privacy-compliance

⚠️ 実験的 — このスキルは、教育および情報提供のみを目的として提供されています。法的助言を構成するものではありません。使用に関する責任はすべてユーザーが負います。出力に基づいて行動する前に、資格を持つ法律専門家に相談してください。

プライバシーコンプライアンスナビゲーター

世界の主要なプライバシー規制フレームワーク9件にわたる複数規制へのプライバシーコンプライアンス、DPAレビュー、データ主体リクエストのライフサイクル管理のためのツールとガイダンスです。

---

目次

• ツール
  • プライバシー規制チェッカー
  • DSR トラッカー
• リファレンスガイド
• ワークフロー
• トラブルシューティング
• 成功基準
• 範囲と制限
• アンチパターン
• ツールリファレンス

---

まず確認すること

評価を始める前に、以下の情報を確認してください。不明または曖昧な項目があれば、推測せずに質問してください。

• 組織の所在地とデータ主体の所在地 — 域外適用のルールに基づき、どの規制（9件）が適用されるかを決定します（義務マトリックス全体に影響します）。
• 処理するデータの種類 — 個人データ、機微データ、財務データ、健康データ、生体データ、児童のデータなど。義務や特別カテゴリーの適用条件を左右します。
• 処理活動 — マーケティング、分析、人事、プロファイリング、医療など。適用可能性と、どの義務が課されるかに影響します。
• 現在の慣行（ギャップ分析を希望する場合）— ギャップを特定するために必要です。この情報がない場合、義務マトリックスのみが作成され、ギャップレポートは作成されません。

中断ルール：出力に最も大きく影響する2～3項目だけを質問してください。ユーザーが「そのまま作成して」と言った場合は、評価の冒頭に前提を記載して進めてください。

ツール

プライバシー規制チェッカー

組織の所在地、データ主体、データの種類、処理活動に基づき、どのプライバシー規制が適用されるかを判定します。コンプライアンス義務マトリックスを作成し、ギャップを特定します。

# Basic check — organization in Germany processing EU and US data
python scripts/privacy_regulation_checker.py \
  --org-location DE \
  --data-subjects EU,US \
  --data-types personal,sensitive,financial \
  --processing-activities marketing,analytics,hr

# JSON output for integration
python scripts/privacy_regulation_checker.py \
  --org-location SG \
  --data-subjects SG,AU,CN \
  --data-types personal,health \
  --processing-activities healthcare,research \
  --json

# Include gap analysis against current practices
python scripts/privacy_regulation_checker.py \
  --org-location US-CA \
  --data-subjects EU,US,BR \
  --data-types personal,biometric \
  --processing-activities ecommerce,profiling \
  --current-practices consent_mechanism,breach_process,retention_policy

判定内容：

• 域外適用のルールに基づき、適用される9件の規制
• 適用される各規制の主な義務
• 各規制で必要となるデータ主体の権利
• 各規制の対応期限
• 現在の慣行が提示された場合のギャップ分析

出力：

• 確信度を含む適用規制の一覧
• 規制ごとの義務マトリックス
• リスク評価付きのギャップ分析
• 優先的に実施する推奨措置

---

DSR トラッカー

複数の規制にわたるデータ主体リクエストのライフサイクルを管理します。期限の算出、ステータスの追跡、期限超過アラートに対応しています。

# Add a new GDPR access request
python scripts/dsr_tracker.py add \
  --type access --regulation gdpr \
  --subject "Jane Smith" --email "[email protected]"

# Add CCPA deletion request
python scripts/dsr_tracker.py add \
  --type deletion --regulation ccpa \
  --subject "John Doe" --email "[email protected]"

# List all open requests
python scripts/dsr_tracker.py list

# List overdue requests only
python scripts/dsr_tracker.py list --overdue

# Update request status
python scripts/dsr_tracker.py update --id DSR-0001 --status verified

# Dashboard view with time remaining
python scripts/dsr_tracker.py dashboard

# Export as JSON
python scripts/dsr_tracker.py dashboard --json

対応するリクエストの種類：

種類	GDPR 条文	CCPA 条項	LGPD 条文
アクセス	Art. 15	§1798.100	Art. 18
削除／消去	Art. 17	§1798.105	Art. 18(VI)
訂正／修正	Art. 16	§1798.106	Art. 18(III)
データポータビリティ	Art. 20	§1798.130	Art. 18(V)
処理の制限	Art. 18	—	Art. 18(IV)
異議申し立て	Art. 21	§1798.120	Art. 18(IV)
自動意思決定のオプトアウト	Art. 22	§1798.185	Art. 20
同意の撤回	Art. 7(3)	—	Art. 18(IX)

期限の算出：

規制	初回期限	延長	延長後の期限
GDPR	暦日30日	+60日（複雑な場合）	暦日90日
CCPA	営業日10日以内に受領確認＋暦日45日	+45日	暦日90日
LGPD	暦日15日	—	—
POPIA	暦日30日	—	—
PIPEDA	暦日30日	+30日	暦日60日
PDPA (SG)	暦日30日	—	—
Privacy Act (AU)	暦日30日	+30日	暦日60日
PIPL	暦日15日	+15日	暦日30日
UK GDPR	暦日30日	+60日	暦日90日

