use-case-triage

name	use-case-triage
description	快速判断某项处理活动是否需要个人信息保护影响评估、是否触发个保法第55条法定评估义务， 或可直接推进——同时排查个人信息处理规则冲突并路由至正确的下一步。当用户询问"这个需 要做PIA吗""对这个功能做隐私分诊""对X做隐私检查""从隐私角度看这个行不行"，或描述一 项新的个人信息处理活动、产品功能或供应商关系时使用。
argument-hint	[描述个人信息处理活动或功能]

/use-case-triage

1. 读取 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md。确认隐私实践已配置——如未配置，停止并引导至设置。
2. 执行以下工作流。如活动描述模糊，先澄清。
3. 内部触发检查 → 法定评估检查（个保法第55条四类情形）→ 个人信息处理规则冲突检查。
4. 输出：分类（可直接推进 / 需影响评估 / 法定评估强制触发 / 停止）、理由、条件表（如需）、跨插件交接。
5. 如需评估，提议继续进入个人信息保护影响评估生成。

/privacy-legal:use-case-triage "新功能：使用行为数据为用户个性化推荐内容"

---

个人信息处理活动分诊

事项上下文

事项上下文。 检查实践级 CLAUDE.md 中的 ## 事项工作区。如果 已启用 为 ✗（法务用户的默认值），跳过本段——技能使用实践级上下文，事项机制不可见。如果已启用且无活动事项，询问："这是哪个事项？运行 /privacy-legal:matter-workspace switch <slug> 或说 实践级。"加载活动事项的 matter.md 获取事项特定上下文和覆盖项。将输出写入事项文件夹 ~/.claude/plugins/config/claude-for-legal/privacy-legal/matters/<matter-slug>/。除非 跨事项上下文 为 开启，否则绝不读取其他事项的文件。

---

目的地检查

在生成输出前，检查输出目的地。如果用户指定了目的地（渠道、分发列表、对方当事人、"所有人"），询问是否在保密圈内。公共渠道、全公司列表、对方当事人/对方律师、供应商和客户（就工作成果而言）会放弃保护。当目的地疑似在圈外时，标示并提供 (a) 仅供法务的保密版本，(b) 供更广泛渠道的净化版本，或 (c) 两者——不要默默加上保密抬头然后帮助粘贴到该抬头无法保护的地方。参见本插件 CLAUDE.md 中的 ## 共享护栏 → 目的地检查。

目的

回答在任何 PIA 之前出现的问题："这件事到底需不需要做评估？"如果需要，是什么类型，阻碍在哪里？

隐私分诊比 PIA 生成更快，但在其上游。它不写评估报告——它确定是否需要评估以及需要什么条件。PIA 生成技能做深度工作。

输出为四种分类之一：

• 可直接推进 — 无需影响评估。适用标准保障措施。
• 需影响评估 — 需要在部署前或并行进行评估。
• 法定评估强制触发 — 个保法第55条等法定评估义务被触发（引用主源法条）。门槛更高，个人信息保护负责人/法务负责人可能需介入。
• 停止 — 处理活动与个人信息处理规则冲突或缺乏合法性基础。需重新设计后方可推进。

法域假设

本分诊假定你的配置中所指定的法域范围。隐私规则、评估触发条件和合法性基础因法域而异（个保法 vs. GDPR vs. 其他法域）。如果处理活动、处理者或受影响个人信息主体属于不同法域，本分类可能不直接适用。

先读配置

分诊前，始终读取 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md。其中的 PIA 触发标准、监管覆盖范围和个人信息处理规则承诺是权威来源。通用隐私法推理不能替代公司实际作出的承诺。

如果文件缺失或包含 [占位符]，弹出此提示：

我注意到你尚未配置实践档案——我据此定制 PIA 触发标准、监管覆盖范围和个人信息处理规则承诺。

两个选择：

• 运行 /privacy-legal:cold-start-interview（2分钟）配置你的档案，然后我将针对你的实践进行定制分诊。
• 说 "临时模式" 我将按通用默认值分诊——中国法域、中等风险偏好、律师角色、无操作手册——并在每个输出上标注 [临时模式 — 请配置实践档案以获取定制输出]，供你在正式使用前看到我的能力。

临时模式

如果用户说"临时模式"，使用以下通用默认值正常分诊：中等风险偏好、律师角色、中国法域（个保法 + 数据安全法 + 网络安全法）、无操作手册（按通用隐私法原则分类，而非匹配已配置的承诺）。在审核备注和每个发现块上标注 [临时模式]。在输出末尾附加：

"以上为基于默认假设的通用运行结果。运行 /privacy-legal:cold-start-interview 获取针对你实践的定制输出——你的监管覆盖范围、你的个人信息处理规则承诺、你的风险偏好。仅需 2 分钟。"

