Reg Gap Analysis

name: reg-gap-analysis description: > 分析当前数据保护实践与PIPL/DSL/CSL要求的差距，并提出整改建议。 适用情形：用户说"我们合规差距有多大"、"PIPL合规差距分析"、 "对照法规检查一下"。 argument-hint: "[组织名称 + 涉及的业务类型]" legal_frame: cn-mainland last_reviewed: 2026-06 version: 1.0.0 risk_level: high

/reg-gap-analysis — China Mainland

Purpose

对照 PIPL/DSL/CSL 要求，分析当前数据保护实践的差距，并提出整改建议。

评估框架

PIPL核心义务核对清单

第一章 — 总则

• 制定隐私政策并公开
• 明确个人信息处理清单
• 建立个人信息保护负责人（或指定专人负责）

第二章 — 个人信息处理规则

• 告知义务（处理目的/方式/范围/存储期限）
• 同意取得（一般信息：明示同意；敏感信息：单独同意）
• 敏感信息处理须单独取得同意（PIPL 第29条）
• 未成年人信息处理须监护人同意（PIPL 第31条，不满14周岁）

第三章 — 个人信息公开

• 不得欺骗、误导个人处理个人信息

第四章 — 个人信息的保护

• 实施必要安全技术措施（GB/T 35273等效）
• 建立个人信息安全事件应急预案
• 定期合规审计

第五章 — 个人信息的提供

• 向第三方提供须取得单独同意（PIPL 第23条）
• 委托处理须签订委托合同（PIPL 第21条）
• 共同处理须明确各方权利义务

第六章 — 跨境传输

• 跨境传输须符合PIPL第38-43条（安全评估/SCC/认证）
• 须告知用户境外接收方信息

第七章 — 个人信息主体的权利

• 建立DSAR响应机制（15日内响应）
• 拒绝自动化决策的权利保障

第八章 — 义务

• 个人信息处理者义务（定期审计、记录保存）

第九章 — 法律责任

• 违规处罚：警告/没收违法所得/罚款（最高5000万元或上年度营业额5%）
• 情节严重：责令暂停/终止服务；责任人员禁止担任相关企业董事、监事、高管

输出格式

## PIPL合规差距分析——[组织名称]

**评估日期：** YYYY-MM-DD
**业务类型：** [类型]
**数据量级：** [估计]

### 差距摘要

| 领域 | 差距数量 | 最高风险 |
|---|---|---|
| 同意管理 | X项 | [🔴🟠🟡] |
| 数据主体权利 | X项 | [🔴🟠🟡] |
| 安全措施 | X项 | [🔴🟠🟡] |
| 跨境传输 | X项 | [🔴🟠🟡] |
| 其他 | X项 | [🔴🟠🟡] |

### 详细差距

#### [领域名称]

**当前状态：** [描述现状]
**法规要求：** [引用PIPL第X条]
**差距：** [具体差距]
**风险等级：** 🔴高 / 🟠中 / 🟡低
**整改建议：** [具体建议]
**整改优先级：** [立即/3个月内/6个月内]

本技能不做什么

• 不提供法律建议。只识别差距并提出建议。
• 不进行现场审计。只基于提供的信息评估。
• 不保证整改方案在监管检查中不被质疑。

Greater China Legal — privacy-legal reg-gap-analysis CN adapter v1.0.0 基于 anthropic/claude-for-legal reg-gap-analysis 适配中国大陆PIPL环境