ステータス： 受領 → 確認済み → 処理中 → 完了 | 拒否 | 延長

---

リファレンスガイド

世界各国のプライバシー規制

references/global_privacy_regulations.md

主要な9つのプライバシー規制を包括的に比較しています。

• 適用範囲と適用基準
• 処理の法的根拠
• データ主体の権利の比較表
• 漏えい通知の要件と期限
• 越境移転の仕組み
• DPO の要件
• 罰則の体系

DPA レビューチェックリスト

references/dpa_review_checklist.md

データ処理契約（DPA）の完全なレビューガイドです。

• GDPR 第28条で求められる要素
• 分析ポイントを含む処理者の10の義務
• 国際移転の仕組み（2021年6月の SCC、モジュールの選択）
• 移転影響評価の要件
• よくある DPA の問題とリスクレベル
• 実務的な交渉上の考慮事項

DSR 対応ガイド

references/dsr_handling_guide.md

データ主体からの請求（DSR）への対応資料です。

• 受付手順を含む8種類の請求
• 本人確認の方法
• 規制ごとの回答期限
• 規制ごとの適用除外
• 6段階の対応プロセス
• 規制のモニタリング方法

---

ワークフロー

ワークフロー 1：規制の適用性評価

Step 1: Identify organization parameters
        → Location, data subjects, data types, processing activities

Step 2: Run regulation checker
        → python scripts/privacy_regulation_checker.py --org-location [LOC] ...

Step 3: Review applicable regulations and obligations
        → Prioritize by risk (penalties, data volume, enforcement activity)

Step 4: Gap analysis against current practices
        → Re-run with --current-practices flag

Step 5: Build remediation roadmap
        → Address critical gaps first (missing legal basis, no breach process)

ワークフロー 2：データ主体からの請求への対応

Step 1: Receive and log request
        → python scripts/dsr_tracker.py add --type [type] --regulation [reg] ...

Step 2: Verify identity (proportionate to sensitivity)
        → See references/dsr_handling_guide.md for methods
        → python scripts/dsr_tracker.py update --id [ID] --status verified

Step 3: Gather data from all systems
        → python scripts/dsr_tracker.py update --id [ID] --status processing

Step 4: Apply exemptions if applicable
        → Check references/dsr_handling_guide.md exemptions table

Step 5: Prepare and send response within deadline
        → python scripts/dsr_tracker.py update --id [ID] --status completed

Step 6: Monitor dashboard for overdue requests
        → python scripts/dsr_tracker.py dashboard

ワークフロー 3：DPA のレビュー

Step 1: Check DPA against Art. 28 required elements
        → Use references/dpa_review_checklist.md

Step 2: Verify processor obligations (10 items)
        → Sub-processing, deletion, audit rights, etc.

Step 3: Assess international transfer provisions
        → SCC module selection (C2P, C2C, P2P, P2C)
        → Transfer impact assessment
        → Supplementary measures

Step 4: Review practical considerations
        → Liability caps, insurance, termination, data locations

Step 5: Document findings and negotiate amendments

ワークフロー 4：複数規制に対応するコンプライアンスプログラム

Step 1: Run regulation checker for full scope
        → python scripts/privacy_regulation_checker.py [params]

Step 2: Map overlapping obligations across regulations
        → Use references/global_privacy_regulations.md comparison matrix

Step 3: Build unified controls (satisfy strictest requirement)
        → GDPR-first approach covers most other regulations

Step 4: Layer regulation-specific requirements
        → CCPA opt-out mechanisms, LGPD DPO, PIPL localization

Step 5: Monitor regulatory changes
        → See references/dsr_handling_guide.md monitoring approach

---

トラブルシューティング

問題	考えられる原因	解決策
規制チェッカーが予期しない規制を検出する	管轄区域内のデータ主体が考慮されていない	データフローマップを確認してください。分析や Cookie などによる間接的なデータ収集でも、地域的な適用範囲の要件が発生することがあります
DSR の期限を過ぎてしまった	請求の記録が遅れた、またはステータスが更新されていない	受付 SLA を導入し（24時間以内に記録）、ダッシュボードを毎日確認して期限超過のアラートを確認してください
DPA に第28条の要素が不足している	処理者のテンプレートが不完全	DPA レビューチェックリストで不足項目を特定し、署名前に修正を求めてください
越境移転の仕組みが不明確	複数の移転レイヤー（管理者 → 処理者 → 再処理者）がある	データフロー全体をマッピングしてください。移転経路ごとに独自の仕組みが必要です
規制間で義務が相反している	保持要件と削除要件が異なる	相反する要件を記録し、現地法で別途義務付けられていない限り、最も厳格な要件を適用してください。法務の専門家に相談してください
本人確認の比例性が不明確	過剰な本人確認が正当な請求を妨げている	リスクに応じて本人確認を行ってください。リスクの低いデータにはメールでの確認、リスクの高いデータには本人確認書類による確認を行います

