DSARの急増：GDPRバッチ処理による対応
GDPRの第12条は1か月の期限を定めています。組織はデータ主体のアクセス要求（DSAR）に30日以内に回答しなければなりません。複雑なケースは60日間の延長が認められます。期限は要求の受領時から始まります。猶予期間はありません。期限を守れなかった場合、それ自体が違反となります。
2024年、DPAの制裁金によってデータ主体の権利が広く知られるようになりました。アイルランドのDPCは、有効な同意なしに行動ターゲティング広告を行ったとしてLinkedInに3億1,000万ユーロの制裁金を科しました。また、データ侵害の通知が遅れたとしてMetaに2億5,100万ユーロの制裁金を科しました。制裁金のたびに啓発キャンペーンが実施されました。より多くの人々が自分の権利を知るようになりました。DSARの件数が増加しました。
EDPBの2024年協調的執行フレームワークは、アクセス権における不備を対象としていました。適切なDSAR処理を示せない組織は、現在より厳しい監視下に置かれています。
GDPRへの取り組みについては、コンプライアンス概要とセキュリティプラクティスをご覧ください。
第三者の個人情報という問題
DSAR対応には特有の問題があります。それは第三者の個人情報（PII）です。
データ主体は自身に関するすべての記録を要求します。それらの記録には他の人物が記載されている場合があります。サポートメモには別の顧客の電話番号が含まれているかもしれません。メールのスレッドには同僚のアドレスが表示されているかもしれません。苦情記録には第三者への言及があるかもしれません。これらの記録を送付することは他者の個人データを公開することになります。それは他者の権利に対する独立した侵害です。
すべての文書を確認する必要があります。送付前に第三者への参照を削除する必要があります。月300件のDSARがあり、1件あたり50文書ある通信事業者は、毎月15,000の文書を確認することになります。これはDSARコンプライアンスだけのためです。
3人のチームではそれは不可能です。その規模では手動確認は1か月の期限に収まりません。
バッチ処理のアーキテクチャ
DSARレスポンスプリセットがこの問題を解決します。プリセットは各文書をスキャンします。すべての氏名、連絡先情報、その他の識別子を検出します。要求者本人に属するもの以外のすべての一致を匿名化します。ジョブの開始時にその人物の名前とアカウント番号を入力します。
記録に記載された他の顧客は匿名化されます。サービスメモに記載された従業員は匿名化されます。メール内の第三者は匿名化されます。これらはすべて、文書パッケージが組み立てられる前に行われます。
50の文書の処理には時間ではなく数分しかかかりません。コンプライアンスチームはエッジケースの出力を確認します。対応時間は数週間から数日に短縮されます。
プリセットがデフォルトで検出するデータタイプについては、エンティティページをご覧ください。
防御可能なワークフローに必要なもの
DSARワークフローを防御可能にする要素は3つあります。
速度。 バッチツールは、大量処理時に遅延を引き起こすボトルネックを解消します。
精度。 プリセットはデータ主体自身のデータを変更せずに、第三者のPIIを削除する必要があります。適切に設定されたプリセットはこの区別を処理します。
監査証跡。 第5条(2)はコンプライアンスの証明を求めています。バッチ処理は、どの文書が処理されたか、どのプリセットが使用されたか、いつ処理されたかを記録します。その記録が証拠となります。