データ主体アクセス請求（DSAR）とは？
GDPR では、これは一般にアクセス権と呼ばれます。個人は通常、組織が自分の個人データを処理しているかどうかを尋ね、そのデータの写しを請求し、それがどのように処理されているかについて一定の補足情報を取得することができます。
DSAR は、個人データの訂正、削除、制限、異議、ポータビリティを求める請求とは異なります。これらは別個のデータ保護上の権利ですが、個人が同一の請求の中で複数の権利を行使することもあります。
組織には、請求を受け付け、必要に応じて本人確認を行い、関連する情報を特定し、適用される適用除外や第三者の情報の有無を精査し、適用される法定期限内に安全に回答するための実効的な DSAR プロセスが必要です。
DSAR とはどういう意味ですか？
DSAR は Data Subject Access Request（データ主体アクセス請求）の略です。
この用語は、プライバシーおよびデータ保護のプログラムにおいて、個人が自分の個人情報へのアクセスを求める請求を指す語として広く使われています。
法域によっては、同一または類似の権利が次のように呼ばれることがあります。
たとえば UK GDPR のガイダンスでは、ICO はアクセス権を、個人情報の写しとその他の補足情報を取得する権利であると説明しています。
GDPR における DSAR とは？
GDPR 第 15 条に基づき、アクセス権により個人は、自分の個人データが処理されているかどうかの確認を得ること、および該当する場合にはその個人データと定められた補足情報へアクセスすることができます。
補足情報には、たとえば次のような事項が含まれ得ます。
- 処理の目的
- 個人データの種類
- 取得者または取得者の類型
- 該当する場合、予定されている保存期間
- 個人本人から取得したものでない場合、そのデータの取得元に関する情報
- 関連する権利に関する情報
- 該当する場合、自動化された意思決定に関する情報
- 該当する場合、国際移転に関する情報
したがって DSAR は、単なるデータベースのエクスポート以上のものを提供します。
これは、どの個人データが処理されているか、なぜ処理されているか、そして組織がそれをどのように扱っているかを個人が理解する助けとなります。
DSAR ではどのような情報を請求できますか？
個人は通常、自分の個人データへのアクセスを提供するよう組織に求めることができます。
たとえば、組織や請求の範囲によっては、次のようなものが含まれ得ます。
- アカウント情報
- 連絡先情報
- 取引の記録
- カスタマーサービスの記録
- 雇用に関する情報
- コミュニケーションの記録
- サポートチケット
- プロフィール情報
- デバイスまたはオンライン識別子
- 一定のマーケティング情報
- 社内システムに含まれる個人データ
- 関連する処理者またはサービスプロバイダーが保有する個人データ
正確な範囲は、適用される法律、組織の処理活動、および適用される適用除外や制限によって決まります。
DSAR はデータ削除請求と同じものですか？
いいえ。
DSAR は主としてアクセスを求める請求です。
削除請求は、該当する法的権利が存在する場合に、個人データを消去するよう組織に求めるものです。
これらの権利は別個のものです。
たとえば次のとおりです。
「私について保有している個人データを提供してください。」
「消去を請求する権利がある範囲で、私の個人データを削除してください。」
「不正確な個人データを訂正してください。」
「該当する個人データを、移行可能な形式で提供してください。」
一通の連絡に複数の請求が含まれることがあるため、組織の受付プロセスは、該当する各権利を識別して振り分けられるものである必要があります。
DSAR と SAR
DSAR と SAR は、しばしば同じ意味で使われます。
SAR という用語は、特に英国のプライバシー実務で広く使われています。
その基礎にある概念は、個人のアクセス権です。
ICO は、アクセス権に基づいて行われる請求について「subject access request（SAR）」という語を明示的に用いています。
