regulatory-audit-generator について
regulatory-audit-generatorは、ビジネスシナリオから構造化されたコンプライアンスチェックリストを作るエージェントスキルです。適用される可能性のある規制を特定し、リスク評価と是正案を示します。対象にはPIPLやGDPRなどがあります。
主な機能
- 01事業、利用者、データフローの情報を収集
- 02適用される可能性のある規制を特定
- 03構造化されたチェックリストを作成
- 04高・中・低のリスクを付与
- 05是正措置の優先順位を設定
- 06平易なコンプライアンス解説を提供
活用シーン
- 01計画中の製品機能のコンプライアンス要件を評価
- 02データ収集や越境移転を点検
- 03既存サービスの是正優先度を整理
- 04法務以外のチームに要件を説明
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/regulatory-audit-generatorを入力して読み込まれたか確認します。
同梱ファイルLICENSE
詳細
規制監査ジェネレーター — ビジネスシナリオ向けコンプライアンスチェックリスト作成ツール
ユーザーが説明したビジネスシナリオに基づいて適用される法令を特定し、GDPR、PIPL（個人情報保護法）、広告法、サイバーセキュリティ法、データセキュリティ法などの主要な規制を網羅した、構造化されたコンプライアンスチェックリストを出力します。
クイックスタート
ユーザーがビジネスシナリオを説明するだけで、エージェントが次の処理を行います。
- 適用される規制を特定：ビジネスシナリオに基づいて、適用される法令を判断します
- チェックリストを作成：チェック項目を構造化して一覧で出力します
- リスクレベルを分類：重大度に応じて優先順位を付け、高・中・低のリスクを示します
- 是正策を提示：各コンプライアンスリスクに対して、実行可能な是正ガイダンスを提供します
ユーザーは次のように伝えるだけです。
「ユーザープロファイリング機能をリリースする予定です。コンプライアンスチェックリストの作成を手伝ってください。」
エージェントは必要な情報を提供するようユーザーを案内し、その後、完全なコンプライアンスチェックリストを出力します。
1. 対応する規制の枠組み
主な規制
| 規制 | 略称 | 適用範囲 | 主な確認項目 |
|---|---|---|---|
| 個人情報保護法 | PIPL | 中国国内における個人情報の取り扱い | インフォームドコンセント、データ最小化、越境データ移転 |
| 一般データ保護規則 | GDPR | EU ユーザーデータを扱う場合 | 適法な処理根拠、データ主体の権利、DPO、DPIA |
| データセキュリティ法 | DSL | 中国国内におけるデータ処理活動 | データ分類・等級付け、セキュリティ評価、重要データの国外移転 |
| サイバーセキュリティ法 | CSL | ネットワーク運営者 | サイバーセキュリティ等級保護制度（MLPS）、ログの保管、セキュリティインシデントの報告 |
| 広告法 | — | 広告の掲載および運営 | 最上級表現の禁止、虚偽広告、医療広告 |
| 電子商取引法 | — | 電子商取引事業者 | 情報開示、ユーザーレビュー、抱き合わせ販売 |
| 反不正競争法 | — | 市場における事業活動 | 商業賄賂、虚偽広告、営業秘密の侵害 |
| 消費者保護法 | — | 消費者の権利に関する事項 | 知る権利、公正取引の権利、個人情報 |
業界固有の規制
| 業界 | 関連する規制・標準 |
|---|---|
| 金融 | 個人金融情報保護技術仕様（JR/T 0171）、銀行・保険機関向けデータセキュリティ管理措置 |
| 医療・ヘルスケア | 人口健康情報管理措置、医療ビッグデータ標準 |
| 教育 | 未成年者保護法のオンライン保護に関する章、オンライン上の児童の個人情報保護に関する規定 |
| 自動車 | 自動車データセキュリティ管理に関する複数の規定 |
| モバイルアプリ | アプリによる個人情報の違法な収集・使用を識別する方法、一般的な種類のモバイルアプリケーションに必要な個人情報の範囲に関する規定 |
2. コンプライアンスチェック手順（SOP）
ステップ 1: ビジネスシナリオ情報の収集
ユーザーに以下の重要情報を確認します:
| 項目 | 確認する情報 | 例 |
|---|---|---|
| ビジネス内容 | 機能・サービスの具体的な内容 | 「行動データに基づいて商品を推薦するユーザープロファイリング機能」 |
| ユーザー層 | 対象ユーザーの地域とデモグラフィック | 「中国本土のユーザー、未成年を含む」 |
| データ種別 | 収集・処理するデータ | 「氏名、電話番号、閲覧履歴、位置情報」 |
| データフロー | データの保存、送信、共有の詳細 | 「Alibaba Cloud の華東ノードに保存し、第三者広告プラットフォームと共有」 |
| ビジネス段階 | 新規リリース / 是正が必要な既存システム / M&A デューデリジェンス | 「新機能、来月のリリースを予定」 |
| 既存の対策 | すでに実施しているコンプライアンス対策 | 「プライバシーポリシーはあるが、DPIA は未実施」 |
ユーザーが特定の情報を提供していない場合、エージェントは推測したり省略したりせず、積極的に追加の質問をすべきです。
ステップ 2: 適用される規制の特定
収集した情報に基づき、以下のルールを用いて適用される規制を判断します:
IF processing personal information → PIPL
IF involving EU users → GDPR
IF involving data storage/transmission → Data Security Law + Cybersecurity Law
