侵害対応に関する支援：処理者は、セキュリティ義務、侵害通知、DPIA、事前協議について支援する
• 削除または返却：契約終了時に、管理者の選択に従ってすべての個人データを削除または返却し、法的な保存義務がない限り既存のコピーも削除する
• 監査権：管理者は監査および検査を実施する権利を有する（または第三者の監査報告書を受け入れる）
• 侵害通知：処理者は、個人データ侵害について不当に遅滞することなく（理想的には24～48時間以内に）管理者へ通知する。管理者が規制上の72時間の期限を守れるようにする必要がある

国際移転

• 移転メカニズムの特定：SCC、十分性認定、BCR、またはその他の有効なメカニズム
• SCCのバージョン：該当する場合、現行のEU SCC（2021年6月版）を使用している
• 適切なモジュール：適切なSCCモジュール（C2P、C2C、P2P、P2C）が選択されている
• 移転影響評価：十分性認定のない国へ移転する場合に完了している
• 補完的措置：移転影響評価で特定された不備に対処するための技術的、組織的、または契約上の措置
• 英国向け補遺：英国の個人データが対象に含まれる場合、英国国際データ移転補遺が含まれている

実務上の考慮事項

• 責任：DPA の責任条項が主要なサービス契約と整合している（または抵触していない）
• 終了時期の整合性：DPA の契約期間がサービス契約と整合している
• データの所在地：処理場所が明記され、許容できる
• セキュリティ基準：特定のセキュリティ基準または認証が求められている（SOC 2、ISO 27001 など）
• 保険：データ処理活動に対する十分な保険が適用される

よくある DPA の問題

問題	リスク	標準的な方針
通知なしの包括的なサブプロセッサー承認	処理チェーンに対する管理を失う	異議を申し立てる権利を伴う通知を求める
データ侵害の通知期限が 72 時間を超える	規制当局への適時の通知ができなくなる可能性がある	24～48 時間以内の通知を求める
監査権がない（または第三者の報告書を通じた監査権のみ）	コンプライアンスを検証できない	SOC 2 Type II と、正当な理由がある場合の監査権を受け入れる
データ削除の期限が明記されていない	データが無期限に保持される	契約終了から 30～90 日以内の削除を求める
データ処理場所が明記されていない	データがどこでも処理される可能性がある	データ処理場所の開示を求める
古い SCC	無効な移転手段	最新の EU SCC（2021 年版）を求める

データ主体からの要求への対応

要求の受付

データ主体からの要求を受け取った場合：

1. 要求の種類を特定します：

   • アクセス（個人データの写し）
   • 訂正（不正確なデータの修正）
   • 消去／削除（「忘れられる権利」）
   • 処理の制限
   • データポータビリティ（構造化された機械可読形式）
   • 処理への異議申し立て
   • 販売／共有のオプトアウト（CCPA/CPRA）
   • 機微な個人情報の利用制限（CPRA）

2. 適用される規制を特定します：

   • データ主体はどこに所在していますか？
   • 組織の所在地や活動に基づき、どの法律が適用されますか？
   • 具体的な要件と期限は何ですか？

3. 本人確認を行います：

   • 要求者が申告どおりの本人であることを確認します
   • データの機微性に応じた、合理的な確認措置を講じます
   • 過度な書類の提出を求めないでください

4. 要求を記録します：

   • 受領日
   • 要求の種類
   • 要求者の本人確認情報
   • 適用される規制
   • 回答期限
   • 担当者

回答期限

規制	最初の受領確認	実質的な回答	延長
GDPR	規定なし（ベストプラクティス：速やかに）	30 日	＋60 日（通知あり）
CCPA/CPRA	10 営業日	45 暦日	＋45 日（通知あり）
UK GDPR	規定なし（ベストプラクティス：速やかに）	30 日	＋60 日（通知あり）
LGPD	規定なし	15 日	延長は限定的

免除と例外

要求に応じる前に、適用される免除がないか確認してください。

各種規制に共通する主な免除：

• 法的請求の防御または確立
• 保持を求める法的義務
• 公益または公的機関の権限
• 表現および情報の自由（消去要求の場合）
• 公益目的のアーカイブ、または科学的・歴史的研究

組織固有の考慮事項：

• 訴訟ホールド：法的保全の対象となるデータは削除できません
• 規制上の保持：財務記録、雇用記録、その他のカテゴリーには、法定の保持期間が設けられている場合があります
• 第三者の権利：要求に応じることで、他者の権利に悪影響が及ぶ可能性があります

対応プロセス

1. システム全体から要求者の個人データを収集します
2. 免除を適用し、その根拠を記録します
3. 回答を準備します。要求に応じるか、要求の全部または一部に応じられない理由を説明します
4. 全部または一部を拒否する場合：拒否の具体的な法的根拠を示します
5. 監督機関に苦情を申し立てる権利を要求者に通知します
6. 回答を記録し、要求と回答の記録を保持します

規制動向の監視の基本

監視対象

以下の動向を把握しておきます。

• 規制ガイダンス：監督当局（ICO、CNIL、FTC、州司法長官など）による新たなガイダンスや改訂されたガイダンス
• 執行措置：規制当局の優先事項を示す罰金、命令、和解
• 法改正：新たなプライバシー法、既存法の改正、施行規則
• 業界標準：ISO 27001、SOC 2、NIST フレームワーク、および業界固有の要件の更新
• 国境を越えるデータ移転の動向：十分性認定、SCC の更新、データローカライゼーション要件

監視の方法

1. 規制当局の発信を購読します（ニュースレター、RSS フィード、公式発表）
2. 新たな動向の分析を行う関連する法律関連出版物を定期的に確認します
3. 業界固有のガイダンスについて、業界団体の最新情報を確認します
4. 既知の今後の期限、施行日、コンプライアンス上の節目を記載した規制カレンダーを管理します
5. 組織のデータ処理活動に影響する重要な動向について、法務チームに報告します

エスカレーション基準

以下の場合は、規制動向を上級法務担当者または経営陣にエスカレーションします。

• 新たな規制やガイダンスが、組織の中核的な事業活動に直接影響する
• 組織の業界における執行措置が、規制当局による監視の強化を示している
• 組織の変更が必要となるコンプライアンス期限が迫っている
• 組織が依拠するデータ移転の仕組みが異議を申し立てられた、または無効とされた
• 規制当局が組織に関する照会や調査を開始した

ヒント

1. 具体的に説明します — 「すべてのユーザーにメールを送りたい」は、「マーケティングキャンペーン」よりも適切です。
2. 地域を含めます — コンプライアンス要件は法域によって異なります。
3. データについて言及します — どのような個人データを扱いますか？多くのコンプライアンス要件はこれによって決まります。