regulatory-compliance

規制コンプライアンススキル

概要

システム、プロセス、成果物を主要な規制フレームワークに照らして評価します。

• GDPR/CCPA — EU およびカリフォルニア州／米国州法におけるデータプライバシーコンプライアンス
• Privacy-by-Design — Ann Cavoukian の 7 原則に基づき、プライバシーを先回りして組み込む考え方
• ADA/WCAG — ADA および WCAG 2.1/2.2 AA 基準に基づくウェブおよびソフトウェアのアクセシビリティ
• DPA Validation — データ処理契約の完全性と正確性の確認
• Regulatory Monitoring — 各法域における規制変更の追跡に関するガイダンス

重大度別の所見と実行可能な是正タスクを含め、PASS／CONDITIONAL／FAIL の形式で出力します。

使用するタイミング

• 個人データを収集、処理、保存する機能をデプロイする前
• PII やユーザーデータを扱うシステムのアーキテクチャレビュー時
• サードパーティベンダーとの契約および DPA を検証する際
• EU、カリフォルニア州、またはプライバシー法が施行されている法域で製品をローンチする前
• 外部公開インターフェースのアクセシビリティコンプライアンスを監査する際
• データパイプラインや API の CI コンプライアンスゲートの一環として

絶対遵守事項

1. 一部のみのコンプライアンスで PASS を報告してはなりません — 項目に不備があれば、結果は CONDITIONAL または FAIL です。一部のみのコンプライアンスでは違反が隠れてしまいます。
2. 具体的な担当エージェントを指定した是正タスクを必ず含めてください — 曖昧な所見では修正につながりません。すべての FAIL／CONDITIONAL について、誰がどのように修正するのかを明記してください。
3. 複数法域の確認を省略してはなりません — GDPR、CCPA、および 20 以上の米国州法がすべて適用される可能性があります。対象範囲を明確に記録してください。
4. プライバシー・バイ・デザインを必ず設計段階で確認してください — デプロイ後にプライバシー対策を後付けするのは、大幅にコストがかかり、効果も低くなります。
5. アクセシビリティを任意のものとして扱ってはなりません — ADA／WCAG コンプライアンスには訴訟の現実的なリスクがあります（2025 年上半期に ADA 関連訴訟が 37％増加）。すべての外部公開インターフェースを検証してください。
6. 規制のバージョンと評価日を必ず記録してください — 規制のガイダンスは変化します。すべてのレポートに規制のバージョンと評価日を記載してください。

ワークフロー

ステップ 1：対象範囲の定義

評価対象に適用される規制を定義します。

## Compliance Scope

- Subject: [System / Feature / DPA / Interface being assessed]
- Jurisdictions: [EU / California / Virginia / Colorado / Other states]
- Applicable Regulations:
  - [ ] GDPR (EU General Data Protection Regulation)
  - [ ] CCPA/CPRA (California Consumer Privacy Act / California Privacy Rights Act)
  - [ ] US State Laws (VCDPA, CPA, CTDPA, etc.)
  - [ ] ADA / Section 508 (US accessibility)
  - [ ] WCAG 2.1/2.2 AA (Web Content Accessibility Guidelines)
  - [ ] DPA Review (vendor data processing agreement)
- Personal Data Categories Involved: [list data types]
- Assessment Date: [YYYY-MM-DD]
- Regulation Versions Referenced: [e.g., GDPR as amended 2024, CPRA effective 2023]

ステップ 2：GDPR／CCPA コンプライアンスチェックリスト

評価対象に該当するチェック項目を実施します。

データの棚卸しとマッピング

• すべての個人データの種類を分類済み（氏名、メールアドレス、IP アドレス、行動データ、生体情報など）
• データフローを記録済み：収集 → 処理 → 保存 → 共有 → 削除
• 各データの利用目的を明確に定義し、限定済み
• 処理の法的根拠を記録済み（同意、正当な利益、契約、法的義務）
• データの種類ごとに保存期間を定義済み

同意管理

• GDPR：処理目的ごとに個別の同意を取得済み（一括での同意ではない）
• GDPR：同意の撤回を、同意と同じくらい簡単にできる（ワンクリックで配信停止）
• CCPA：データの販売／共有に対するオプトアウト手段がある（「個人情報を販売または共有しないでください」）
• 同意記録を保持済み（誰が、いつ、何に同意したか）
• トラッキング Cookie に対する Cookie 同意を実装済み（GDPR のみ）

消費者の権利への対応

• アクセス権の請求手段がある（DSR／DSAR ポータルまたは手続き）
• 削除権の請求に、定められた期限内に対応（GDPR：30 日、CCPA：45 日）
• データポータビリティ権に対応済み（GDPR：構造化された機械可読形式）
• 不正確なデータを訂正する権利に対応済み
• DSR の記録を 24 か月以上保持済み（監査証跡）

サードパーティおよびベンダー管理

• 個人データを処理するすべてのベンダーと DPA を締結済み
• ベンダー一覧を維持し、年次で見直し済み
• 国際データ移転に関する標準契約条項（SCC）を用意済み
• DPA にサブプロセッサーへの通知条項を含めている

