gdpr-dsgvo-expert

gdpr-dsgvo-expert skill の概要

gdpr-dsgvo-expert の用途

gdpr-dsgvo-expert は、GDPR とドイツの DSGVO/BDSG に関するレビュー作業に特化したコンプライアンス重視の skill です。AI エージェントがコードベースからプライバシーリスクの兆候を検出し、DPIA 資料を作成し、GDPR 監査への準備状況を確認し、Article 12(3) の「1か月」期限ロジックに沿ってデータ主体の権利リクエストを追跡するのに役立ちます。

単なる「GDPR をチェックして」という汎用プロンプトではなく、構造化されたプライバシーコンプライアンス支援が必要な場面で使う skill です。特に相性がよいのは、Compliance Review、プライバシーエンジニアリング、内部監査の準備、DPIA のドラフト作成、DSAR ワークフロー支援、BDSG 要件を含むドイツ固有のプライバシーチェックです。

向いているユーザーと導入価値

gdpr-dsgvo-expert skill は、プライバシーチーム、DPO 支援担当者、コンプライアンスマネージャー、セキュリティレビュー担当者、データ処理機能をリリースするプロダクトチーム、法務レビュー前にプライバシー上の論点を洗い出したい開発者に特に有用です。

実務上の価値は、参照ガイドと実行可能なスクリプトを組み合わせている点にあります。

• scripts/gdpr_compliance_checker.py は、リポジトリ内の個人データらしきパターンやリスクのある実装をスキャンします。
• scripts/dpia_generator.py は、処理活動の入力情報から構造化された DPIA 文書を生成します。
• scripts/data_subject_rights_tracker.py は、GDPR 上の権利リクエストと期限を追跡します。
• references/ には、GDPR、DPIA、監査、ドイツの BDSG に関する背景情報が含まれています。

インストール前に理解しておくべき境界線

この skill は、Data Protection Officer、弁護士、監督機関の解釈に代わるものではありません。問題になりそうな箇所の特定、証拠の整理、コンプライアンス成果物のドラフト作成は支援できますが、最終判断は有資格のプライバシー／法務レビュー担当者に委ねるべきです。

また、これは包括的な GRC プラットフォームでもありません。企業全体のプライバシー運用における記録システムとして使うには、ストレージ、アクセス制御、監査ログを調整する必要があります。基本的には、評価支援のためのエージェント skill とローカルスクリプトとして使うのが最も適しています。

gdpr-dsgvo-expert skill の使い方

gdpr-dsgvo-expert のインストールとリポジトリパス

利用している skill manager から GitHub リポジトリを指定してインストールします。例:

npx skills add alirezarezvani/claude-skills --skill gdpr-dsgvo-expert

ソースパスは次のとおりです。

ra-qm-team/skills/gdpr-dsgvo-expert

インストール後は、まず SKILL.md を読み、その後で次のファイルを確認します。

• references/gdpr_compliance_guide.md
• references/dpia_methodology.md
• references/gdpr_audit_playbook.md
• references/german_bdsg_requirements.md
• scripts/gdpr_compliance_checker.py
• scripts/dpia_generator.py
• scripts/data_subject_rights_tracker.py

この順番で読むと、法務・コンプライアンス上のワークフローと、スクリプトに組み込まれている前提の両方を把握しやすくなります。

信頼できる結果に必要な入力情報

コードレビューでは、リポジトリパス、アプリケーションの目的、ユーザー種別、データカテゴリ、対象法域、第三者処理者、ログ方針、保存期間ルール、特別カテゴリデータを処理する可能性の有無を提供します。

DPIA では、処理目的、適法根拠、データ主体、データ項目、処理規模、自動意思決定、プロファイリング、監視、EU 域外移転、セキュリティ対策、保存期間を含めます。

弱いプロンプトの例:

Check this app for GDPR issues.

より効果的な gdpr-dsgvo-expert の利用プロンプト例:

Use gdpr-dsgvo-expert for Compliance Review of this SaaS billing service. Scan the repository for personal data handling, logging of identifiers, consent or lawful-basis gaps, retention risks, and third-country transfer concerns. The service processes customer names, emails, billing addresses, VAT IDs, payment provider tokens, IP addresses, and support messages for EU and German customers. Output findings by GDPR article, severity, affected files, likely remediation, and items requiring DPO/legal review.

