Action compliance check

何时使用

当用户描述一项拟定的行动、产品功能、营销活动或业务举措，并想在推进前知道"会不会踩合规线、需要谁批、有哪些辖区要求"时使用。典型触发：

• "我们想上一个现金奖励的推荐返利活动"
• "App 要加生物特征认证"
• "要把欧盟客户数据放到美国机房处理"
• "市场部想在广告里用客户证言"

核心产出：一份合规扫描报告，给出放行 / 有条件放行 / 需进一步审查的总体判定，并列清适用法规、要求差距、风险点与所需审批。

不该用的边界（务必遵守）：

• 不出具正式法律意见——本技能辅助梳理合规工作流，最终评估须由有资质的法律人士复核。
• 不替非律师"批准上线"——批准是法律行为，须经律师/合规负责人签字。
• 不做单一法规的深度落地（如完整的 GDPR 工程实现）——那应转给 gdpr-data-handler、dsar-response-builder、privacy-impact-assessor 等专项技能。
• 监管要求频繁变动——任何条款、时限、阈值都须对照权威一手来源核验当前生效版本，不得凭模型记忆陈述。

步骤

第一步：补齐三要素。 让用户把举措说"具体"。问清并锁定：

1. 做什么——"给全体用户群发邮件"远好于"做个营销活动"。
2. 在哪做——地域决定适用辖区，合规要求随辖区变。
3. 碰什么数据——涉及哪些个人数据，这是大多数合规要求的触发点。

第二步：识别适用法规与政策。 结合举措与数据/辖区，研究当前生效的适用规则（隐私、广告、行业监管、平台政策、公司内部政策），逐条映射到本举措。常见隐私法速查见下方"指令"。

第三步：做要求差距分析。 对每条适用要求，判定状态（已满足 / 未满足 / 未知）并给出待办动作。

第四步：识别风险点并定级。 每个风险标 高/中/低 严重度，配缓解措施。

第五步：列所需审批。 哪些人/团队（法务、隐私官/DPO、安全、市场负责人等）须签字，以及原因。

第六步：产出报告。 按下方固定模板输出，并把"放行：是"作为闸门——非律师审查时须提示先经律师复核。

指令

输出固定结构（Markdown）：

## 合规检查：[举措名]

### 总体判定
[放行 / 有条件放行 / 需进一步审查]

### 适用法规与政策
| 法规/政策 | 如何适用 | 关键要求 |
|---|---|---|
| [GDPR / CCPA / HIPAA / …] | [适用理由] | [你需要做什么] |

### 要求差距
| # | 要求 | 状态 | 待办动作 |
|---|---|---|---|
| 1 | [要求] | [已满足/未满足/未知] | [怎么做] |

### 风险点
| 风险 | 严重度 | 缓解措施 |
|---|---|---|
| [风险] | [高/中/低] | [如何应对] |

### 建议动作（按优先级）
1. [最重要] 2. [次要] 3. [第三]

### 所需审批
| 审批方 | 原因 | 状态 |
|---|---|---|
| [人/团队] | [理由] | [待办] |

### 建议进一步审查
[需外部律师或专家复核的领域]

• 只引用与本举措真正相关的法规。 把所有隐私法一股脑列出会淹没承重的那一两条；每条法规须映射到一句"为何适用"，否则删掉。
• 不得静默补漏。 若向配置的法律检索工具查询返回结果稀少或为零，如实报告并停止；不要擅自用网络搜索或模型知识填补。应给出选项（放宽查询 / 换工具 / 网络搜索结果标 [web search — verify] / 标未核实并停）让律师决定。
• 来源分层标注。 成文法/法规等稳定知识标 [settled]（仍需核但优先级低）；具体执法案例、阈值、生效日、近期更新标 [verify]；精确定位引用（具体子条款、CFR 分编、判例段号）标 [verify-pinpoint]，伪造风险最高，必须对照一手来源核验。
• "放行：是"是闸门。 输出此结论前确认审查者身份；若为非律师，提示先与律师复核并生成一页简报。"有条件放行""需进一步审查"是判定而非批准，不受此闸门约束。

隐私法速查（关键义务与时限，引用前须核当前版本）：

法规	辖区	关键要点
GDPR	欧盟/EEA（数据落在欧盟即适用，不论机构在哪）	每项处理须有合法性基础（Art.6）；数据主体权利30 天内响应（复杂可延 60 天）；高风险处理须做 DPIA；个人数据泄露72 小时内通知监管机构；维护 Art.30 处理记录；跨境传输须有 SCC/充分性认定/BCR 等保障
CCPA/CPRA	美国加州	知情权、删除权、退出"出售/共享"权、更正权、限制敏感个人信息使用权、不歧视；收集时/前须给隐私通知；10 个工作日内确认收到、45 个日历日内实质响应（可延 45 天）
LGPD（巴西）、PIPL（中国，跨境从严+本地化）、UK GDPR（ICO 监管）、PDPA（新加坡）、Privacy Act/APP（澳大利亚）、POPIA（南非）、PIPEDA（加拿大）	各辖区	多与 GDPR 同源但时限、DPO 要求、跨境与本地化规则各异，按辖区单独核

示例

输入： "我们要把欧盟客户数据放到美国机房处理。"

报告（节选）：

## 合规检查：欧盟客户数据在美机房处理

### 总体判定
有条件放行

### 适用法规与政策
| 法规/政策 | 如何适用 | 关键要求 |
|---|---|---|
| GDPR [settled] | 处理对象为欧盟个人数据，触发跨境传输规则 | 须有合法传输机制（SCC/充分性认定/BCR） |
| Schrems II 后的传输影响评估 [verify] | 传至无充分性认定的美国 | 完成 TIA 并配补充措施 |

### 风险点
| 风险 | 严重度 | 缓解措施 |
|---|---|---|
| 无有效传输机制，传输可能被认定违法 | 高 | 签署 2021 版 EU SCC（选对模块）+ 完成 TIA |
| 机房分包商再传输不可控 | 中 | DPA 约束分包商、限定处理地点 |

### 所需审批
| 审批方 | 原因 | 状态 |
|---|---|---|
| 隐私官/DPO | 跨境传输机制审定 | 待办 |
| 安全团队 | 静态/传输加密等补充措施 | 待办 |

注意事项

• 越具体越准。 "群发邮件"要写清对象、地域、所涉数据，否则判定会失真——这正是第一步要补齐三要素的原因。
• 不替代律师。 本技能做的是结构化梳理与初筛，正式意见与上线批准须经合规/法律复核。
• 时效性是高发坑。 充分性认定、SCC 版本、州 UDAP、平台规则都频繁更新；无法核实当前要求时，标记交律师核验，绝不陈述未经确认的规则。
• 引用核查声明随报告输出： 本报告所引法规、案例、阈值与生效日由 AI 生成、未对照一手来源核验，依赖前须用权威来源核准确性与当前生效日。

互见

• requires：无
• related：general-counsel-advisor —— 跨领域法律风险初判与升级路径；regulatory-policy-diff —— 追踪法规变更对本举措的影响。
• combines_with：privacy-impact-assessor —— 当举措触及个人数据时下钻做 DPIA；gdpr-data-handler / dsar-response-builder / dpa-clause-reviewer —— 命中 GDPR/数据主体请求/数据处理协议时的专项落地；marketing-claims-reviewer —— 营销举措的声明合规审查。

---

本条采编自 anthropics/knowledge-work-plugins（Apache-2.0）。