セキュリティ要件

• 妥当なセキュリティ対策が実施されている（保存時および転送中の暗号化）
• アクセス制御と最小権限の原則が適用されている
• データ侵害の通知手順が文書化されている（GDPR：監督機関への通知は72時間以内）
• 処理活動に関するセキュリティリスク評価が実施されている

ステップ3：プライバシー・バイ・デザインのレビュー

Ann Cavoukianの7つの基本原則に照らして評価します。

原則	評価
1. 事後対応ではなく予防的に	プライバシーは後から追加するのではなく、設計段階から組み込まれていますか？
2. プライバシーをデフォルトに	最もプライバシーを保護する設定がデフォルトになっていますか？
3. 設計に組み込まれたプライバシー	プライバシーは後付けではなく、システムアーキテクチャに不可欠な要素ですか？
4. 完全な機能性	プライバシーと正当なビジネス目標は両立していますか？
5. エンドツーエンドのセキュリティ	収集から削除まで、ライフサイクル全体を通じてセキュリティが確保されていますか？
6. 可視性と透明性	ポリシーと慣行は公開され、検証可能ですか？
7. ユーザーのプライバシー尊重	すべての設計上の決定において、ユーザー中心の姿勢が保たれていますか？

各原則を次のいずれかで記録します：実装済み / 部分的 / 未実装 / 該当なし

ステップ4：ADA/WCAGアクセシビリティ監査

WCAG 2.1 AA（最低基準）／WCAG 2.2 AA（現行基準）に照らして評価します。

POURの原則

• 知覚可能：テキスト以外のすべてのコンテンツにテキストによる代替手段があること。音声／動画に字幕／文字起こしがあること。コンテンツが色だけに依存していないこと。通常のテキストのコントラスト比が最低4.5:1であること
• 操作可能：すべての機能をキーボードで利用できること。キーボードトラップがないこと。ナビゲーションをスキップするリンクがあること。操作に十分な時間が確保されていること。発作を引き起こすコンテンツ（3Hzを超える点滅）がないこと
• 理解可能：ページの言語がHTMLで設定されていること。エラーメッセージが具体的で役立つこと。ページ間でナビゲーションに一貫性があること。フォームのラベルと説明が明確であること
• 堅牢：HTML/ARIAが有効であること。現在の支援技術と互換性があること。ARIAのラベルとロールが正しく適用されていること

AIインターフェース固有（2025年以降）

• チャットボットのインターフェースがキーボードで操作でき、スクリーンリーダーに対応している
• AI生成コンテンツに適切なセマンティック構造がある
• AI生成画像に代替テキストが設定されている
• 音声インターフェースに視覚的な代替手段がある

アクセシビリティの重大度分類

• 重大：障害のあるユーザーがアクセスできない状態（キーボードナビゲーションがない、スクリーンリーダーに対応していない）
• 高：利用を大きく妨げる状態（コントラストが低い、重要な画像に代替テキストがない）
• 中：不便が生じるが回避策がある状態（スキップリンクがない、ラベルに一貫性がない）
• 低：ベストプラクティスに向けた改善点（装飾画像に空でない代替テキストが設定されている）

ステップ5：DPA検証チェックリスト

データ処理契約をレビューする場合：

必須のDPA要素（GDPR第28条）

• 当事者が明確に特定されている（管理者の名称・住所、処理者の名称・住所）
• 処理の対象、性質、目的が定義されている
• 個人データの種類とデータ主体のカテゴリーが明記されている
• 処理期間が明記されている
• 管理者の義務と権利が文書化されている
• 処理者の義務：
  • 文書化された管理者の指示に基づいてのみ処理する
  • 処理に関わる担当者の守秘義務を確保する
  • 適切な技術的・組織的安全管理措置を実施する
  • サブプロセッサーに関する規則：事前の書面による同意を求め、義務を引き継がせる
  • DSARおよび第32～36条の義務への対応を管理者に支援する
  • サービス終了時にデータを削除または返却する
  • 監査への協力と情報提供を行う
• 国際移転の仕組みが明記されている（SCC、十分性認定など）
• データ侵害の通知手順：処理者は不当な遅延なく管理者に通知する
• DPAの更新条件：毎年、または処理に重大な変更があった際に見直す

DPAの品質チェック項目

• 曖昧な処理の説明（「必要に応じてデータを処理する」など）がない — 具体性が必要
• 安全管理措置が適切な詳細さで説明されている（暗号化、アクセス制御、スタッフのトレーニング）
• サブプロセッサーの一覧が利用可能で、最新の状態に維持されている
• 高リスク国について移転影響評価（TIA）が実施されている