---

分诊流程

第1步：理解活动

如果描述模糊，在分类前先澄清。具体了解：

• 收集或处理哪些数据？哪些类别？
• 个人信息主体是谁——客户、员工、第三方？
• 目的是什么？解决什么问题？
• 是新的数据收集，还是对已有数据的重新利用？
• 是否有第三方供应商参与？新供应商还是已有供应商？
• 是否涉及自动化决策——输出会影响任何人？
• 部署场景是什么——仅内部、面向客户、公开？

"新功能"和"数据处理活动"不足以进行准确分诊。

---

第2步：检查内部触发标准

读取 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → ## PIA 内部规范 → 触发标准。适用这些标准。

如果内部触发条件满足 → 至少 需影响评估。

如果内部触发条件不满足，在得出"可直接推进"之前继续第3步。某些活动无论内部政策如何都需评估。

---

第3步：法定评估检查

在逐一检查法定触发条件之前，先问行业监管叠加问题。 如果处理活动触及受特殊监管的数据类别，行业监管通常是主导框架，而非通用数据保护法，分诊需要尽早揭示这一点，而非作为事后补充。

行业监管叠加——首先询问：

本处理活动是否涉及：

• 金融账户数据或消费者的"个人金融信息"（《个人金融信息保护技术规范》JR/T 0171-2020 + 征信业管理条例——适用于金融机构及其非关联第三方；对金融信息共享施加实体性限制）？
• 健康医疗数据，由医疗机构或健康医疗数据处理者持有（《人口健康信息管理办法（试行）》+ 个保法 + 健康医疗大数据管理相关规定——对使用和披露施加实体性限制，涉及病历数据、健康档案等）？
• 教育相关个人信息，由学校或为学校提供服务的教育信息化服务提供者处理（个保法——知情同意要求，结合教育领域相关规定）？
• 不满十四周岁未成年人的个人信息，由面向未成年人或实际知晓未成年人使用其服务的运营者收集（《儿童个人信息网络保护规定》+ 个保法第31条——监护人知情同意、通知义务、严格的保留和共享限制）？ [法条原文]
• 其他行业性监管制度（如《汽车数据安全管理若干规定（试行）》规定的汽车数据处理、《征信业管理条例》规定的征信数据、《关键信息基础设施安全保护条例》规定的CII数据等）？

如果任一项为是：行业监管通常提供主导性的实体性限制，而不仅是个保法的豁免。请研究并引用具体规定后再继续。

然后，对 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → ## 监管覆盖范围 中的每个法域，检索当前有效的法定个人信息保护影响评估触发条件。引用现行有效的法律、行政法规、部门规章或网信办指引，附精准引用。注意生效日期——国家标准和部门规章更新频繁，不得依赖静态清单。不确定时标示供律师核实，而非猜测。

个保法第55条法定评估触发情形（四类+兜底） [法条原文]：

1. 处理敏感个人信息（个保法第28条定义 [法条原文]：一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息）
2. 利用个人信息进行自动化决策（个保法第24条 [法条原文]：利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇）
3. 委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息（个保法第21-23条、第25条 [法条原文]）
4. 向境外提供个人信息（个保法第38-40条 [法条原文] + 《数据出境安全评估办法》/《个人信息出境标准合同办法》）
5. 其他对个人权益有重大影响的个人信息处理活动

如果任何适用制度的法定触发条件满足 → 法定评估强制触发，无论内部触发标准如何。

强指标（不一定触发法定义务，但强烈建议做评估）：

• 新技术应用或对现有技术的创新性使用
• 未成年人数据
• 合并原本分开收集的数据集
• 可能导致歧视的数据
• 个人信息主体不会预期的处理活动
• 跨场景行为广告或基于追踪的广告技术活动（面向消费者的公司常见问题，常引发处理规则承诺冲突和行业监管叠加）

有一个或多个强指标但未检索到法定触发条件 → 升级为 需影响评估（非法定强制，但在输出中标注）。

---

第4步：个人信息处理规则冲突检查

读取 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → ## 个人信息处理规则承诺。逐项检查拟议活动是否与每项已声明的承诺一致。

常见的需捕捉的冲突：

• 处理规则说"我们收集 X、Y、Z"——本活动收集 W。需先更新处理规则，或停止收集 W。
• 处理规则说"我们不会向第三方出售或共享数据"——本活动将数据传递给供应商用于其自身目的。需研究该数据流转是否属于各适用制度下的受监管"提供"或"共享"类别。
• 处理规则规定了保留期限——本活动的数据保留时间更长。
• 处理规则说"我们仅将数据用于[某目的]"——本活动在无重新获取同意或合法性基础评估的情况下用于新目的。
• 处理规则列明了提供的个人信息主体权利——本活动创建了现有权利流程无法覆盖的新数据类别。

如果存在直接冲突 → 停止。不是"谨慎推进"——处理规则冲突必须先解决（更新处理规则或重新设计活动）才能推进。

---

第5步：分类与输出

---

结论

[需影响评估 / 法定评估强制触发 / 可直接推进 — 一句话说明理由]

