마케팅이 추천 프로그램을 원하거나 제품이 생체 인증을 추가할 때 /compliance-check는 출시 전에 어떤 규제가 적용되는지 알려줍니다. — Claude Skill

/compliance-check -- 준법 검토

낯선 placeholder가 보이거나 어떤 도구가 연결되어 있는지 확인해야 한다면 CONNECTORS.md를 보세요.

제안된 조치, 제품 기능, 마케팅 캠페인 또는 비즈니스 이니셔티브에 대해 준법 검토를 실행합니다.

중요: 이 명령은 법무 워크플로를 지원하지만 법률 자문을 제공하지 않습니다. 준법 평가는 자격 있는 법률 전문가가 검토해야 합니다. 규제 요건은 자주 바뀌므로, 항상 권위 있는 출처로 최신 요건을 확인하세요.

사용법

/compliance-check $ARGUMENTS

필요한 정보

무엇을 하려는지 설명하세요. 예:

• "현금 보상이 있는 추천 프로그램을 출시하고 싶습니다"
• "모바일 앱에 생체 인증을 추가합니다"
• "미국 데이터센터에서 EU 고객 데이터를 처리해야 합니다"
• "마케팅이 광고에 고객 추천사를 사용하고 싶어 합니다"

출력

## 준법 검토: [Initiative]

### 요약
[빠른 평가: 진행 / 조건부 진행 / 추가 검토 필요]

### 적용 규제 및 정책
| 규제/정책 | 관련성 | 핵심 요건 |
|-------------------|-----------|-----------------|
| [GDPR / CCPA / HIPAA / etc.] | [적용 방식] | [해야 할 일] |

### 요건
| # | 요건 | 상태 | 필요한 조치 |
|---|-------------|--------|---------------|
| 1 | [요건] | [충족 / 미충족 / 불명] | [해야 할 일] |

### 위험 영역
| 리스크 | 심각도 | 완화책 |
|------|----------|------------|
| [Risk] | [High/Med/Low] | [해결 방법] |

### 추천 조치
1. [가장 중요한 조치]
2. [두 번째 우선순위]
3. [세 번째 우선순위]

### 필요한 승인
| 승인자 | 이유 | 상태 |
|----------|-----|--------|
| [Person/Team] | [Reason] | [Pending] |

### 추가 검토 권장
[외부 자문 또는 전문가 검토가 권장되는 영역]

개인정보 규제 개요

GDPR(General Data Protection Regulation)

범위: 처리 조직의 위치와 관계없이 EU/EEA 내 개인의 개인정보 처리에 적용됩니다.

사내 법무팀의 핵심 의무:

• 적법 근거: 각 처리 활동의 적법 근거를 식별하고 문서화합니다(동의, 계약, 정당한 이익, 법적 의무, 중대한 이익, 공적 임무)
• 정보주체 권리: 접근, 정정, 삭제, 이동, 제한, 이의 제기 요청에 30일 이내 답변합니다(복잡한 요청은 60일 연장 가능)
• 개인정보 보호 영향 평가(DPIA): 개인에게 높은 리스크를 초래할 가능성이 있는 처리에 필요합니다
• 침해 통지: 개인정보 침해를 인지한 후 72시간 이내 감독기관에 통지합니다. 높은 리스크가 있으면 영향을 받은 개인에게 부당한 지체 없이 통지합니다
• 처리 기록: 제30조 처리 활동 기록을 유지합니다
• 국제 이전: EEA 외부 이전에 적절한 보호조치(SCCs, 적정성 결정, BCRs)를 보장합니다
• DPO 요건: 필요한 경우 데이터 보호 책임자를 지정합니다(공공기관, 특별 범주의 대규모 처리, 대규모 체계적 모니터링)

CCPA / CPRA(California Consumer Privacy Act / California Privacy Rights Act)

범위: 캘리포니아 거주자의 개인정보를 수집하고 매출, 데이터 규모 또는 데이터 판매 기준을 충족하는 사업자에 적용됩니다.

핵심 의무:

• 알 권리: 소비자는 수집, 사용, 공유된 개인정보 공개를 요청할 수 있습니다
• 삭제권: 소비자는 자신의 개인정보 삭제를 요청할 수 있습니다
• 거부권: 소비자는 개인정보 판매 또는 공유를 거부할 수 있습니다
• 정정권: 소비자는 부정확한 개인정보 정정을 요청할 수 있습니다(CPRA 추가)
• 비차별: 권리를 행사한 소비자를 차별할 수 없습니다

응답 기한:

• 영업일 10일 이내 접수 확인
• 45일 이내 실질 답변(통지 시 45일 연장 가능)

모니터링할 기타 주요 규제

DPA 검토 체크리스트

필수 제28조 요소: 대상과 기간, 성격/목적, 개인정보 유형, 정보주체 범주, 컨트롤러 의무.

처리자 의무: 문서화된 지시에 따라서만 처리, 기밀성, 보안 조치, 하위 처리자 승인, 정보주체 권리 지원, 침해 지원, 종료 시 삭제/반환, 감사권, 24-48시간 내 침해 통지.

국제 이전: SCCs(2021년 6월 버전), 올바른 모듈(C2P/C2C/P2P/P2C), 이전 영향 평가, 보완 조치, 해당 시 UK 부록.

정보주체 요청 처리

요청 유형: 접근, 정정, 삭제, 제한, 이동, 이의 제기, 거부(CCPA/CPRA), 민감 PI 사용 제한(CPRA).

응답 기한: GDPR 30일(+60), CCPA/CPRA 45일(+45), LGPD 15일.

흔한 예외: 법적 청구 방어, 보관을 요구하는 법적 의무, 공익, 표현의 자유(삭제), 소송 보존, 규제상 보관 기간.

팁

1. 구체적으로 말하세요. "마케팅 캠페인"보다 "모든 사용자에게 이메일을 보내고 싶습니다"가 낫습니다.
2. 지역을 포함하세요. 준법 요건은 관할 지역마다 다릅니다.
3. 데이터를 언급하세요. 어떤 개인정보가 관련되어 있나요?