DSAR はどのように進みますか？
一般的な DSAR のワークフローは次のようになります。
- 請求の受領
- 請求の識別
- 必要に応じた本人確認
- 範囲の評価
- データの特定
- 情報の精査
- 適用除外の検討
- 回答の準備
- データの安全な提供
- 請求の記録
請求を受け付ける
個人が、利用可能なチャネルを通じて請求を提出します。
請求は、必ずしも「DSAR」や「第 15 条」という言葉を使う必要はありません。
組織は、アクセス権の行使に当たる請求を認識するためのプロセスを備えておくべきです。
必要に応じて本人確認を行う
組織は、請求者がそのデータの本人であることを確認する必要がある場合があります。
本人確認は、合理的かつ比例的なものであるべきです。
ICO の現行ガイダンスは、本人性がすでに十分に確認されている場合に、組織が自動的に正式な身分証明書を要求すべきではないことを強調しています。
範囲を判断する
組織は、どのシステムとどの情報の種類が関連し得るかを判断すべきです。
請求が本当に不明確である場合や、明確化が合理的に必要となるほど広範である場合、組織は明確化を求めることができます。
ただし、明確化は、請求を不必要に困難にするためだけに用いられるべきではありません。
関連するシステムを検索する
組織は、請求された個人データについて適切な検索を実施すべきです。
事業によっては、これには次のようなものが関わり得ます。
- CRM システム
- 顧客データベース
- メール
- サポートシステム
- 人事システム
- マーケティングプラットフォーム
- データウェアハウス
- クラウドアプリケーション
- アーカイブされたシステム
- 関連する処理者
情報を精査する
開示に先立ち、組織は次の観点から情報を精査すべきです。
- 第三者の個人データ
- 適用される適用除外
- 秘密情報
- 該当する場合、秘匿特権の対象となる情報
- セキュリティ上の考慮事項
- 請求の範囲
- 適用される法的制限
回答を準備する
回答では、個人データと必要な補足情報を、適切で理解しやすい形式で提供すべきです。
安全に提供する
組織は、請求者に個人情報を提供するにあたって安全な方法を用いるべきです。
請求を記録する
組織は、次の事項について適切な記録を保持すべきです。
- 請求を受領した日時
- 対応した担当者
- 本人確認の手順
- 検索したシステム
- 提供した情報
- 検討した適用除外
- 回答日
- 延長の有無
- 関連するやり取り
これにより、請求がどのように処理されたかを示すための監査証跡が作成されます。
DSAR にはどのくらい時間がかかりますか？
期限は、適用されるプライバシー法によって異なります。
GDPR
GDPR では、組織は通常、不当な遅滞なく、かつ有効な請求を受領してから 1 か月以内に回答する必要があります。
請求の複雑さや件数のために必要な場合、この期間はさらに最大 2 か月延長することができます。延長とその理由については、通常、最初の 1 か月の期間内に請求者へ通知しなければなりません。
英国の ICO も現在、UK GDPR のもとで同じく原則 1 か月というルールを示しており、複雑な請求や複数の請求についてはさらに最大 2 か月の延長が認められるとしています。
CCPA
カリフォルニア州のプライバシー法は、異なる枠組みと用語を用いています。
CCPA に基づく該当する消費者請求について、標準的な回答期間は原則 45 日であり、適用される延長や要件に従います。
これは、DSAR プラットフォームが、一つの期限が世界中に適用されると想定するのではなく、法域ごとの SLA ルールを用いるべき理由の一つです。
重要
DSAR に世界共通の期限はありません。
プライバシー管理システムは、次のような要素に基づいて適用される期限を判断すべきです。
- 法域
- 適用されるプライバシー法
- 請求の種類
- 本人確認
- 明確化の要否
- 複雑さ
- 延長
- 適用される適用除外
組織は身分証明書を求めることができますか？
場合によります。
