关于 regulatory-audit-generator
regulatory-audit-generator 是一项 Agent 技能，可将业务场景整理为结构化合规检查清单。它识别可能适用的法规、标注风险等级并提出整改建议，涵盖 PIPL 和 GDPR 等框架。
主要功能
- 01收集业务、用户和数据流信息
- 02识别可能适用的法规
- 03生成结构化合规检查清单
- 04标注高、中、低风险
- 05排列整改事项优先级
- 06提供通俗易懂的合规说明
适用场景
- 01评估计划推出的产品功能的合规需求
- 02审查数据收集和跨境传输
- 03为现有服务制定整改优先级
- 04向非法律团队解释合规要求
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/regulatory-audit-generator确认已加载。
附带文件LICENSE
详细介绍
监管审计生成器 — 业务场景合规清单生成工具
根据用户的业务场景描述识别适用的法律法规，并输出结构化合规清单，涵盖 GDPR、PIPL（个人信息保护法）、广告法、网络安全法和数据安全法等主要法规。
快速开始
用户只需描述业务场景，Agent 就会：
- 识别适用法规：根据业务场景确定适用的法律法规
- 生成清单：输出结构化的检查项列表
- 标注风险等级：按严重程度排序，并标注高／中／低风险
- 提供整改建议：针对每项合规风险提供可执行的整改指导
用户只需说：
“我们即将推出用户画像功能——帮我创建一份合规清单。”
Agent 会引导用户提供必要信息，然后输出完整的合规清单。
1. 支持的监管框架
核心法规
| 法规 | 缩写 | 适用范围 | 重点关注领域 |
|---|---|---|---|
| 个人信息保护法 | PIPL | 在中国境内处理个人信息 | 知情同意、数据最小化、数据跨境传输 |
| 通用数据保护条例 | GDPR | 涉及欧盟用户数据 | 合法依据、数据主体权利、DPO、DPIA |
| 数据安全法 | DSL | 在中国境内开展的数据处理活动 | 数据分类分级、安全评估、重要数据出境 |
| 网络安全法 | CSL | 网络运营者 | 网络安全等级保护制度（MLPS）、日志留存、安全事件报告 |
| 广告法 | — | 广告发布与运营 | 禁用绝对化用语、虚假广告、医疗广告 |
| 电子商务法 | — | 电子商务经营者 | 信息披露、用户评价、搭售 |
| 反不正当竞争法 | — | 市场经营活动 | 商业贿赂、虚假宣传、侵犯商业秘密 |
| 消费者权益保护法 | — | 与消费者权益相关的活动 | 知情权、公平交易权、个人信息 |
行业专项法规
| 行业 | 相关法规／标准 |
|---|---|
| 金融 | 个人金融信息保护技术规范（JR/T 0171）、银行保险机构数据安全管理办法 |
| 医疗卫生 | 人口健康信息管理办法、医疗大数据标准 |
| 教育 | 《未成年人保护法》网络保护章节、《儿童个人信息网络保护规定》 |
| 汽车 | 《汽车数据安全管理若干规定》 |
| 移动应用 | 《App违法违规收集使用个人信息行为认定方法》、《常见类型移动互联网应用程序必要个人信息范围规定》 |
2. 合规检查流程（SOP）
步骤 1：收集业务场景信息
与用户确认以下关键信息：
| 维度 | 需确认的信息 | 示例 |
|---|---|---|
| 业务描述 | 功能／服务的具体内容 | “基于行为数据推荐商品的用户画像功能” |
| 用户群体 | 目标受众的地理区域和人口特征 | “中国大陆用户，包括未成年人” |
| 数据类型 | 收集／处理哪些数据 | “姓名、电话号码、浏览历史、位置数据” |
| 数据流 | 数据存储、传输和共享详情 | “存储在阿里云华东节点，与第三方广告平台共享” |
| 业务阶段 | 新上线／现有系统需要整改／并购尽职调查 | “新功能，计划于下个月上线” |
| 现有措施 | 已落实的合规措施 | “已有隐私政策，但尚未完成个人信息保护影响评估” |
如果用户未提供某些信息，Agent 应主动提出后续问题，而不是自行假设或跳过。
步骤 2：确定适用法规
根据已收集的信息，按照以下规则确定适用法规：
IF processing personal information → PIPL
IF involving EU users → GDPR
IF involving data storage/transmission → Data Security Law + Cybersecurity Law
IF involving advertising/marketing content → Advertising Law
IF involving e-commerce transactions → E-Commerce Law