付属スクリプトの実行

コードベースをスキャンする場合:

python scripts/gdpr_compliance_checker.py /path/to/project

レビューパイプラインに載せやすい JSON 出力を得る場合:

python scripts/gdpr_compliance_checker.py . --json --output report.json

DPIA を生成する場合:

python scripts/dpia_generator.py --interactive

または:

python scripts/dpia_generator.py --input processing_activity.json --output dpia_report.md

DSAR を追跡する場合:

python scripts/data_subject_rights_tracker.py add --type access --subject "Jane Doe"

その後、ステータス確認またはレポート作成を行います。

python scripts/data_subject_rights_tracker.py list

python scripts/data_subject_rights_tracker.py report --output compliance_report.json

実際のレビューでの推奨ワークフロー

まずリポジトリスキャンから始め、その結果をリスクと GDPR との関連性で分類するようエージェントに依頼します。次に、各論点を証拠に紐づけます。対象となるのは、ファイル、ログ、データベース項目、API エンドポイント、ベンダー、保存期間ルールなどです。処理が高リスクに見える場合は、DPIA の参照資料とジェネレーターを使って DPIA のドラフトを作成します。

ドイツでの事業運用が関係する場合は、DPO 任命の閾値、§ 26 BDSG に基づく従業員データ、ビデオ監視、信用スコアリング、ドイツの監督機関対応への備えなど、BDSG の観点を明示的に確認するよう skill に依頼してください。

gdpr-dsgvo-expert skill FAQ

gdpr-dsgvo-expert だけで法令遵守は十分ですか？

いいえ。gdpr-dsgvo-expert は、コンプライアンス分析、文書化、論点発見を支援できますが、拘束力のある法的結論を出すことはできません。出力は、DPO、プライバシー法務担当、セキュリティ責任者、コンプライアンスオーナーが確認するための構造化されたレビュー材料として扱ってください。

通常の GDPR プロンプトより何が優れていますか？

汎用プロンプトは、主にモデルの記憶とユーザーの指示に依存します。gdpr-dsgvo-expert skill は、定義済みのワークフロー、GDPR/BDSG の参照資料、DPIA 方法論、監査プレイブック資料、さらにコードスキャン、DPIA 生成、DSAR 期限追跡のための Python ユーティリティを追加します。そのため、より再現性が高く、内容を検証しやすくなります。

この skill を使うべきでないケースは？

認証済みツール、エンタープライズ向けケース管理、規制当局に提出する前提の法的意見、本番システム全体にわたる自動データ検出、追加ガバナンスなしで防御可能な記録が必要な場合は、唯一のプライバシー統制として使うべきではありません。また、処理の文脈を提供できない場合にも適していません。コードだけでは、適法根拠、同意の有効性、保存期間遵守を証明できないことが多いためです。

ドイツの DSGVO/BDSG に関する論点に対応していますか？

はい。リポジトリには references/german_bdsg_requirements.md が含まれており、DPO 任命の閾値、従業員データ、ビデオ監視、信用スコアリング、州のデータ保護に関する文脈など、ドイツ固有の領域を扱っています。ドイツ向けレビューでは、事業拠点、従業員数、処理の種類、従業員データまたは監視データの有無を明記してください。

gdpr-dsgvo-expert skill を改善する方法

よりよい文脈で gdpr-dsgvo-expert の結果を改善する

品質を最も大きく左右するのは、ソースコードだけでは分からない運用上の文脈です。データフロー図、RoPA エントリ、ベンダー一覧、cookie／同意の挙動、保存スケジュール、ホスティング地域、サブプロセッサ、侵害時対応手順、プライバシーノーティスを含めてください。

「GDPR リスク」を尋ねるのではなく、具体的な成果物を依頼します。

Produce a DPIA gap review for this feature. Identify whether Article 35 triggers apply, list missing information, assess risks to data subjects, propose mitigations, and separate engineering fixes from DPO/legal decisions.

注意すべきよくある失敗パターン

チェッカーは、テストデータ、サンプルのメールアドレス、無害なパターンを個人データとして検出することがあります。また、適法根拠が不明確、保存期間が過剰、同意設計が無効、処理者レビューが未実施、国際移転の保護措置が不十分といった、文脈依存のリスクを見落とす可能性もあります。

AI が生成した DPIA は、一見完成度が高く見えても、必要な証拠が欠けている場合があります。すべての結論について、リポジトリ上の証拠、ユーザーが提供した事実、または明確な「unknown / needs confirmation」ステータスのいずれかを示すよう求めてください。

最初の出力後に反復する

最初に gdpr-dsgvo-expert のガイド形式の出力を得たら、対象読者に合わせて精緻化を依頼します。

• エンジニア向け: ファイル単位の指摘、コードパターン、修正タスク。
• コンプライアンス向け: 条文マッピング、リスクレベル、証拠ギャップ、オーナー。
• DPO／法務向け: 未解決の判断事項、高リスク処理、意思決定ポイント。
• 監査準備向け: 統制、記録、期限、収集すべき証跡。

本格利用前にプロジェクト固有のルールを追加する

継続利用の品質を高めるには、組織のプライバシー基準をプロンプトやローカルのラッパー文書に追加します。承認済みの適法根拠、保存期間、同意ルール、処理者承認プロセス、暗号化要件、DSAR ワークフローの担当者、エスカレーション基準などです。

スクリプトを調整する場合は、内部識別子、顧客 ID、CRM 項目、ログ形式、分析イベント、国別のデータカテゴリなど、組織固有のパターンを追加してください。これにより gdpr-dsgvo-expert は、一般的なコンプライアンス支援ツールから、より精度の高いレビューアシスタントになります。