組織は、誤った相手に情報が開示されるおそれが実質的にある場合を中心に、個人情報を開示する前に本人確認を行う必要がある場合があります。
ただし、本人確認は比例的であるべきです。
ICO の現行ガイダンスは、組織は求める身分証明について合理的であるべきであり、不要な場合に正式な身分証明書を要求すべきではないとしています。
したがって、優れた DSAR のワークフローは次をサポートすべきです。
- 本人確認
- リスクに応じた確認
- 必要な場合の安全な書類の取り扱い
- 確認ステータス
- 請求者の認証
- 監査記録
DSAR は口頭で行えますか？
適用される法的枠組みによりますが、行えます。
UK GDPR のガイダンスでは、サブジェクトアクセス請求は口頭でも書面でも行うことができ、ソーシャルメディアなどのチャネルを通じて行うこともできるとされています。請求者は、必ずしも所定の書式や法律用語を用いる必要はありません。
つまり組織は、次のような経路で届いた場合でもアクセス請求を認識できるよう、従業員を教育すべきです。
- メール
- 電話
- ライブチャット
- カスタマーサポート
- ソーシャルメディア
- 対面での会話
- オンラインのプライバシーフォーム
DSAR のプロセスを、単一のウェブフォームだけに完全に依存させるべきではありません。
DSAR は「DSAR」と呼ばれなければなりませんか？
いいえ。
組織が有効なアクセス請求だと認識するために、個人が「DSAR」という用語を使う必要は通常ありません。
たとえば次のとおりです。
「私について保有している個人情報をすべて送ってもらえますか。」
この文言は、本人が DSAR という用語を一度も使っていなくても、アクセス請求に当たり得ます。
したがって組織は、カスタマーサービス、人事、サポート、プライバシーの各チームが、請求をその実質に基づいて認識できるよう教育すべきです。
組織は何を提供しなければなりませんか？
GDPR のアクセス権のもとで、組織は通常、次のものを提供する必要があります。
- 個人データが処理されているかどうかの確認。
- 該当する個人データの写し。
- 適用される法律が求める補足情報。
ICO は、アクセス権には処理の有無の確認、個人情報の写し、および補足情報が含まれると要約しています。
法的な権利が請求者の個人データと該当する補足情報の開示のみを求めるものである場合、組織は必ずしもすべての社内文書を丸ごと提供しなければならないわけではありません。
DSAR に他人に関する情報が含まれることはありますか？
含まれる可能性はありますが、慎重な精査が必要です。
組織の記録には、次のような人々に関する個人情報が含まれている場合があります。
- 請求者本人
- 従業員
- 顧客
- 家族
- 取引先の担当者
- その他の第三者
組織は、開示によって他人の個人情報が不適切に明らかになってしまわないかを検討すべきです。
これは、最初の収集プロセスが自動化されている場合でも、DSAR への対応に人による確認がしばしば必要となる理由の一つです。
組織は DSAR を拒否できますか？
アクセス権は無制限ではありません。
適用される法律によっては、適用除外や制限が適用される場合があります。
たとえば組織は、次のような論点を検討する必要がある場合があります。
- 第三者の権利
- 法的な秘匿特権
- 秘密保持
- 規制上の制限
- 法執行上の考慮事項
- 明らかに根拠がない、または過度な請求
- その他の法定の適用除外
組織は、単に手間がかかるという理由で請求を拒否すべきではありません。
請求を拒否する場合や情報を留保する場合、組織は、説明、適用除外、苦情または不服申立ての権利に関して、適用される法的要件に従うべきです。
ICO の現行ガイダンスは、組織がアクセスを拒否できるのは、明らかに根拠がない、または過度な一定の請求を含め、適用除外または制限が適用される場合に限られるとしています。
DSAR は無料ですか？
多くのプライバシー制度では、個人は標準的な手数料を支払うことなくアクセス権を行使できます。
たとえば UK GDPR のガイダンスでは、組織は通常、サブジェクトアクセス請求への対応について手数料を請求することはできません。
