cross-jurisdiction-class について
多国籍組織のプライバシーチーム向けのデータ分類スキルです。GDPR、CCPA、HIPAA、LGPDの分類を対応付け、適用される基準のうち最も高い保護水準で統一します。
主な機能
- 014法令の機微データ分類を対応付け
- 02統一分類レベルを割り当て
- 03最も厳しい適用基準を採用
- 04越境取り扱いの例を提示
活用シーン
- 01越境データ台帳に適用法令を記録
- 02地域間で機微データの分類を統一
- 03従業員・顧客データの取り扱いを評価
インストール
コマンドをコピーしてターミナルで実行します。
npx skills add https:/インストール後、Claude Code で/cross-jurisdiction-classを入力して読み込まれたか確認します。
同梱ファイル
SKILL.md と一緒にインストールされる参考資料やスクリプト。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py詳細
複数の法域にまたがるデータ分類の調和
概要
多国籍組織は、複数の規制フレームワークに基づいて、同時にデータを分類する必要があります。GDPR の特別カテゴリー（第 9 条）、CCPA の機微な個人情報（Cal. Civ. Code §1798.140(ae)）、HIPAA の保護対象医療情報（45 CFR §160.103）、および LGPD の機微な個人データ（第 5 条 II）は、それぞれ異なる要件のもとで機微データを定義しています。このスキルでは、適用されるすべての法域の要件を満たす統一分類を可能にする規制横断のマッピング表を提供し、英国／EU、米国、ブラジルで事業を展開する Vanguard Financial Services を支援します。
法域ごとの定義の比較
GDPR 第 9 条 — 特別カテゴリー（EU／英国）
| カテゴリー | 定義の概要 |
|---|---|
| 人種的または民族的出自 | 人種的または民族的背景を明らかにするデータ |
| 政治的見解 | 政治的見解、政党への所属、投票 |
| 宗教的または哲学的信条 | 信仰、無神論、哲学的信念 |
| 労働組合への加入 | 労働組合への加入状況または活動 |
| 遺伝データ | 遺伝または後天的な遺伝的特徴（第 4 条（13）） |
| 生体データ | 一意の識別を目的とする身体的／行動的特徴（第 4 条（14）） |
| 健康データ | 身体的／精神的健康、医療の提供（前文 35） |
| 性生活または性的指向 | 性的行動、嗜好、指向 |
処理基準：原則として処理を禁止し、10 の例外を定めています（第 9 条（2）（a）～（j））
CCPA／CPRA — 機微な個人情報（カリフォルニア州）
Cal. Civ. Code §1798.140(ae) は、機微な個人情報を次のように定義しています。
| カテゴリー | 定義の概要 |
|---|---|
| Social Security 番号、運転免許証、州発行 ID、パスポート | 政府発行の識別情報 |
| パスワード／セキュリティ認証情報を用いたアカウントへのログイン | 金融口座へのアクセスデータ |
| セキュリティコードと組み合わされたデビットカード／クレジットカード | 認証情報を含む決済カードデータ |
| 正確な位置情報 | 1,850 フィート以内の位置情報（GPS レベル） |
| 人種的または民族的出自 | GDPR と同じ範囲 |
| 宗教的または哲学的信条 | GDPR と同じ範囲 |
| 労働組合への加入 | GDPR と同じ範囲 |
| 個人的な通信（郵便、メール、テキストメッセージ） | 非公開の通信内容 |
| 遺伝データ | DNA、遺伝子検査の結果 |
| 生体データ | 識別を目的とする生理的、生物学的、行動的特徴 |
| 健康情報 | 身体的／精神的な健康状態、診断、治療 |
| 性生活または性的指向 | 性的活動、嗜好 |
消費者の権利：機微な PI の使用および開示を制限する権利（§1798.121）
HIPAA — 保護対象医療情報（米国）
45 CFR §160.103 は、PHI を、対象事業体または業務提携者がいかなる形式でも保有または送信する、個人を特定できる医療情報であり、次の事項に関連するものと定義しています。