---

成功基準

• 適用されるすべての規制を特定し、対応付けている — 規制チェッカーで対象範囲が確認され、データ主体が所在する管轄区域に未対応がない
• すべての DSR に法定期限内に回答している — ダッシュボード上で期限超過の請求がゼロであり、延長を利用した場合は記録されている
• 署名前に第28条のチェックリストに照らして DPA をレビューしている — 処理者の10の義務すべてに対応し、国際移転の仕組みを検証している
• コンプライアンスマトリックスを維持し、最新の状態に保っている — 規制ごとの義務を四半期ごとにレビューし、変更履歴を記録している
• 規制のモニタリングを実施している — エスカレーション基準を定め、新しい規制の適用性を制定から30日以内に評価している

---

対象範囲と制限事項

対象範囲：

• 主要な9つのプライバシー規制の適用性評価
• 複数の規制に対応した期限計算を伴う、データ主体からの請求の追跡
• GDPR 第28条の要件に照らした DPA のレビュー
• 規制をまたぐ義務の対応付け
• 現行の実務とのギャップ分析
• 国際移転の仕組みの評価

対象外：

• 特定の法的根拠の選択に関する法的助言 — 適格なプライバシー法務の専門家に相談してください
• 監督機関への届出や漏えい通知
• Cookie 同意の実装や同意管理プラットフォームの設定
• 拘束的企業準則（BCR）の申請手続き
• 対象となる9つの枠組み以外の分野別規制（HIPAA、FERPA、GLBA）
• データ保護影響評価（dpia-assessment スキルを参照）

---

アンチパターン

アンチパターン	失敗する理由	より良いアプローチ
GDPR のみに準拠する	組織は GDPR ですべての義務を満たせると思い込み、CCPA のオプトアウト要件、LGPD の DPO 設置義務、PIPL のデータローカライゼーションを見落とします	データ主体が居住するすべての法域を対象に規制チェッカーを実行し、規制ごとの管理策を適用します
すべてに共通する DSR プロセス	GDPR の30日間の期限をすべての規制に適用すると、CCPA の10営業日以内の受領確認や PIPL の15日間の期限を見落とします	規制ごとに期限を設定し、規制パラメーターを指定できる DSR トラッカーを使って期限を正確に計算します
DPA のレビューでサブプロセッサーの連鎖を無視する	DPA は直接のプロセッサーを対象としていますが、サブプロセッサーが TIA なしでデータを第三国に移転する場合があります	DPA のレビューで処理の全過程をマッピングし、Art. 28(2) のサブプロセッサー義務を求め、移転経路の各段階を検証します
プライバシーを一度限りのプロジェクトとして扱う	規制は進化し、新しい法律が制定され、執行の優先事項も変化します	エスカレーション基準を定めた規制モニタリングを実施し、四半期ごとにコンプライアンスをレビューします

---

ツールリファレンス

privacy_regulation_checker.py

組織のパラメーターに基づいて、適用されるプライバシー規制を特定し、義務を対応付けます。

フラグ	必須	説明
--org-location <code>	はい	組織の本社所在地（ISO 国コード。例：DE、US-CA、SG）
--data-subjects <list>	はい	データ主体の所在地をカンマ区切りで指定（EU、US、BR、ZA、CA、SG、AU、CN、UK）
--data-types <list>	はい	データの種類をカンマ区切りで指定（personal、sensitive、financial、health、biometric、children）
--processing-activities <list>	はい	処理活動をカンマ区切りで指定（marketing、analytics、hr、ecommerce、profiling、healthcare、research）
--current-practices <list>	いいえ	ギャップ分析用の現在の取り組みをカンマ区切りで指定
--json	いいえ	JSON 形式で出力

dsr_tracker.py

複数の規制に対応した期限計算により、データ主体のリクエストのライフサイクルを追跡します。

サブコマンド	説明
add	新しい DSR を追加します（--type、--regulation、--subject、--email が必須）
list	すべてのリクエストを一覧表示します（期限超過分のみの場合は --overdue）
update	リクエストのステータスを更新します（--id、--status が必須）
dashboard	残り時間とアラートを含むダッシュボードを表示します

フラグ	説明
--type <type>	リクエストの種類：access、deletion、correction、portability、restriction、objection、automated_decision、withdraw_consent
--regulation <reg>	規制：gdpr、ccpa、lgpd、popia、pipeda、pdpa、privacy_act_au、pipl、uk_gdpr
--subject <name>	データ主体の名前
--email <email>	データ主体のメールアドレス
--id <id>	リクエスト ID（例：DSR-0001）
--status <status>	ステータス：received、verified、processing、completed、denied、extended
--overdue	期限超過のリクエストのみを対象にします
--json	JSON 形式で出力
--data-file <path>	カスタムデータファイルのパス（デフォルト：dsr_requests.json）