適用される法律によっては、明らかに根拠がない、もしくは過度な一定の請求や追加の写しなど、限られた状況において合理的な手数料が認められる場合があります。
正確なルールは法域によって異なります。
DSAR とデータポータビリティ
データポータビリティ請求は DSAR とは異なります。
どちらも個人データの提供を伴い得ますが、ポータビリティには追加の条件と固有の目的があります。
データポータビリティは一般に、一定の個人データを構造化され、一般的に用いられ、機械可読な形式で受け取ること、および技術的に可能な場合には他の管理者へ送信することに関わります。
すべての DSAR がポータビリティ請求に当たるわけではありません。
したがって、プライバシー権利のプラットフォームは次を区別すべきです。
- アクセス
- 訂正
- 削除
- ポータビリティ
- 異議
- 制限
- その他の該当する権利
DSAR と GDPR
GDPR 第 15 条のアクセス権が、GDPR に基づく DSAR の主要な法的根拠です。
この権利は、個人が自分の個人データがどのように処理されているかを理解し、その処理が適法かどうかを確認できるようにするものです。
したがって、よく設計された DSAR のプロセスは、アクセス請求を組織のより広範な GDPR のアカウンタビリティ・プログラムと結び付けるべきです。
DSAR と UK GDPR
UK GDPR にも、GDPR とおおむね同等のアクセス権が定められています。
詳細な運用上の要件やガイダンスは変化し得るため、英国の組織は情報コミッショナー事務局（ICO）の最新のガイダンスに従うべきです。
特に組織は、次の事項に関する現行のルールを考慮すべきです。
- 回答期限
- 延長
- 明確化
- 本人確認
- 合理的な検索
- 適用除外
- 安全な開示
- 苦情
ICO は 2025 年と 2026 年にアクセス権に関するガイダンスを更新しており、これには Data (Use and Access) Act 2025 による変更を反映したガイダンスも含まれます。
DSAR と CCPA
カリフォルニア州のプライバシーの枠組みは、情報にアクセスする権利を含め、自身の個人情報に関する権利を消費者に与えています。
CCPA は独自の用語、手続、適用除外、期限を用いているため、組織は GDPR の DSAR ワークフローをそのまま流用して、それでカリフォルニア州の要件を満たせると考えるべきではありません。
プライバシー権利のシステムは、適用される法域を判定し、請求を適切なワークフローへ振り分けるべきです。
インドにおける DSAR と DPDPA
インドのデジタル個人データ保護法（DPDPA）は、GDPR とは異なる用語を用いています。
DPDPA は、GDPR の「データ主体」ではなく、個人を Data Principal と呼びます。
したがって、インドで事業を行う組織は、次を区別すべきです。
- GDPR / UK GDPR のデータ主体の権利
- CCPA の消費者の権利
- DPDPA の Data Principal の権利
グローバルなプライバシープラットフォームは、あらゆるプライバシー請求を GDPR の DSAR として扱うのではなく、法域ごとのワークフローを用いるべきです。
DSAR とデータ主体権利請求
データ主体権利請求（DSR）またはデータ主体請求は、DSAR よりも広い概念です。
権利請求は、次のような事項に関わり得ます。
- アクセス
- 訂正
- 削除
- 制限
- 異議
- ポータビリティ
- その他の法域固有の権利
DSAR は特にアクセスに焦点を当てたものです。
一通の受信メッセージに複数の権利が含まれることがあるため、この区別はプライバシーチームにとって有用です。
たとえば次のとおりです。
「私についてどのようなデータを持っているか教えてください。住所を訂正し、マーケティング用のプロフィールを削除してください。」
この連絡には、次のものが含まれている可能性があります。
- アクセス請求
- 訂正請求
- 削除請求
組織は、該当する各権利を識別して処理すべきです。
DSAR と同意の撤回