IF involving advertising/marketing content → Advertising Law
IF involving e-commerce transactions → E-Commerce Law
IF involving minors → Minors Protection Law + Provisions on Protection of Children's Personal Information Online
IF cross-border data transfer (overseas storage/transmission/access) → PIPL Chapter 3 + Measures for Security Assessment of Data Export
IF involving sensitive personal information → PIPL Chapter 2 Section 2 (separate consent + PIIA)
IF involving automated decision-making → PIPL Article 24 (transparency + right to refuse)
IF involving financial data → JR/T 0171
ステップ 3: コンプライアンスチェックリストの生成
以下の構成でチェックリストを出力します:
チェックリストの出力形式
# [Business Scenario Name] Compliance Checklist
**Assessment Date**: YYYY-MM-DD
**Business Description**: [Brief description]
**Applicable Regulations**: [List of regulations]
## Checklist
| No. | Check Item | Legal Basis | Risk Level | Current Status | Remediation Advice |
|-----|-----------|-------------|------------|----------------|-------------------|
| 1 | [Check item description] | [Regulation name + article number] | High/Medium/Low | Compliant/Non-compliant/To be confirmed | [Specific advice] |
## Risk Summary
- High-risk items: X items
- Medium-risk items: X items
- Low-risk items: X items
## Priority Remediation Recommendations
1. [Highest priority remediation item and rationale]
2. [Second highest priority item and rationale]
ステップ 4: 是正優先度の出力
以下のルールに従って是正措置の優先順位を付けます:
| 優先度 | 基準 | 説明 |
|---|---|---|
| P0 — 即時対応 | 高リスク + 現在非準拠 | 行政上の制裁、サービス停止の可能性がある |
| P1 — 今週中に完了 | 高リスク + 要確認、または中リスク + 非準拠 | 重大なコンプライアンス上のリスク |
| P2 — 今月中に完了 | 中リスク + 要確認 | さらなる評価と改善が必要 |
| P3 — 継続的な最適化 | 低リスク | 改善を推奨するが緊急性はない |
3. 一般的なビジネスシナリオのチェックポイント
シナリオ 1: ユーザー登録とログイン
| チェック項目 | 法的根拠 | 説明 |
|---|---|---|
| プライバシーポリシー / 利用規約はあるか? | PIPL 第 17 条 | 登録前に表示し、同意を取得する必要がある |
| 必要最小限の個人情報のみを収集しているか? | PIPL 第 6 条 | 登録段階では電話番号 / メールのみを求め、ID 番号などを必須にしてはならない |
| 第三者ログインはデータ共有を開示しているか? | PIPL 第 23 条 | WeChat / Alipay 経由のログインでは、どの情報が共有されるかを開示する必要がある |
| パスワードは暗号化して保存しているか? | CSL 第 21 条 | 平文でのパスワード保存は禁止されている |
| アカウント削除に対応しているか? | PIPL 第 47 条 | 便利なアカウント削除の窓口を提供する必要がある |
シナリオ 2: マーケティングと広告
| チェック項目 | 法的根拠 | 説明 |
|---|---|---|
| マーケティング SMS / メールについて同意を取得しているか? | PIPL 第 13 条、広告法第 43 条 | ユーザーの明示的な同意が必要 |
| 配信停止の仕組みを提供しているか? | 広告法第 43 条 | 各マーケティングメッセージにオプトアウトの方法を含める必要がある |
| 広告コピーに禁止されている最上級表現が含まれていないか? | 広告法第 9 条 | 「最高」「ナンバーワン」「国家級」などの絶対的表現は禁止されている |
| プロファイリングに基づく推薦を無効にできるか? | PIPL 第 24 条 | パーソナライズされていないコンテンツの選択肢を提供する必要がある |
| 広告に「広告」と明確に表示しているか? | 広告法第 14 条 | マスメディアのチャネルでは広告を明確に表示する必要がある |
シナリオ 3：越境データ移転
