关于 cross-jurisdiction-class
面向跨国组织的数据保护团队，提供 GDPR、CCPA、HIPAA 与 LGPD 的数据分类映射及统一分级方法，帮助按适用法规中最高保护要求处理数据。
主要功能
- 01映射四项法规的敏感数据类别
- 02为数据类别分配统一等级
- 03按最高适用保护级别分类
- 04提供跨境处理场景示例
适用场景
- 01为跨境数据盘点标注适用法规
- 02统一不同地区的敏感数据等级
- 03评估跨境员工或客户数据处理
安装
复制下面的命令，在终端中运行。
npx skills add https:/安装后在 Claude Code 中输入/cross-jurisdiction-class确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py详细介绍
跨司法管辖区数据分类统一
概述
跨国组织必须同时依据多个监管框架对数据进行分类。GDPR 特殊类别（第 9 条）、CCPA 敏感个人信息（加州民法典 §1798.140(ae)）、HIPAA 受保护健康信息（45 CFR §160.103）和 LGPD 敏感个人数据（第 5 条第 II 款）对敏感数据的定义各不相同，要求也各有差异。本技能提供跨法规映射矩阵，支持统一分类，以满足所有适用司法管辖区的要求，并为 Vanguard Financial Services 在英国/欧盟、美国和巴西的运营提供支持。
各司法管辖区的定义对比
GDPR 第 9 条 — 特殊类别（欧盟/英国）
| 类别 | 定义概要 |
|---|---|
| 种族或族裔出身 | 揭示种族或族裔背景的数据 |
| 政治观点 | 政治立场、党派成员身份、投票情况 |
| 宗教或哲学信仰 | 宗教信仰、无神论、哲学信念 |
| 工会成员身份 | 工会成员身份或活动 |
| 遗传数据 | 遗传或后天获得的遗传特征（第 4 条第 13 款） |
| 生物识别数据 | 用于唯一识别身份的身体或行为特征（第 4 条第 14 款） |
| 健康数据 | 身体或心理健康、医疗服务提供情况（序言第 35 条） |
| 性生活或性取向 | 性行为、偏好、取向 |
处理标准：一般禁止处理，但有十项例外（第 9 条第 2 款 (a)–(j)）
CCPA/CPRA — 敏感个人信息（加利福尼亚州）
加州民法典 §1798.140(ae) 将敏感个人信息定义为：
| 类别 | 定义概要 |
|---|---|
| 社会安全号码、驾照、州身份证、护照 | 政府签发的身份标识符 |
| 带密码/安全凭证的账户登录信息 | 金融账户访问数据 |
| 与安全码结合使用的借记卡/信用卡 | 带有身份验证信息的支付卡数据 |
| 精确地理位置 | 1,850 英尺范围内的位置（GPS 级精度） |
| 种族或族裔出身 | 与 GDPR 范围相同 |
| 宗教或哲学信仰 | 与 GDPR 范围相同 |
| 工会成员身份 | 与 GDPR 范围相同 |
| 个人通信（信件、电子邮件、短信） | 非公开通信的内容 |
| 遗传数据 | DNA、基因检测结果 |
| 生物识别数据 | 用于身份识别的生理、生物、行为特征 |
| 健康信息 | 身体或心理健康状况、诊断、治疗 |
| 性生活或性取向 | 性活动、偏好 |
消费者权利：有权限制敏感个人信息的使用和披露（§1798.121）
HIPAA — 受保护健康信息（美国）
45 CFR §160.103 将 PHI 定义为由受规实体或业务伙伴持有或传输的、以任何形式存在的、可识别个人身份的健康信息，且与以下内容相关：
| 要素 | 描述 |
|---|---|
| 身体或心理健康状况 | 过去、现在或未来的状况 |
| 医疗服务提供 | 治疗、服务、付款 |
| 医疗服务付款 | 索赔、账单、保险 |
| 可识别性 | 能够识别或可能识别个人身份的信息 |
HIPAA 的 18 项身份标识符（45 CFR §164.514(b)）： 姓名、地理数据（小于州级范围）、日期（年份除外）、电话、传真、电子邮件、SSN、病历号、健康计划受益人编号、账户号码、证书/执照号码、车辆标识符、设备标识符、网页 URL、IP 地址、生物识别标识符、正面全脸照片、任何唯一身份识别号码
标准：最低必要标准；使用和披露仅限于实现目的所需的最低限度
LGPD 第 5-II 条 — 敏感个人数据（巴西）
| 类别 | 定义摘要 |
|---|---|
| 种族或族裔来源 | 范围与 GDPR 相同 |
| 宗教信仰 | 宗教信念或实践 |
| 政治观点 | 政治观点或政治立场 |
| 工会会员身份 | 工会成员身份 |
| 宗教、哲学或政治组织 | 范围比 GDPR 更广 — 包括组织成员身份 |
| 健康数据 | 身体／心理健康 |
| 性生活 | 性活动 |
| 遗传数据 | 遗传信息 |
| 生物识别数据 | 用于身份识别的生物特征 |
处理标准：必须取得具体且醒目的同意；第 11(II) 条还规定了其他合法依据
跨法规映射矩阵
| 数据类别 | GDPR 第 9 条 | CCPA §1798.140(ae) | HIPAA PHI | LGPD 第 5-II 条 | 统一级别 |
|---|---|---|---|---|---|
| 种族／族裔来源 | 特殊类别 | 敏感 PI | 不适用（除非与健康相关） | 敏感 | RESTRICTED |
| 政治观点 | 特殊类别 | 不适用 | 不适用 | 敏感 | RESTRICTED |
| 宗教信仰 | 特殊类别 | 敏感 PI | 不适用 | 敏感 | RESTRICTED |
| 工会会员身份 | 特殊类别 | 敏感 PI | 不适用 | 敏感 | RESTRICTED |
| 遗传数据 | 特殊类别 | 敏感 PI | PHI（若与健康相关） | 敏感 | RESTRICTED |