---

活动描述： [按你的理解陈述处理活动]

分类： [可直接推进 / 需影响评估 / 法定评估强制触发 / 停止]

内部触发标准满足？ [是 / 否] 个保法第55条法定评估触发？ [是 — [触发情形] / 否 / 不适用] 个人信息处理规则冲突？ [无 / 有 — [具体冲突]]

理由： [1-3句话。可直接推进：在现行处理规则下是安全的理由。需影响评估/法定评估：产生义务的原因。停止：存在冲突的具体处理规则承诺或原则。]

---

如 需影响评估 或 法定评估强制触发 — 推进前置条件：

要求	负责人	完成？
[如：个人信息保护影响评估 — 完整格式]	[隐私法务]	☐
[如：合法性基础评估（如需）]	[隐私法务]	☐
[如：个人信息保护负责人咨询（法定评估路径）]	[个人信息保护负责人]	☐
[如：供应商数据处理协议已签署]	[隐私 / 法务]	☐
[如：个人信息处理规则上线前更新]	[隐私法务]	☐
[如：同意机制已构建并测试]	[产品]	☐
[如：个人信息主体权利流程覆盖新数据类别]	[隐私 / 产品]	☐

合法性基础（个保法第13条） [法条原文]：[告知同意 / 合同必需 / 法定义务 / 人力资源管理 / 合理处理已公开信息 / 紧急情况 / 其他 — 或"尚不明确 — 需在影响评估中确定"]

下一步 — 提议继续：

在呈现"需影响评估"或"法定评估强制触发"结果后，始终以以下方式结束：

"需要我现在开始个人信息保护影响评估吗？我可以运行录入问题并生成评估文件，无需你另行运行单独命令。"

如果他们说好，加载 pia-generation 技能并在同一对话中继续——传递活动描述和已识别的任何触发条件。

如果他们说不用，分诊结果保持不变。评估可随时通过以下命令运行： /privacy-legal:pia-generation [活动]

---

如 停止：

冲突： [存在冲突的具体个人信息处理规则承诺或原则]

要推进，以下之一必须改变：

• [选项A — 重新设计活动以避免产生冲突]
• [选项B — 更新个人信息处理规则以覆盖此处理活动（需审查更新本身是否与合法性基础一致）]

如果没有可行路径，不要提供。如果处理活动根本无法与已声明承诺或合法性基础调和，直接说明。

---

第6步：跨插件交接

AI 治理交接： 如果活动涉及 AI 系统作出或影响关于个人的决策：

"本活动涉及 AI 决策。除个人信息保护影响评估外，可能还需进行算法安全评估和科技伦理审查。使用 /ai-governance-legal:aia-generation [活动] 并行运行——两者不可相互替代。"

产品法务交接： 如果这是新产品功能或上线：

"如果这是产品上线的一部分，请同步产品法务。使用 /product-legal:launch-review——它将检测隐私组件并路由至本插件。"

仅在有实际意义时标注交接。不要将两者作为模板化内容附加。

---

批量分诊

如果用户提交了功能列表、产品路线图或待办清单——先输出摘要表，然后展开每个非"可直接推进"条目：

#	活动	分类	关键条件 / 阻碍
1	[活动]	🟢 可直接推进	—
2	[活动]	🟡 需影响评估	需合法性基础评估；供应商数据处理协议未到位
3	[活动]	🟠 法定评估强制触发	大规模敏感个人信息（个保法第55条第1项）
4	[活动]	🔴 停止	个人信息处理规则冲突 — 目的限制

---

边界情形和失败模式

"数据已匿名化"不自动意味着"可直接推进"。 询问匿名化方式以及在给定数据集下重新识别是否实际可行。假名化数据依据个保法仍为个人信息。

"我们已经在做类似的事"不能替代分诊。 从未被评估过的现有处理活动，不能为新处理活动提供"祖父条款"。如果新活动在规模、目的或数据类别上存在实质差异，重新分诊。

"只是试点"不能跳过分诊。 涉及真实用户或员工数据的试点同样受触发条件约束。适用相同分类；如需评估，试点也应完成评估。

"供应商负责所有隐私事项。" 供应商处理基础设施。你仍然是决定目的的个人信息处理者。如果个人信息流向供应商，需要有数据处理协议，分诊仍适用于目的。

推断数据和衍生属性也算。 如果活动生成了关于个人的推断数据（如行为评分、偏好预测），将推断属性视为个人信息进行分诊。不要让"我们只是计算一个分数"掩盖了分数所代表的内容。

以下一步决策树结束

以符合 CLAUDE.md ## 输出 的下一步决策树结束。根据本技能刚刚产出的内容定制选项——五个默认分支（起草X、升级、获取更多事实、观察和等待、其他）是起点，而非锁定。决策树即输出；律师选择。