データ主体アクセス請求(DSAR)とは、自分についてどのようなデータを保有しているかを本人が尋ね、多くの場合その取り扱いを求めてくるものです。GDPR のもとでは通常 30 日以内、CCPA では 45 日以内に回答しなければなりません。時計は請求が届いた時点から動き始め、期限を逃すこと自体がコンプライアンス違反になります。良い知らせは、プロセスさえあれば DSAR は十分に管理できるということです。その一例を紹介します。
0 日目:請求を記録する
請求が届いた瞬間に記録してください。個人の受信箱に放置してはいけません。誰が、何を求め、いつ受領し、期限はいつかを記録します。
- 請求の種類を書き留める。アクセス、訂正、削除、ポータビリティはそれぞれ別物です。
- 誰かが気づいた日ではなく、受領した日から時計を動かす。
- 受領を通知し、対応中であることを本人に伝える。
請求はどこからでも届きます。メール、フォーム、サポートチャットからも来ます。権利行使請求らしきものはすべて 1 つの追跡可能な場所に転送するよう、チームに周知してください。
1〜3 日目:本人確認を行う
個人データを別人に渡してはなりません。本人確認は、請求者を含むすべての人を守ります。
- 請求が本人または権限のある代理人から来ていることを確認する。
- 合理的な証明を求める。ただし必要以上のものを要求しない。
- 確認できない場合は、誠実に試みたことと理由を記録に残す。
本人確認書類を過剰に集めること自体がプライバシーリスクです。確信が持てる程度に確認したら、そこで止めましょう。すでに登録済みのメールアドレスを確認するのにパスポートのスキャンは不要です。
3〜15 日目:データを探す
ここが実作業です。その人に関して保有しているすべてのデータを、あらゆるシステムから集める必要があります。データマップが整っているほど、この作業は速く進みます。
- メインのデータベース、CRM、分析ツール、メール配信ツール、バックアップを検索する。
- 自社に代わって処理を行う処理者が保有するデータも含める。
- 他人を特定してしまうデータなど、適法に留保できるものを書き留める。
システムを一度も棚卸ししたことがなければ、最初の DSAR はつらいものになります。それを機にマップを作り、次回を素早く終えられるようにしましょう。
15〜25 日目:回答を準備する
ここで生のデータを、明快で使える回答に変えます。
- 本人が実際に理解できる読みやすい形式でデータをまとめる。
- 削除請求の場合は、データを削除し、何を削除したかを確認して伝える。
- 訂正請求の場合は、記録を更新し、変更内容を記載する。
- たまたま並んでいる他人の情報は黒塗りする。
回答は平易に書きましょう。データベースのエクスポートを羅列するのは良い回答ではありません。何を保有し、なぜ保有し、何を行ったのかを説明してください。
25〜30 日目:送付して記録する
回答を安全に届け、そのうえで実施した証拠を残します。
- 本人が安全にアクセスできる経路で送付する。
- 回答した日付と、提供した内容や実施した内容を記録する。
- 後日、本人や規制当局から問い合わせがあった場合に備えて、一連の記録を保管する。
その記録があなたの防御になります。請求を適切に処理したかどうかを誰かに問われたとき、ログが代わりに答えてくれます。
次回を楽にする
最初の DSAR はプロセスを試すものです。その後は、一件一件を定型業務にすることが目標になります。追跡可能な受付、設定された期限、検索すべき場所の把握、テンプレート化した回答、そして監査証跡があれば、緊張を伴う場当たり対応がチェックリストに変わります。
DSAR の受付、SLA タイマー、履行ワークフロー、監査証跡を 1 か所にまとめたいなら、ConsentX を無料で始めて、次の請求に怯えるのをやめましょう。