DSAR は、同意の撤回とも異なります。
「以前に与えた同意を撤回します。」
「私の個人データと、その処理に関する該当する情報へのアクセスを提供してください。」
個人は両方の権利を行使できますが、両者を混同すべきではありません。
たとえばユーザーは、マーケティングへの同意を撤回したうえで、それとは別に、組織が保有する自分の個人データへのアクセスを請求することができます。
DSAR と Cookie
DSAR には、オンライン上の行動に関連する個人データが含まれる可能性があります。
状況によっては、関連する情報として次のようなものが考えられます。
- オンライン識別子
- アカウント識別子
- Cookie に紐づく情報
- 広告識別子
- IP アドレス
- ウェブサイト上の行動
- マーケティングのプロフィール
- 設定の記録
特定の Cookie や分析に関する情報が個人データに当たるかどうかは、適用される法律と文脈によって決まります。
したがって組織は、DSAR の検索を CRM に限定するのではなく、関連するオンラインデータのシステムも考慮すべきです。
DSAR と同意記録
同意記録は DSAR に関連し得ます。
たとえば組織は、次のことを示す情報を保有している場合があります。
- 同意が取得された時期
- どの目的が提示されたか
- どの選択が行われたか
- どのバージョンの通知が表示されたか
- どの設定が変更されたか
- 同意が撤回された時期
- 同意イベントに紐づけられた識別子
この情報が個人の個人データに当たり、請求の範囲に含まれる場合には、対応の過程で考慮する必要が生じることがあります。
これが、同意記録と DSAR の管理を常に完全に別々のシステムとして運用すべきではない理由です。
DSAR と第三者の処理者
組織は、第三者の処理者やサービスプロバイダーを頻繁に利用しています。
そのため DSAR では、次のような範囲にわたって情報を特定する必要が生じ得ます。
- CRM プラットフォーム
- メールのプロバイダー
- クラウドストレージ
- カスタマーサポートのツール
- マーケティングプラットフォーム
- 分析システム
- 人事プラットフォーム
- 決済システム
- データウェアハウス
- その他の処理者
関連するデータが第三者のシステムに保存または処理されている場合であっても、適用される法律のもとでアクセス権のワークフローを管理する責任は組織にあります。
自動化は DSAR にどう役立つか
請求件数やデータシステムが増えるにつれて、DSAR を手作業で処理することは難しくなり得ます。
DSAR 管理プラットフォームは、次を含むワークフローの一部を自動化できます。
- 請求の受付
- ケースの作成
- 本人確認
- 請求の分類
- 期限の算定
- SLA の監視
- 担当者の割り当て
- 社内への通知
- データソースの追跡
- 対応のワークフロー
- 安全な提供
- 監査ログ
- エスカレーション
自動化は、適切な人による確認をなくすためのものではなく、プライバシーチームを支えるものであるべきです。
DSAR 自動化のチェックリスト
成熟した DSAR のワークフローには、次の要素を含めるべきです。
受付
- 一元化された請求の受付
- メールとウェブフォームへの対応
- 手動での請求の作成
- ケース番号の自動採番
分類
- アクセス請求の検知
- 権利の分類
- 法域の判定
- 優先度の設定
本人確認
- 請求者の認証
- 確認ステータス
- 比例的な確認のワークフロー
- 証跡の安全な取り扱い
期限の管理
- 適用される SLA の算定
- 期限の自動リマインド
- 延長の追跡
- エスカレーションのアラート
データの棚卸し
- システムのインベントリ
- 検索担当の割り当て
- 処理者との調整
- 収集状況の追跡
精査
- 重複の除去
- 第三者情報の精査
- 適用除外の精査
- 人による承認
対応
- 安全なエクスポート
- 回答の作成
- 提供状況の追跡
- 請求のクローズ
監査
- 完全な操作履歴
- タイムスタンプ
- 割り当てられた担当者
- 検索の記録
- 判断
- 最終的な回答