| 要素 | 説明 |
|---|---|
| 身体的または精神的な健康状態 | 過去、現在、または将来 |
| 医療の提供 | 治療、サービス、支払い |
| 医療費の支払い | 請求、請求処理、保険 |
| 識別可能性 | 個人を特定する、または特定する可能性のある情報 |
HIPAA の 18 の識別子（45 CFR §164.514(b)）： 氏名、地理情報（州より小さい単位）、日付（年を除く）、電話番号、ファクス番号、メールアドレス、SSN、医療記録番号、医療プラン加入者番号、口座番号、証明書／免許番号、車両識別情報、デバイス識別情報、ウェブ URL、IP アドレス、生体識別情報、顔全体が写った写真、その他の一意の識別番号
基準：必要最小限の基準。使用および開示は、目的に必要な最小限に制限されます。
LGPD 第5条第II項 — 要配慮個人データ（ブラジル）
| カテゴリ | 定義の概要 |
|---|---|
| 人種的または民族的出自 | GDPR と同じ範囲 |
| 宗教的信念 | 宗教上の信念または実践 |
| 政治的意見 | 政治的見解または所属 |
| 労働組合への加入 | 労働組合への所属 |
| 宗教的、哲学的、または政治的団体 | GDPR より広範 — 団体への所属を含む |
| 健康データ | 身体的／精神的健康 |
| 性生活 | 性的活動 |
| 遺伝データ | 遺伝情報 |
| 生体データ | 識別に用いる生体的特徴 |
処理基準：同意は個別に取得し、明確に提示する必要があります。第11条（II）に基づく他の根拠も利用できます。
規制間の対応マトリクス
| データカテゴリ | GDPR 第9条 | CCPA §1798.140(ae) | HIPAA PHI | LGPD 第5条第II項 | 統一ティア |
|---|---|---|---|---|---|
| 人種的／民族的出自 | 特別カテゴリ | 要配慮 PI | 該当なし（健康関連の場合を除く） | 要配慮 | RESTRICTED |
| 政治的意見 | 特別カテゴリ | 該当なし | 該当なし | 要配慮 | RESTRICTED |
| 宗教的信念 | 特別カテゴリ | 要配慮 PI | 該当なし | 要配慮 | RESTRICTED |
| 労働組合への加入 | 特別カテゴリ | 要配慮 PI | 該当なし | 要配慮 | RESTRICTED |
| 遺伝データ | 特別カテゴリ | 要配慮 PI | PHI（健康関連の場合） | 要配慮 | RESTRICTED |
| 生体データ（識別用） | 特別カテゴリ | 要配慮 PI | PHI（識別子） | 要配慮 | RESTRICTED |
| 健康データ | 特別カテゴリ | 要配慮 PI | PHI | 要配慮 | RESTRICTED |
| 性生活／性的指向 | 特別カテゴリ | 要配慮 PI | 該当なし（健康関連の場合を除く） | 要配慮 | RESTRICTED |
| 社会保障番号 | 個人データ（直接識別子） | 要配慮 PI | PHI（識別子） | 個人データ（直接識別子） | RESTRICTED |
| 正確な位置情報 | 個人データ（宗教や健康を明らかにする場合は特別カテゴリとなることがある） | 要配慮 PI | PHI（健康関連の場合） | 個人データ | CONFIDENTIAL+ |
| 認証情報を伴う金融口座 | 個人データ（金融） | 要配慮 PI | 該当なし | 個人データ | RESTRICTED |
| 個人的な通信内容 | 個人データ | 要配慮 PI | 該当なし | 個人データ | CONFIDENTIAL |
| 医療記録番号 | 個人データ（間接識別子） | 該当なし（HIPAA の別制度が適用） | PHI（識別子） | 個人データ | RESTRICTED（医療の文脈において） |
| 健康保険 ID | 個人データ（間接識別子） | 該当なし | PHI（識別子） | 個人データ | RESTRICTED（医療の文脈において） |
調和された分類アプローチ
原則：最も厳格な基準を適用する
データが複数の法域に該当する場合は、最も保護的な分類を適用します。
For each data element:
1. Classify under GDPR (personal / special category / criminal)