| 生物识别数据（用于身份识别） | 特殊类别 | 敏感 PI | PHI（标识符） | 敏感 | RESTRICTED |
| 健康数据 | 特殊类别 | 敏感 PI | PHI | 敏感 | RESTRICTED |
| 性生活／性取向 | 特殊类别 | 敏感 PI | 不适用（除非与健康相关） | 敏感 | RESTRICTED |
| 社会安全号码 | 个人数据（直接标识符） | 敏感 PI | PHI（标识符） | 个人数据（直接） | RESTRICTED |
| 精确地理位置 | 个人数据（若揭示宗教信仰／健康状况，可能属于特殊类别） | 敏感 PI | PHI（若与健康相关） | 个人数据 | CONFIDENTIAL+ |
| 含凭据的金融账户 | 个人数据（金融） | 敏感 PI | 不适用 | 个人数据 | RESTRICTED |
| 个人通信内容 | 个人数据 | 敏感 PI | 不适用 | 个人数据 | CONFIDENTIAL |
| 病历编号 | 个人数据（间接） | 不适用（另受 HIPAA 制度规管） | PHI（标识符） | 个人数据 | RESTRICTED（医疗保健场景下） |
| 健康保险 ID | 个人数据（间接） | 不适用 | PHI（标识符） | 个人数据 | RESTRICTED（医疗保健场景下） |
协调统一的分类方法
原则：采用最高标准
当数据受多个司法管辖区的法规约束时，采用保护力度最高的分类：
For each data element:
1. Classify under GDPR (personal / special category / criminal)
2. Classify under CCPA (personal information / sensitive PI)
3. Classify under HIPAA (PHI / non-PHI) — if applicable
4. Classify under LGPD (personal / sensitive) — if applicable
5. Assign the unified tier = MAX(all jurisdictional classifications)
统一级别分配规则
| 司法管辖区分类 | 统一级别 |
|---|---|
| 任何法规将其列为最敏感类别 | RESTRICTED |
| GDPR 特殊类别，或 CCPA 敏感 PI，或 LGPD 敏感数据 | RESTRICTED |
| 任何 HIPAA PHI | RESTRICTED |
| GDPR 个人数据且属于 CCPA 个人信息（非敏感） | CONFIDENTIAL |
| 根据所有适用法规均不属于个人数据 | PUBLIC 或 INTERNAL |
Vanguard Financial Services 的实施方案
司法管辖范围
| 司法管辖区 | 适用法律 | Vanguard 运营情况 |
|---|---|---|
| EU/EEA | GDPR | 欧盟客户群、法兰克福数据中心 |
| United Kingdom | UK GDPR + DPA 2018 | 伦敦总部、英国客户群 |
| California, USA | CCPA/CPRA | 美国业务、加州居民数据 |
| Other US States | Various (VCDPA, CPA, CTDPA, etc.) | 美国业务 |
| Brazil | LGPD | 巴西客户群 |
跨司法管辖区处理要求
对于受多个司法管辖区管辖的数据：
| 场景 | 司法管辖区 | 处理方式 |
|---|---|---|
| 英国客户健康数据 | UK GDPR + 如果与美国健康保险公司共享，则可能涉及 HIPAA | RESTRICTED；满足 Art. 9(2) 条件；如果与美国受监管实体共享，则需签订 HIPAA BAA |
| 加利福尼亚州员工生物特征数据（指纹） | CCPA + Illinois BIPA + GDPR（如果数据主体位于欧盟） | RESTRICTED；取得 CCPA 同意 + BIPA 书面同意 + 满足 GDPR Art. 9(2)(a) |
| 巴西客户财务数据 | LGPD + GDPR（如果从欧盟转移） | CONFIDENTIAL；满足 LGPD 合法依据 + GDPR Chapter V 转移保障措施 |
| 跨境员工 HR 数据 | UK GDPR + CCPA + LGPD | CONFIDENTIAL（如果包含健康／多元化数据，则为 RESTRICTED）；同时满足这三套框架 |
监管先例
- Meta Platforms Ireland（EDPB Binding Decision 01/2023）：因欧盟与美国之间的数据转移被处以 12 亿欧元罚款，凸显了数据跨境流动时进行司法管辖区映射的重要性
- Sephora（CCPA 执法，2022 年）：因未尊重消费者拒绝出售个人信息的选择，与加利福尼亚州总检察长达成 120 万美元和解，体现了 CCPA 特定的分类义务
- ANPD Brazil（2023 年）：因对敏感个人数据采取的安全措施不足而实施首批 LGPD 行政处罚，证实了 LGPD 的执法趋势
集成点
- personal-data-test：GDPR 个人数据测试是基础；跨司法管辖区分类会在此基础上增加额外要求
- special-category-data：GDPR 特殊类别对应其他司法管辖区的敏感数据
- classification-policy：跨司法管辖区映射得出的统一级别将纳入企业分类政策
- data-inventory-mapping：数据清单必须记录每个数据元素适用的司法管辖区