| チェック項目 | 法的根拠 | 説明 |
|---|---|---|
| セキュリティ評価の届出基準を満たしていますか？ | データ越境セキュリティ評価弁法 第 4 条 | 100 万人以上の個人情報を処理する場合、または累計で 10 万人分以上の個人情報／1 万件分以上の機微情報を越境移転する場合 |
| 標準契約を締結していますか？ | 個人情報越境移転標準契約弁法 | 届出基準を下回る場合は標準契約を締結できます |
| 個人情報保護影響評価を完了していますか？ | 個人情報保護法 第 55 条 | データを越境移転する前に個人情報保護影響評価を完了する必要があります |
| ユーザーに通知し、個別の同意を取得していますか？ | 個人情報保護法 第 39 条 | 海外の受領者に関する情報を開示する必要があります |
| 海外の受領者はデータ保護能力を備えていますか？ | 個人情報保護法 第 38 条 | 受領者のデータ保護基準を評価する必要があります |
シナリオ 4：ユーザープロファイリングとパーソナライズされたレコメンデーション
| チェック項目 | 法的根拠 | 説明 |
|---|---|---|
| 自動意思決定のロジックを開示していますか？ | 個人情報保護法 第 24 条 | ユーザーに対して透明性を確保する必要があります |
| パーソナライズされたレコメンデーションを無効にする選択肢を提供していますか？ | 個人情報保護法 第 24 条 | ユーザーには拒否する権利があります |
| ユーザープロファイリングについて個人情報保護影響評価を実施していますか？ | 個人情報保護法 第 55 条 | 自動意思決定に個人情報を使用する場合、評価が必要です |
| プロファイリングのタグに機微情報が含まれていますか？ | 個人情報保護法 第 28 条 | 宗教、健康、金融などに関連するタグは機微情報に分類されます |
| プロファイリング結果の利用範囲を制限していますか？ | 個人情報保護法 第 24 条 | 取引価格などの分野で不合理な差別的待遇を課してはなりません |
シナリオ 5：GDPR への準拠（EU ユーザー向け）
| チェック項目 | 法的根拠 | 説明 |
|---|---|---|
| 処理の適法な根拠を確立していますか？ | GDPR 第 6 条 | 同意、契約、法的義務、正当な利益など、6 つの根拠のいずれかが必要です |
| DPO を任命していますか？ | GDPR 第 37 条 | 大規模な処理、または特別カテゴリーのデータの処理を行う場合に必要です |
| DPIA を完了していますか？ | GDPR 第 35 条 | 高リスクの処理活動に必要です |
| データポータビリティの権利に対応していますか？ | GDPR 第 20 条 | データは構造化され、機械可読な形式で提供する必要があります |
| 72 時間以内にデータ侵害を報告できますか？ | GDPR 第 33 条 | 侵害の発見から 72 時間以内に監督機関へ通知する必要があります |
| Cookie バナーは準拠していますか？ | GDPR + ePrivacy | 明示的な同意が必要です。チェック済みのチェックボックスは認められません |
| 処理活動の記録を維持していますか？ | GDPR 第 30 条 | 従業員数が 250 人以上の組織、または定常的でない処理を行う組織に必要です |
4. リスクレベルの基準
| リスクレベル | 基準 | 想定される結果 |
|---|---|---|
| 高 | 強行法規への違反、機微な個人情報の違法な処理、適法な根拠の欠如、評価を行わないデータ越境移転 | 行政処分（罰金）、サービス停止、刑事責任 |
| 中 | コンプライアンス対策が不完全だが基盤は整っている、通知が不十分、同意の仕組みに問題がある、セキュリティ対策に一部不備がある | 規制当局による面談、期限を定めた是正命令、ユーザーからの苦情 |
| 低 | ベストプラクティスに達していないが違法ではない、文書が不完全、プロセスを最適化できる | 監査での指摘、社内での改善 |
5. 成果物
エージェントは最終的に、以下をユーザーに提供します。
- コンプライアンスチェックリスト表：すべてのチェック項目と法的根拠、リスクレベル、現在の状況、是正に関する助言
- リスクの概要：高・中・低リスクの項目数
- 優先度順の是正ロードマップ：P0～P3 の順に並べた是正措置の一覧
- 補足説明：法務担当者以外にも主要なコンプライアンス要件を理解できるよう、平易な言葉で説明
6. 免責事項
- 規制の最新性：法令や規制は継続的に更新されます。チェックリストに記載されている規制への言及は、最新版と照らし合わせて確認してください。エージェントは、ユーザーに最新の規制動向を確認するよう促す必要があります。
- 法的助言ではありません：このチェックリストは参考情報であり、法的助言を構成するものではありません。重要なコンプライアンス上の判断については、資格を有する弁護士への相談を推奨します。
- 業界による違い：業界によって、固有の規制要件があります。業界固有の考慮事項を反映するよう、チェックリストを調整してください。
- 継続的なコンプライアンス：コンプライアンスは一度きりの取り組みではありません。定期的な再評価（少なくとも6か月ごと）を推奨します。
参考資料
- 中華人民共和国個人情報保護法（PIPL、2021年）
- 中華人民共和国データセキュリティ法（DSL、2021年）
- 中華人民共和国サイバーセキュリティ法（CSL、2017年）
- 中華人民共和国広告法（2018年改正）
- EU一般データ保護規則（GDPR、2018年）
- 個人情報の国外提供に関する標準契約弁法（2023年）
- データ国外提供のセキュリティ評価弁法（2022年）
- GB/T 35273-2020 情報セキュリティ技術 — 個人情報セキュリティ規範
コメント
Markdown 対応