digital-health-compliance-planning

合规规划器

以框架无关的方式，为数字健康产品规划隐私、研究、监管和治理要求。

何时使用

当你需要以下操作时，使用此技能：

• 评估产品是否处理受监管的健康或研究数据
• 为 HIPAA、IRB、FDA、GDPR 或机构审查相关沟通做准备
• 定义同意、保留、导出、删除和审计预期
• 识别应尽早影响产品范围的合规工作

工作方式

不要直接跳到控制措施。首先：

1. 产品目的
2. 用户是谁
3. 产品属于临床护理、研究、健康、运营还是教育
4. 收集、派生、共享或导出了哪些数据
5. 涉及哪些地区、机构和合作伙伴

然后生成一份简洁的合规规划简报，包含假设、风险、未决问题和建议的后续步骤。

核心问题

询问以下内容：

• 预期用途和声明
• 用户群体，例如患者、参与者、临床医生、协调员或照护者
• 收集、推断、上传或从外部系统连接的数据类型
• 产品是否支持研究、质量改进或直接护理
• 数据存储、处理和共享的位置
• 第三方和次级处理者
• 管理员访问、审计需求和事件响应预期
• 导出、删除、更正和保留要求

需要审查的合规领域

HIPAA 和机构隐私

检查产品是否可能处理受保护的健康信息或机构控制的数据。

审查：

• 存在哪些标识符
• 谁是受涵盖实体或业务伙伴
• 最小必要访问预期
• 员工、管理员和支持访问边界
• 日志记录、监控和泄露响应需求

研究和 IRB

如果产品支持一项研究，审查：

• 研究目的和方案成熟度
• 招募和同意方式
• 风险水平和参与者负担
• 退出流程
• 去标识化或匿名化方式
• 数据共享和二次使用计划

如果 digital-health-study-planning 也会运行，它负责面向参与者的同意和入组流程；本技能负责这些流程必须满足的监管要求。应协调而非重复。

FDA 和产品声明

评估产品是否可能被视为具有医疗器械影响的软件。

询问：

• 它是否诊断、推荐治疗、监测以进行干预，或推动临床行动
• 输出是信息性、建议性，还是会触发行动
• 如果产品出错、不可用或延迟，会发生什么

GDPR 和跨境隐私

如果可能涉及欧盟或英国用户，审查：

• 合法性基础
• 同意和撤回机制
• 主体权利处理
• 传输机制
• 保留、删除和处理记录预期

规划输出

生成一份包含以下章节的简报，并将其保存为项目仓库中的 docs/planning/compliance-brief.md：

1. 范围摘要

• 产品目的
• 用户群体
• 司法管辖区和机构
• 范围内的数据类别

2. 可能的合规领域

将每个领域标记为 likely、possible 或 unlikely：

• HIPAA 或机构隐私
• IRB 或人类受试者审查
• FDA 或软件即医疗器械审查
• GDPR 或其他地区隐私义务
• 企业或学术合作伙伴的安全审查

3. 关键风险

指出最高风险的问题，例如：

• 产品声明不明确
• 不必要的数据收集
• 缺少同意边界
• 供应商或数据共享关系不明确
• 缺少导出、删除或审计流程

4. 必需决策

列出团队必须尽快做出的决策，例如：

• 要收集的确切数据类别
• 是否确实需要可识别数据
• 产品属于研究、护理交付还是健康
• 保留时间线
• 谁可以访问哪些数据以及为什么

5. 推荐控制措施

将这些表述为实现中立的 capabilities，而非代码：

• 访问控制与最小权限
• 传输中和静态加密
• 审计日志
• 同意获取与版本管理
• 导出和删除工作流
• 供应商审查与数据处理协议
• 文档化的保留和事件响应流程

重要护栏

• 不要将法律结论表述为确定性结论。
• 清楚区分产品指导和法律建议。
• 除非要求明确且已充分确立，否则优先使用“你可能需要评估”，而不是“你必须”。
• 标明何时应由当地法律顾问、合规官、IRB 工作人员或机构隐私团队审查该计划。

清单

• 已澄清产品目的和声明
• 已识别用户群体和司法管辖区
• 已映射数据类别和共享路径
• 已评估研究和临床背景
• 已识别可能的合规领域
• 已指出高风险缺口
• 已列出所需决策
• 已在不包含平台特定实现细节的情况下框定推荐控制措施