IF involving minors → Minors Protection Law + Provisions on Protection of Children's Personal Information Online
IF cross-border data transfer (overseas storage/transmission/access) → PIPL Chapter 3 + Measures for Security Assessment of Data Export
IF involving sensitive personal information → PIPL Chapter 2 Section 2 (separate consent + PIIA)
IF involving automated decision-making → PIPL Article 24 (transparency + right to refuse)
IF involving financial data → JR/T 0171
步骤 3：生成合规检查清单
按照以下结构输出检查清单：
检查清单输出格式
# [Business Scenario Name] Compliance Checklist
**Assessment Date**: YYYY-MM-DD
**Business Description**: [Brief description]
**Applicable Regulations**: [List of regulations]
## Checklist
| No. | Check Item | Legal Basis | Risk Level | Current Status | Remediation Advice |
|-----|-----------|-------------|------------|----------------|-------------------|
| 1 | [Check item description] | [Regulation name + article number] | High/Medium/Low | Compliant/Non-compliant/To be confirmed | [Specific advice] |
## Risk Summary
- High-risk items: X items
- Medium-risk items: X items
- Low-risk items: X items
## Priority Remediation Recommendations
1. [Highest priority remediation item and rationale]
2. [Second highest priority item and rationale]
步骤 4：输出整改优先级
按照以下规则确定整改措施的优先级：
| 优先级 | 标准 | 说明 |
|---|---|---|
| P0 — 立即处理 | 高风险 + 当前不合规 | 可能面临行政处罚、服务停业 |
| P1 — 本周完成 | 高风险 + 待确认，或中风险 + 不合规 | 存在重大合规风险 |
| P2 — 本月完成 | 中风险 + 待确认 | 需要进一步评估和改进 |
| P3 — 持续优化 | 低风险 | 建议改进，但不紧急 |
3. 常见业务场景检查要点
场景 1：用户注册和登录
| 检查项 | 法律依据 | 说明 |
|---|---|---|
| 是否有隐私政策／用户协议？ | PIPL 第 17 条 | 必须在注册前展示并取得同意 |
| 是否仅收集必要的个人信息？ | PIPL 第 6 条 | 注册阶段仅应要求提供电话号码／电子邮箱；不得强制要求身份证号码等信息 |
| 第三方登录是否披露数据共享情况？ | PIPL 第 23 条 | 通过微信／支付宝登录时，必须披露共享哪些信息 |
| 密码是否加密存储？ | CSL 第 21 条 | 禁止以明文存储密码 |
| 是否支持注销账号？ | PIPL 第 47 条 | 必须提供便捷的账号注销渠道 |
场景 2：营销和广告
| 检查项 | 法律依据 | 说明 |
|---|---|---|
| 发送营销短信／电子邮件前是否取得同意？ | PIPL 第 13 条、Advertising Law 第 43 条 | 必须取得用户明确同意 |
| 是否提供退订机制？ | Advertising Law 第 43 条 | 每条营销信息都必须包含退订方式 |
| 广告文案是否包含禁止使用的最高级用语？ | Advertising Law 第 9 条 | 禁止使用“最佳”“第一”“国家级”等绝对化用语 |
