Pii handling review

Purpose

「不要な個人情報を集めて漏らす」「消せない設計」のリスクを防ぐ。 PII のライフサイクル（収集〜削除）を点検し、最小化・保護・説明責任を確保する。

Use When

• 個人情報を収集・保存する機能を設計するとき
• 外部公開・ログ出力・分析でデータを扱うとき
• 「この情報、本当に持つ必要があるか」を確認したいとき
• 公開・共有ゲート（GATE-3）の前段で PII を点検したいとき

Inputs

以下を準備すること。不足している場合は推測せず、不足を明示する。

• 対象データ: 扱う項目（氏名・連絡先・決済情報等）
• 利用目的: 何のために収集・利用するか
• 保存先・経路: どこに保存し、どこへ送るか
• 保持期間: いつまで保持し、どう削除するか

Output Contract

以下の順で出力すること。順序を変えない。

1. 論点: PII 取り扱いで最も危ういのはどこか
2. 根拠: その論点をそう判断した理由
3. PII ライフサイクル表: 収集 / 保存 / 利用 / 開示 / 削除の評価
4. 含意: 不適切な取り扱いが招く影響（漏洩・信頼喪失）
5. 改善案: 最小化・マスキング・暗号化・削除設計の打ち手
6. 代替案: PII を持たない／仮名化する設計
7. 判断材料: 取り扱い確定に必要な人間の確認事項

Review Lens

• 目的妥当性: 各項目が利用目的に対して本当に必要か
• 範囲の過不足: 目的外の項目を集めていないか（最小化）
• 中長期リスク: 保持し続けることのリスク・削除の困難さ
• LAB全体との整合性: LMS / 自動化 / B2B 展開のデータ方針と整合するか
• 非エンジニア理解可能性: 取り扱いを利用者に説明できるか
• 他LLM移植耐性: 判断が特定基盤の前提に依存していないか

Instructions

1. 扱う項目を列挙し、各項目の機微度を分類する
2. 各項目について利用目的との対応（必要性）を確認する
3. 目的に不要な項目は「収集しない」を第一候補にする
4. 保存時の保護（暗号化・マスキング・アクセス制限）を点検する
5. 削除・保持期間（誰が・いつ・どう消すか）を確認する
6. ログ・分析・外部送信に PII が混入していないか確認する
7. 不明な点は推測せず、確認事項として明示する

Guardrails

• 「念のため集める」を許容しない（最小化を徹底）
• PII をログ・URL・エラー通知に出さない設計を促す
• 削除手段のない収集を勧めない
• 取り扱いの最終判断は人間に委ねる

LAB Cross-Check

観点	状態	備考
自動化フロー	—	自動化が PII をログ・外部へ漏らさないか
データ / 認証 / ログ	—	保存・マスキング・削除を設計したか
実装 / 運用フロー	—	削除・開示請求への運用手順があるか
非エンジニア理解可能性	—	取り扱いを利用者に説明できるか
会員共有 / 再利用耐性	—	最小化方針が他機能にも転用できるか
他LLM移植耐性	—	判断が特定基盤に依存していないか

状態は OK / 注意 / NG / 対象外 で記入すること。

Handoff Notes

施工AI（Claude Code / Cursor 等）へ渡す前に以下を確定させること。

• 要件: 収集する項目・目的・保護方式・保持期間
• 成功条件: 最小化・保護が満たされたと判断する基準
• 失敗条件: PII 漏洩・目的外利用を検知する基準
• 実行範囲: 変更してよいデータ収集・保存・ログ
• 影響範囲: 変更が波及する機能・利用者
• ロールバック方針: 取り扱い変更が問題を起こした場合の戻し方
• コスト比較: 保護方式ごとの実装・運用コスト

Further Reading

• data-model-review skill — PII を含むスキーマの設計
• audit-log-design skill — PII アクセスの監査ログ
• auth-boundary-check skill — PII へのアクセス権限の境界
• judgment-gates.md — GATE-3（公開・共有ゲート）