ステップ6：規制のモニタリングに関するガイダンス

継続的なコンプライアンスを維持するためのガイダンスを提示します。

モニタリング対象の情報源

• GDPR：欧州データ保護会議（EDPB） — https://edpb.europa.eu/
• CCPA/CPRA：カリフォルニア州プライバシー保護庁 — https://cppa.ca.gov/
• 米国州法：IAPP州プライバシー法トラッカー — https://iapp.org/resources/article/us-state-privacy-legislation-tracker/
• WCAG：W3C WAI — https://www.w3.org/WAI/
• ADA：米国司法省 ADA.gov — https://www.ada.gov/

モニタリングの頻度

• 毎月：監督機関による執行措置を確認する
• 四半期ごと：新たに制定または改正された州プライバシー法を確認する
• 毎年：すべての処理者とのDPAを全面的に見直し、アクセシビリティ監査を全面的に実施する
• 変更時：データ処理活動、ベンダー、またはインターフェースに重大な変更があった場合は、必ず再評価する

ステップ7：コンプライアンスに関する判定を出す

次の3つの判定のいずれかを出力します。

{
  "decision": "PASS | CONDITIONAL | FAIL",
  "regulationsAssessed": ["GDPR", "CCPA", "WCAG 2.1 AA", "DPA"],
  "assessmentDate": "YYYY-MM-DD",
  "findings": [
    {
      "id": "RC-001",
      "regulation": "GDPR",
      "severity": "CRITICAL | HIGH | MEDIUM | LOW",
      "category": "Consent Management",
      "description": "Cookie consent banner missing for analytics tracking cookies",
      "status": "FAIL",
      "remediation": "Implement cookie consent platform with granular purpose-based opt-in",
      "owner": "developer",
      "deadline": "Before next deployment"
    }
  ],
  "requiredMitigations": [],
  "evidencePaths": [".claude/context/reports/compliance/"],
  "regulatoryLinks": [
    "https://edpb.europa.eu/our-work-tools/documents/public-consultations/2023/guidelines-032023-deceptive-design-patterns_en"
  ],
  "nextReviewDate": "YYYY-MM-DD",
  "recommendedNextStep": "Assign RC-001 to developer agent; re-assess after remediation"
}

判定ルール：

• PASS：該当するチェック項目がすべて確認され、未解決の指摘事項がない
• CONDITIONAL：軽微または中程度の指摘事項がある。是正計画を文書化すれば続行可能
• FAIL：重大または深刻な指摘事項がある。デプロイ前に是正が必要

出力プロトコル

レポートの保存先

コンプライアンスレポートを次の場所に保存します：.claude/context/reports/compliance/

命名規則：{subject}-compliance-{YYYY-MM-DD}.md

レポートのセクション（必須）

1. 対象範囲の定義（ステップ1の出力）
2. GDPR/CCPAチェックリストの結果（ステップ2）
3. プライバシー・バイ・デザインの評価（ステップ3）
4. アクセシビリティ監査の結果（該当する場合はステップ4）
5. DPAの検証（該当する場合はステップ5）
6. 構造化された判定JSON（ステップ7）
7. 担当者と期限を含む是正タスクリスト
8. 規制のモニタリングに関する推奨事項

アンチパターン

アンチパターン	問題が起きる理由	適切なアプローチ
GDPR のみを確認し、CCPA／州法を無視する	複数の法域にまたがるリスクを見落とします	常に適用対象となるすべての法域を評価します
大半の項目に合格しただけで PASS と報告する	部分的な遵守は、非遵守にあたります	未解決の指摘事項があれば CONDITIONAL／FAIL とします
「暗号化を実装する」という曖昧な是正措置	開発者が曖昧な指針に基づいて行動できません	具体的に「users テーブルの PII フィールドに AES-256 暗号化を適用する」と指定します
一度限りの監査を継続的なコンプライアンスとして扱う	規制は四半期ごとに変わります	継続的なモニタリングの頻度を確立します
アクセシビリティをあれば望ましいものとして扱う	ADA に関する訴訟は現実的な法的リスクです	公開インターフェースでは WCAG 2.1 AA 準拠が必須です
データ処理の説明が曖昧な DPA	規制当局は曖昧な DPA を認めません	正確なデータの種類、処理目的、保持期間を明記します

適用フック

実行前に、入力を schemas/input.schema.json に照らして検証します。 出力の契約は schemas/output.schema.json で定義されています。 実行前フック：hooks/pre-execute.cjs 実行後フック：hooks/post-execute.cjs（可観測性イベントを発行します）

メモリプロトコル

開始前：

cat .claude/context/memory/learnings.md

以下を確認します：

• 類似システムに対する過去のコンプライアンス評価
• 既知の規制パターンと記録済みの判断
• issues.md に記載された未解決のコンプライアンス上の阻害要因

完了後：

• 新たなコンプライアンス上の指摘事項 → .claude/context/memory/issues.md に追記
• 規制に関する判断 → .claude/context/memory/decisions.md に追記
• コンプライアンスに関する有効なパターン → .claude/context/memory/learnings.md に追記

中断を前提にしてください。コンテキストがリセットされる場合があります。メモリに記録されていなければ、実施されていないものとして扱います。