2. Classify under CCPA (personal information / sensitive PI)
3. Classify under HIPAA (PHI / non-PHI) — if applicable
4. Classify under LGPD (personal / sensitive) — if applicable
5. Assign the unified tier = MAX(all jurisdictional classifications)
統一ティアの割り当てルール
| 法域による分類 | 統一ティア |
|---|---|
| いずれかの規制で最も要配慮と分類される | RESTRICTED |
| GDPR の特別カテゴリ、CCPA の要配慮 PI、または LGPD の要配慮データ | RESTRICTED |
| HIPAA PHI（すべて） | RESTRICTED |
| GDPR の個人データかつ CCPA の個人情報（要配慮ではない） | CONFIDENTIAL |
| 適用されるすべての規制で非個人データ | PUBLIC または INTERNAL |
Vanguard Financial Services における実装
法域の範囲
| 法域 | 適用法 | Vanguard の事業 |
|---|---|---|
| EU／EEA | GDPR | EU の顧客基盤、フランクフルトのデータセンター |
| 英国 | UK GDPR + DPA 2018 | ロンドン本社、英国の顧客基盤 |
| 米国カリフォルニア州 | CCPA/CPRA | 米国事業、カリフォルニア州居住者のデータ |
| 米国のその他の州 | 各種法令（VCDPA、CPA、CTDPA など） | 米国事業 |
| ブラジル | LGPD | ブラジルの顧客基盤 |
複数の法域にまたがる取り扱い要件
複数の法域の対象となるデータについて：
| シナリオ | 法域 | 取り扱い |
|---|---|---|
| 英国の顧客の健康データ | UK GDPR ＋ 米国の健康保険会社と共有する場合は HIPAA も適用される可能性があります | RESTRICTED：第9条第2項の条件 ＋ 米国の対象事業体と共有する場合は HIPAA BAA |
| カリフォルニア州の従業員の生体認証データ（指紋） | CCPA ＋ Illinois BIPA ＋ GDPR（EU のデータ主体の場合） | RESTRICTED：CCPA に基づく同意 ＋ BIPA に基づく書面による同意 ＋ GDPR 第9条第2項(a) |
| ブラジルの顧客の財務データ | LGPD ＋ EU から移転される場合は GDPR | CONFIDENTIAL：LGPD に基づく適法な根拠 ＋ GDPR 第V章に基づく移転の保護措置 |
| 国境を越える従業員の人事データ | UK GDPR ＋ CCPA ＋ LGPD | CONFIDENTIAL（健康／多様性に関するデータを含む場合は RESTRICTED）：3つの枠組みすべてに同時に準拠 |
規制上の先例
- Meta Platforms Ireland（EDPB 拘束力のある決定 01/2023）：EU から米国へのデータ移転に対し12億ユーロの罰金 — データが国境を越える際の法域マッピングの重要性を示しています
- Sephora（CCPA 執行、2022年）：個人情報の販売のオプトアウトを尊重しなかったとして、カリフォルニア州司法長官と120万米ドルで和解 — CCPA 固有の分類義務を示しました
- ブラジル ANPD（2023年）：機微な個人データに対する不十分なセキュリティ対策について、初の LGPD に基づく行政処分 — LGPD の執行が進んでいることを確認しました
統合ポイント
- personal-data-test：GDPR の個人データテストが基盤となり、法域をまたぐ分類によって追加要件が加わります
- special-category-data：GDPR の特別カテゴリは、他の法域における機微なデータに対応します
- classification-policy：法域をまたぐマッピングで統一された分類階層が、エンタープライズの分類ポリシーに反映されます
- data-inventory-mapping：データインベントリには、データ要素ごとに適用される法域を記録する必要があります