# Use Case Triage > 快速判断某项处理活动是否需要个人信息保护影响评估、是否触发个保法第55条法定评估义务， 或可直接推进——同时排查个人信息处理规则冲突并路由至正确的下一步。当用户询问"这个需 要做PIA吗""对这个功能做隐私分诊""对X做隐私检查""从隐私角度看这个行不行"，或描述一 项新的个人信息处理活动、产品功能或供应商关系时使用。 - Skill: `cslawyer1985/use-case-triage` (Agent Skill) - Install (CLI): `npx skillmds@latest add cslawyer1985/use-case-triage` - Raw SKILL.md: https://api.skillmd.com/api/skills/cslawyer1985/use-case-triage/raw - Safety review: pending - Works with: Claude Code, Claude.ai, OpenAI Codex - Category: Coding & Dev Tools - Author: cslawyer1985 (https://skillmd.com/u/cslawyer1985) - Updated: 2026-09-17 - Page: https://skillmd.com/skills/cslawyer1985/use-case-triage --- # /use-case-triage 1. 读取 `~/.claude/plugins/config/claude-for-legal-zh/privacy-legal/CLAUDE.md`。确认隐私实践已配置——如未配置，停止并引导至设置。 2. 执行以下工作流。如活动描述模糊，先澄清。 3. 内部触发检查 → 法定评估检查（个保法第55条四类情形）→ 个人信息处理规则冲突检查。 4. 输出：分类（可直接推进 / 需影响评估 / 法定评估强制触发 / 停止）、理由、条件表（如需）、跨插件交接。 5. 如需评估，提议继续进入个人信息保护影响评估生成。 ``` /privacy-legal:use-case-triage "新功能：使用行为数据为用户个性化推荐内容" ``` --- # 个人信息处理活动分诊 ## 事项上下文 **事项上下文。** 检查实践级 CLAUDE.md 中的 `## 事项工作区`。如果 `已启用` 为 `✗`（法务用户的默认值），跳过本段——技能使用实践级上下文，事项机制不可见。如果已启用且无活动事项，询问："这是哪个事项？运行 `/privacy-legal:matter-workspace switch ` 或说 `实践级`。"加载活动事项的 `matter.md` 获取事项特定上下文和覆盖项。将输出写入事项文件夹 `~/.claude/plugins/config/claude-for-legal-zh/privacy-legal/matters//`。除非 `跨事项上下文` 为 `开启`，否则绝不读取其他事项的文件。 --- ## 目的地检查 在生成输出前，检查输出目的地。如果用户指定了目的地（渠道、分发列表、对方当事人、"所有人"），询问是否在保密圈内。公共渠道、全公司列表、对方当事人/对方律师、供应商和客户（就工作成果而言）会放弃保护。当目的地疑似在圈外时，标示并提供 (a) 仅供法务的保密版本，(b) 供更广泛渠道的净化版本，或 (c) 两者——不要默默加上保密抬头然后帮助粘贴到该抬头无法保护的地方。参见本插件 CLAUDE.md 中的 `## 共享护栏 → 目的地检查`。 ## 目的 回答在任何 PIA 之前出现的问题："这件事到底需不需要做评估？"如果需要，是什么类型，阻碍在哪里？ 隐私分诊比 PIA 生成更快，但在其上游。它不写评估报告——它确定是否需要评估以及需要什么条件。PIA 生成技能做深度工作。 输出为四种分类之一： - **可直接推进** — 无需影响评估。适用标准保障措施。 - **需影响评估** — 需要在部署前或并行进行评估。 - **法定评估强制触发** — 个保法第55条等法定评估义务被触发（引用主源法条）。门槛更高，个人信息保护负责人/法务负责人可能需介入。 - **停止** — 处理活动与个人信息处理规则冲突或缺乏合法性基础。需重新设计后方可推进。 ## 法域假设 本分诊假定你的配置中所指定的法域范围。隐私规则、评估触发条件和合法性基础因法域而异（个保法 vs. GDPR vs. 其他法域）。如果处理活动、处理者或受影响个人信息主体属于不同法域，本分类可能不直接适用。 ## 先读配置 分诊前，始终读取 `~/.claude/plugins/config/claude-for-legal-zh/privacy-legal/CLAUDE.md`。其中的 PIA 触发标准、监管覆盖范围和个人信息处理规则承诺是权威来源。通用隐私法推理不能替代公司实际作出的承诺。 如果文件缺失或包含 `[占位符]`，弹出此提示： > 我注意到你尚未配置实践档案——我据此定制 PIA 触发标准、监管覆盖范围和个人信息处理规则承诺。 > > **两个选择：** > - 运行 `/privacy-legal:cold-start-interview`（2分钟）配置你的档案，然后我将针对你的实践进行定制分诊。 > - 说 **"临时模式"** 我将按通用默认值分诊——中国法域、中等风险偏好、律师角色、无操作手册——并在每个输出上标注 `[临时模式 — 请配置实践档案以获取定制输出]`，供你在正式使用前看到我的能力。 ### 临时模式 如果用户说"临时模式"，使用以下通用默认值正常分诊：中等风险偏好、律师角色、中国法域（个保法 + 数据安全法 + 网络安全法）、无操作手册（按通用隐私法原则分类，而非匹配已配置的承诺）。在审核备注和每个发现块上标注 `[临时模式]`。在输出末尾附加： > "以上为基于默认假设的通用运行结果。运行 `/privacy-legal:cold-start-interview` 获取针对你实践的定制输出——你的监管覆盖范围、你的个人信息处理规则承诺、你的风险偏好。仅需 2 分钟。" --- ## 分诊流程 ### 第1步：理解活动 如果描述模糊，在分类前先澄清。具体了解： - 收集或处理哪些数据？哪些类别？ - 个人信息主体是谁——客户、员工、第三方？ - 目的是什么？解决什么问题？ - 是新的数据收集，还是对已有数据的重新利用？ - 是否有第三方供应商参与？新供应商还是已有供应商？ - 是否涉及自动化决策——输出会影响任何人？ - 部署场景是什么——仅内部、面向客户、公开？ "新功能"和"数据处理活动"不足以进行准确分诊。 --- ### 第2步：检查内部触发标准 读取 `~/.claude/plugins/config/claude-for-legal-zh/privacy-legal/CLAUDE.md` → `## PIA 内部规范` → 触发标准。适用这些标准。 如果内部触发条件满足 → 至少 **需影响评估**。 如果内部触发条件不满足，在得出"可直接推进"之前继续第3步。某些活动无论内部政策如何都需评估。 --- ### 第3步：法定评估检查 **在逐一检查法定触发条件之前，先问行业监管叠加问题。** 如果处理活动触及受特殊监管的数据类别，行业监管通常是主导框架，而非通用数据保护法，分诊需要尽早揭示这一点，而非作为事后补充。 > **行业监管叠加——首先询问：** > > 本处理活动是否涉及： > - **金融账户数据或消费者的"个人金融信息"**（《个人金融信息保护技术规范》JR/T 0171-2020 + 征信业管理条例——适用于金融机构及其非关联第三方；对金融信息共享施加实体性限制）？ > - **健康医疗数据，由医疗机构或健康医疗数据处理者持有**（《人口健康信息管理办法（试行）》+ 个保法 + 健康医疗大数据管理相关规定——对使用和披露施加实体性限制，涉及病历数据、健康档案等）？ > - **教育相关个人信息，由学校或为学校提供服务的教育信息化服务提供者处理**（个保法——知情同意要求，结合教育领域相关规定）？ > - **不满十四周岁未成年人的个人信息，由面向未成年人或实际知晓未成年人使用其服务的运营者收集**（《儿童个人信息网络保护规定》+ 个保法第31条——监护人知情同意、通知义务、严格的保留和共享限制）？ `[法条原文]` > - **其他行业性监管制度**（如《汽车数据安全管理若干规定（试行）》规定的汽车数据处理、《征信业管理条例》规定的征信数据、《关键信息基础设施安全保护条例》规定的CII数据等）？ > > 如果任一项为是：行业监管通常提供主导性的实体性限制，而不仅是个保法的豁免。请研究并引用具体规定后再继续。 然后，对 `~/.claude/plugins/config/claude-for-legal-zh/privacy-legal/CLAUDE.md` → `## 监管覆盖范围` 中的每个法域，**检索当前有效的法定个人信息保护影响评估触发条件**。引用现行有效的法律、行政法规、部门规章或网信办指引，附精准引用。注意生效日期——国家标准和部门规章更新频繁，不得依赖静态清单。不确定时标示供律师核实，而非猜测。 **个保法第55条法定评估触发情形（四类+兜底）** `[法条原文]`： 1. **处理敏感个人信息**（个保法第28条定义 `[法条原文]`：一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息） 2. **利用个人信息进行自动化决策**（个保法第24条 `[法条原文]`：利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇） 3. **委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息**（个保法第21-23条、第25条 `[法条原文]`） 4. **向境外提供个人信息**（个保法第38-40条 `[法条原文]` + 《数据出境安全评估办法》/《个人信息出境标准合同办法》） 5. **其他对个人权益有重大影响的个人信息处理活动** 如果**任何**适用制度的法定触发条件满足 → **法定评估强制触发**，无论内部触发标准如何。 **强指标（不一定触发法定义务，但强烈建议做评估）：** - 新技术应用或对现有技术的创新性使用 - 未成年人数据 - 合并原本分开收集的数据集 - 可能导致歧视的数据 - 个人信息主体不会预期的处理活动 - 跨场景行为广告或基于追踪的广告技术活动（面向消费者的公司常见问题，常引发处理规则承诺冲突和行业监管叠加） 有一个或多个强指标但未检索到法定触发条件 → 升级为 **需影响评估**（非法定强制，但在输出中标注）。 --- ### 第4步：个人信息处理规则冲突检查 读取 `~/.claude/plugins/config/claude-for-legal-zh/privacy-legal/CLAUDE.md` → `## 个人信息处理规则承诺`。逐项检查拟议活动是否与每项已声明的承诺一致。 **常见的需捕捉的冲突：** - 处理规则说"我们收集 X、Y、Z"——本活动收集 W。需先更新处理规则，或停止收集 W。 - 处理规则说"我们不会向第三方出售或共享数据"——本活动将数据传递给供应商用于其自身目的。需研究该数据流转是否属于各适用制度下的受监管"提供"或"共享"类别。 - 处理规则规定了保留期限——本活动的数据保留时间更长。 - 处理规则说"我们仅将数据用于[某目的]"——本活动在无重新获取同意或合法性基础评估的情况下用于新目的。 - 处理规则列明了提供的个人信息主体权利——本活动创建了现有权利流程无法覆盖的新数据类别。 如果存在直接冲突 → **停止**。不是"谨慎推进"——处理规则冲突必须先解决（更新处理规则或重新设计活动）才能推进。 --- ### 第5步：分类与输出 --- ### 结论 [需影响评估 / 法定评估强制触发 / 可直接推进 — 一句话说明理由] --- **活动描述：** [按你的理解陈述处理活动] **分类：** [可直接推进 / 需影响评估 / 法定评估强制触发 / 停止] **内部触发标准满足？** [是 / 否] **个保法第55条法定评估触发？** [是 — [触发情形] / 否 / 不适用] **个人信息处理规则冲突？** [无 / 有 — [具体冲突]] **理由：** [1-3句话。可直接推进：在现行处理规则下是安全的理由。需影响评估/法定评估：产生义务的原因。停止：存在冲突的具体处理规则承诺或原则。] --- *如 需影响评估 或 法定评估强制触发 — 推进前置条件：* | 要求 | 负责人 | 完成？ | |---|---|---| | [如：个人信息保护影响评估 — 完整格式] | [隐私法务] | ☐ | | [如：合法性基础评估（如需）] | [隐私法务] | ☐ | | [如：个人信息保护负责人咨询（法定评估路径）] | [个人信息保护负责人] | ☐ | | [如：供应商数据处理协议已签署] | [隐私 / 法务] | ☐ | | [如：个人信息处理规则上线前更新] | [隐私法务] | ☐ | | [如：同意机制已构建并测试] | [产品] | ☐ | | [如：个人信息主体权利流程覆盖新数据类别] | [隐私 / 产品] | ☐ | **合法性基础（个保法第13条）** `[法条原文]`：[告知同意 / 合同必需 / 法定义务 / 人力资源管理 / 合理处理已公开信息 / 紧急情况 / 其他 — 或"尚不明确 — 需在影响评估中确定"] **下一步 — 提议继续：** 在呈现"需影响评估"或"法定评估强制触发"结果后，始终以以下方式结束： > "需要我现在开始个人信息保护影响评估吗？我可以运行录入问题并生成评估文件，无需你另行运行单独命令。" 如果他们说好，加载 `pia-generation` 技能并在同一对话中继续——传递活动描述和已识别的任何触发条件。 如果他们说不用，分诊结果保持不变。评估可随时通过以下命令运行： `/privacy-legal:pia-generation [活动]` --- *如 停止：* **冲突：** [存在冲突的具体个人信息处理规则承诺或原则] **要推进，以下之一必须改变：** - [选项A — 重新设计活动以避免产生冲突] - [选项B — 更新个人信息处理规则以覆盖此处理活动（需审查更新本身是否与合法性基础一致）] 如果没有可行路径，不要提供。如果处理活动根本无法与已声明承诺或合法性基础调和，直接说明。 --- ### 第6步：跨插件交接 **AI 治理交接：** 如果活动涉及 AI 系统作出或影响关于个人的决策： > "本活动涉及 AI 决策。除个人信息保护影响评估外，可能还需进行算法安全评估和科技伦理审查。使用 `/ai-governance-legal:aia-generation [活动]` 并行运行——两者不可相互替代。" **产品法务交接：** 如果这是新产品功能或上线： > "如果这是产品上线的一部分，请同步产品法务。使用 `/product-legal:launch-review`——它将检测隐私组件并路由至本插件。" 仅在有实际意义时标注交接。不要将两者作为模板化内容附加。 --- ## 批量分诊 如果用户提交了功能列表、产品路线图或待办清单——先输出摘要表，然后展开每个非"可直接推进"条目： | # | 活动 | 分类 | 关键条件 / 阻碍 | |---|---|---|---| | 1 | [活动] | 🟢 可直接推进 | — | | 2 | [活动] | 🟡 需影响评估 | 需合法性基础评估；供应商数据处理协议未到位 | | 3 | [活动] | 🟠 法定评估强制触发 | 大规模敏感个人信息（个保法第55条第1项） | | 4 | [活动] | 🔴 停止 | 个人信息处理规则冲突 — 目的限制 | --- ## 边界情形和失败模式 **"数据已匿名化"不自动意味着"可直接推进"。** 询问匿名化方式以及在给定数据集下重新识别是否实际可行。假名化数据依据个保法仍为个人信息。 **"我们已经在做类似的事"不能替代分诊。** 从未被评估过的现有处理活动，不能为新处理活动提供"祖父条款"。如果新活动在规模、目的或数据类别上存在实质差异，重新分诊。 **"只是试点"不能跳过分诊。** 涉及真实用户或员工数据的试点同样受触发条件约束。适用相同分类；如需评估，试点也应完成评估。 **"供应商负责所有隐私事项。"** 供应商处理基础设施。你仍然是决定目的的个人信息处理者。如果个人信息流向供应商，需要有数据处理协议，分诊仍适用于目的。 **推断数据和衍生属性也算。** 如果活动生成了关于个人的推断数据（如行为评分、偏好预测），将推断属性视为个人信息进行分诊。不要让"我们只是计算一个分数"掩盖了分数所代表的内容。 ## 以下一步决策树结束 以符合 CLAUDE.md `## 输出` 的下一步决策树结束。根据本技能刚刚产出的内容定制选项——五个默认分支（起草X、升级、获取更多事实、观察和等待、其他）是起点，而非锁定。决策树即输出；律师选择。