privacy-standards

プライバシー基準スキル

このスキルは、Privacy Planner と Privacy Reviewer が再利用できるプライバシー参照パッケージです。プライバシー基準の基盤、データフローと分類に関する主要なヒューリスティクス、DPIA の実施要否を判断するためのロジックをまとめ、プライバシーレビューをワークフロー、証拠、実装準備状況に集中させるために必要な情報を提供します。

メモ

このスキルは計画支援を目的としたものであり、法律上の助言ではありません。基準の概要は、プライバシーに関する検討やレビューの準備を支援するものです。資格を有する法律専門家への相談や、正式な規制解釈に代わるものではありません。

出典表示とライセンスの方針

• NIST Privacy Framework と NISTIR 8062 は米国政府の文書です。パブリックドメインの参考資料として出典を明記して参照しています。パブリックドメインの資料にはライセンス上の義務がないため、パッケージのライセンス表記に追加の条件は生じません。
• GDPR と CCPA/CPRA の内容は、リポジトリのオープンな法令テキストに関する方針に沿って、逐語的に引用するのではなく、言い換えて出典を明記しています。言い換えの表現は、このリポジトリ独自のものです。
• OWASP のプライバシーリスクに関する資料は、CC BY-SA 3.0 ライセンスの OWASP Top 10 Privacy Risks プロジェクトを基にしています。継承条項は派生物にも適用されるため、コピーレフト条件が付くファイルはこれだけです。

フロントマターのライセンス表記は、パッケージに含まれるすべてのライセンスの結合を示します。各ファイルに適用されるライセンスは、以下の表のとおりです。

パス	ライセンス	出典
references/owasp-top-10-privacy-risks.md	CC-BY-SA-3.0	OWASP Top 10 Privacy Risks v2.0 を基に作成（CC BY-SA 3.0）
references/nist-privacy-framework.md	CC-BY-4.0	NIST Privacy Framework v1.0 を基に作成（パブリックドメイン）
references/nistir-8062.md	CC-BY-4.0	NISTIR 8062 を基に作成（パブリックドメイン）
references/gdpr.md	CC-BY-4.0	GDPR の言い換えであり、原文は再掲していません
references/ccpa-cpra.md	CC-BY-4.0	CCPA/CPRA の言い換えであり、原文は再掲していません
references/dpia-thresholds.md	CC-BY-4.0	リポジトリ独自の計画用統合資料
references/data-governance-controls.md	CC-BY-4.0	リポジトリ独自の計画用統合資料
SKILL.md and remaining package content	CC-BY-4.0	リポジトリ独自

フレームワーク一覧

• NIST Privacy Framework
• NISTIR 8062
• GDPR の概要
• CCPA/CPRA の概要
• OWASP Top 10 Privacy Risks
• 運用上の参考資料：
  • DPIA の実施要否に関するヒューリスティクス
  • リリース準備のためのデータガバナンス管理策

プライバシー計画のヒューリスティクス

• まずデータを棚卸しし、収集、転送、保存、利用、共有、保持、削除という個人データのライフサイクルを整理します。
• データのカテゴリーと処理目的を分けて整理し、プランナーまたはレビュアーが必要性、比例性、適切な管理策の選定を評価できるようにします。
• ワークフローに機微データ、自動意思決定、プロファイリング、組織間共有が含まれるかを特定します。これらの条件がある場合、より詳細なレビューが必要になることが多いためです。
• 各プライバシー判断の証拠の履歴を記録し、引き継ぎに基準の参照先、裏付けとなる根拠、レビューの状況を含められるようにします。

引用フィールドの用語

調査結果、管理策、またはリスクを記録する際は、レビュー担当者が安定したソース管理参照を確認できるよう、以下のフィールドを使用してください。

• gdpr_article
• ccpa_section
• nist_pf_category
• nistir8062_objective
• owasp_privacy_id

フェーズとフレームワークの対応

プライバシーフェーズ	主要な標準パッケージ	備考
フェーズ 1：収集	NIST Privacy Framework + GDPR	コンテキスト、スコープ、法的根拠の整理
フェーズ 2：データマッピング	NIST Privacy Framework + NISTIR 8062	データインベントリ、目的、最小化の根拠
フェーズ 3：リスクと DPIA	GDPR + CCPA/CPRA + NISTIR 8062	DPIA の実施条件、リスク分析、比例性
フェーズ 4：管理策	NIST Privacy Framework + OWASP Privacy Risks	収集、利用、共有、保持に関する管理策
フェーズ 5：影響	GDPR + CCPA/CPRA + OWASP Privacy Risks	潜在的な被害、緩和策、監視
フェーズ 6：引き継ぎ	すべてのソース	エビデンスの引き継ぎ、レビューのメモ、アクションの追跡

オープン標準カタログ

オープンなプライバシー標準とガバナンスリソースの参照カタログとして、以下のリンクを使用してください。これらの資料は、法的助言や正式な規制解釈の代わりではなく、計画およびレビューの指針として扱ってください。

• NIST Privacy Framework：https://www.nist.gov/privacy-framework
• NISTIR 8062：https://doi.org/10.6028/NIST.IR.8062
• GDPR：https://gdpr-info.eu
• CCPA/CPRA：https://oag.ca.gov/privacy/ccpa
• OWASP Top 10 Privacy Risks：https://owasp.org/www-project-top-10-privacy-risks/