- 完了の証跡
DSAR でよくある誤り
あらゆるプライバシー請求を DSAR として扱う
訂正、削除、ポータビリティ、異議、アクセスは、それぞれ別個の権利です。
専用の書式を必須にする
請求者が特定の書式を使わなかったというだけで、組織が正当なアクセス請求を不必要に困難にすべきではありません。
自動的に公的な身分証明書を要求する
本人確認は、リスクに見合ったものであるべきです。
CRM だけを検索する
個人データは数十のシステムにまたがって存在している可能性があります。
処理者を見落とす
関連する個人データは、クラウド、マーケティング、分析、サポートなどのサービスプロバイダーが保有している場合があります。
期限を守れない
SLA のタイマーがない請求は、見落とされやすくなります。
データを安全でない方法で送る
個人情報は、適切で安全な仕組みを通じて提供すべきです。
他人の情報を開示してしまう
記録に第三者の個人データが含まれる場合、DSAR への回答には慎重な精査が必要です。
GDPR の期限が世界共通だと考える
法域が異なれば、ルールも回答期間も異なります。
監査証跡を残さずにケースを終了する
組織は、請求をどのように受領し、評価し、検索し、精査し、対応したかを示せるようにしておくべきです。
企業向け DSAR 導入チェックリスト
- 何を DSAR とみなすかを定義する。
- 顧客対応の従業員が請求を認識できるよう教育する。
- 利用しやすい請求チャネルを用意する。
- 必要な場合に、比例的な方法で本人確認を行う。
- 適用される法域を判定する。
- 正しい法定期限を算定する。
- 請求の範囲を特定する。
- 関連するシステムを検索する。
- 必要に応じて処理者と連携する。
- 第三者の個人情報を精査する。
- 適用される適用除外を評価する。
- 利用しやすい形式で回答を準備する。
- 情報を安全に提供する。
- 請求と回答を記録する。
- 期限と延長を管理する。
- 監査の目的で証跡を保持する。
- プロセスを定期的に見直す。
DSAR と ConsentX
ConsentX は、請求の受付、本人確認、SLA の管理、対応、監査証跡を一元化したプロセスを通じて、組織が DSAR とプライバシー権利のワークフローを管理できるよう支援します。
一般的なワークフローは次のようになります。
- 請求
- 本人確認
- 法域・ルールの判定
- SLA タイマー
- データの棚卸し
- 精査
- 対応
- 安全な回答
- 監査記録
これにより、プライバシーチームは次のリスクを減らすことができます。
- 期限の超過
- 担当者が割り当てられていない請求
- 手作業による管理ミス
- 請求記録の不備
- 対応のばらつき
- 監査可能性の低さ
目的は、単にメールの返信を自動化することではありません。
目的は、監査可能なプライバシー権利のワークフローを作ることです。
要点
- DSAR とは、個人の個人データへのアクセスを求める請求です。
- DSAR は、サブジェクトアクセス請求（SAR）やアクセス権の請求とも一般に呼ばれます。
- DSAR は、削除、訂正、ポータビリティ、異議、制限を求める請求とは区別されます。
- GDPR では、アクセス権は原則として 1 か月以内の回答を求めており、要件を満たす場合には延長が認められます。
- UK GDPR のガイダンスも同様に 1 か月の期間を定めており、複雑な請求や複数の請求については延長の可能性があります。
- CCPA に基づくアクセス請求は、異なるルールと期限のもとで運用されます。
- 本人確認は適切な場合もありますが、比例的であるべきです。
- 組織は関連するシステムを検索し、処理者が保有するデータも考慮すべきです。
- DSAR への回答では、第三者の情報や法的な適用除外について精査が必要になる場合があります。
- 安全な対応と監査記録は、DSAR 管理の重要な要素です。
- DSAR プラットフォームは、単一のグローバルな期限ではなく、法域ごとのルールと SLA タイマーを用いるべきです。
- 自動化は、受付、本人確認、データの棚卸し、対応、監査証跡を効率化できます。