| 是否可以关闭基于画像的推荐？ | PIPL 第 24 条 | 必须提供非个性化内容选项 |
| 广告是否明确标注“广告”？ | Advertising Law 第 14 条 | 大众传播渠道必须明确标注广告 |
场景 3：跨境数据传输
| 检查项 | 法律依据 | 说明 |
|---|---|---|
| 是否达到安全评估申报门槛？ | 《数据出境安全评估办法》第 4 条 | 处理 100 万人以上的个人信息，或累计出境 10 万人以上的个人信息 / 1 万条以上的敏感信息记录 |
| 是否已签署标准合同？ | 《个人信息出境标准合同办法》 | 未达到申报门槛时，可以签署标准合同 |
| 是否已完成个人信息保护影响评估？ | 《个人信息保护法》第 55 条 | 数据出境前必须完成个人信息保护影响评估 |
| 是否已告知用户并取得单独同意？ | 《个人信息保护法》第 39 条 | 必须披露境外接收方的信息 |
| 境外接收方的数据保护能力如何？ | 《个人信息保护法》第 38 条 | 必须评估接收方的数据保护标准 |
场景 4：用户画像与个性化推荐
| 检查项 | 法律依据 | 说明 |
|---|---|---|
| 是否披露自动化决策的逻辑？ | 《个人信息保护法》第 24 条 | 必须向用户保持透明 |
| 是否提供关闭个性化推荐的选项？ | 《个人信息保护法》第 24 条 | 用户有权拒绝 |
| 是否针对用户画像开展个人信息保护影响评估？ | 《个人信息保护法》第 55 条 | 将个人信息用于自动化决策时必须进行评估 |
| 用户画像标签是否涉及敏感信息？ | 《个人信息保护法》第 28 条 | 与宗教、健康、金融等相关的标签属于敏感信息 |
| 是否限制用户画像结果的使用范围？ | 《个人信息保护法》第 24 条 | 不得在交易价格等领域实施不合理的差别待遇 |
场景 5：GDPR 合规（针对欧盟用户）
| 检查项 | 法律依据 | 说明 |
|---|---|---|
| 是否已确立合法的处理依据？ | GDPR 第 6 条 | 六种依据之一：同意、合同、法律义务、合法利益等 |
| 是否已任命 DPO？ | GDPR 第 37 条 | 大规模处理或处理特殊类别数据时必须任命 |
| 是否已完成 DPIA？ | GDPR 第 35 条 | 高风险处理活动必须进行评估 |
| 是否支持数据可携权？ | GDPR 第 20 条 | 必须以结构化、机器可读的格式提供数据 |
| 是否能在 72 小时内报告数据泄露？ | GDPR 第 33 条 | 发现泄露后，必须在 72 小时内通知监管机构 |
| Cookie 横幅是否合规？ | GDPR + ePrivacy | 必须取得主动同意；不得预先勾选选项 |
| 是否保存处理活动记录？ | GDPR 第 30 条 | 员工人数达到 250 人以上，或处理活动并非偶尔进行的组织必须保存 |
4. 风险等级标准
| 风险等级 | 标准 | 可能后果 |
|---|---|---|
| 高 | 违反法律强制性规定；非法处理敏感个人信息；缺乏合法依据；未经评估即进行数据出境 | 行政处罚（罚款）、服务关停、刑事责任 |
| 中 | 合规措施尚不完整，但已具备基础；告知不充分；同意机制存在缺陷；部分安全措施存在不足 | 监管约谈、责令限期整改、用户投诉 |
| 低 | 未达到最佳实践要求，但不违法；文档不完整；流程仍可优化 | 审计发现、内部改进 |
5. 交付成果
Agent 最终应向用户交付以下内容：
- 合规检查清单表：列出所有检查项、法律依据、风险等级、当前状态和整改建议
- 风险摘要：统计高 / 中 / 低风险项的数量
- 优先整改路线图：按 P0–P3 排列的整改行动清单
- 补充说明：用通俗易懂的语言解释关键合规要求，帮助非法律人员理解
6. 免责声明
- 法规时效性：法律法规不断更新。应根据最新版本核实清单中的法规引用。Agent 应提醒用户关注最新的法规动态。
- 非法律建议：本清单仅供参考，不构成法律建议。对于重大合规决策，建议咨询合格的律师。
- 行业差异：不同行业有各自特定的监管要求。应调整清单，以纳入行业特定考量。
- 持续合规：合规不是一次性工作。建议定期重新评估（至少每六个月一次）。
参考资料
- 《中华人民共和国个人信息保护法》（PIPL，2021）
- 《中华人民共和国数据安全法》（DSL，2021）
- 《中华人民共和国网络安全法》（CSL，2017）
- 《中华人民共和国广告法》（2018 年修正）
- 欧盟《通用数据保护条例》（GDPR，2018）
- 《个人信息出境标准合同办法》（2023）
- 《数据出境安全评估办法》（2022）
- GB/T 35273-2020《信息安全技术 个人信息安全规范》
评论
支持 Markdown