GDPR DSAR: Επεξεργασία Δέσμης σε Κλίμακα (2025)

GDPR DSAR: Επεξεργασία Δέσμης σε Κλίμακα (2025)

Τι είναι ένα DSAR;

Ενα DSAR (Δικαίωμα Πρόσβασης του Υποκειμένου Δεδομένων) είναι το δικαίωμα ενός ατόμου να ζητήσει όλα τα δεδομένα που χειρίζεται ένας ελεγκτής δεδομένων. Σύμφωνα με το GDPR Άρθρο 12-15:

• Ο ελεγκτής δεδομένων πρέπει να απαντήσει σε 30 ημέρες
• Η απάντηση πρέπει να περιλαμβάνει όλα τα σχετικά δεδομένα
• Τα δεδομένα πρέπει να παρασχεθούν σε "κοινή, δομημένη, μηχανής-αναγνώσιμη μορφή"

Κλίμακα της Δέσμης DSAR

Για εταιρείες με εκατομμύρια υποκείμενα δεδομένων:

Ενδιάμεσα Κριτήρια

DSARs < 500: Εργασία Χειρισμού

Οι μικρές αιτήσεις μπορούν να χειριστούν με:

1. Ερώτημα βάσης δεδομένων: SELECT * FROM users WHERE email = ?
2. Εξαγωγή σε CSV
3. Ανίχνευση ευαίσθητου δεδομένου (PII, πληρωμή, υγεία)
4. Κρυπτογράφηση αρχείου
5. Ασφαλές ανταλλαγή (SFTP, encrypted email)

DSARs 500-5K: API Batch + Presidio

Τα μεσαία DSAR δείχνουν ανάγκη για εν μέρει αυτοματοποίηση:

1. Queue όλα τα 500 DSAR σε μια ουρά
2. Για κάθε DSAR:
   • Ερώτημα DB σε παράλληλο νήμα (thread pool)
   • Presidio ανίχνευση σε αποτελέσματα ερωτήματος
   • Κρυπτογράφηση αρχείου
   • Ανταλλαγή μέσω ασφαλούς σύνδέσμου
3. Αρχείο λογισμικού αιτήματος: ποιο δεδομένο ανταλλάχθηκε, πότε, κατάσταση

DSARs >5K: Distributed Processing

Οι μεγάλες δέσμες απαιτούν κατανεμημένη επεξεργασία:

1. Message Queue: Kafka, RabbitMQ ή AWS SQS για διανομή
2. Parallel Workers: 10-100 ταυτόχρονες διεργασίες
3. Database Pooling: Connection pool με 50+ συνδέσεις
4. Object Storage: Αποθήκευση δεδομένων (.zip αρχεία) σε S3 ή παρόμοιο
5. Link Generation: Δημιουργία συνδέσμων που λήγουν σε 30 ημέρες

anonym.legal Batch API για DSAR

Το anonym.legal παρέχει:

POST /api/dsar-batch
Content-Type: application/json
{
  "dsar_ids": ["user_123", "user_456", ...],
  "exclude_fields": ["internal_notes"],
  "encrypt_key": "public_key_pem",
  "delivery": "s3://bucket-name/"
}

Το API:

1. Ανακτά δεδομένα για κάθε χρήστη
2. Εξαγωγή δεδομένων σε .zip αρχείο
3. Κρυπτογράφηση αρχείου (AES-256)
4. Ανεβάσει σε S3
5. Δημιουργία ασφαλών συνδέσμων ανταλλαγής
6. Ειδοποίηση για κάθε ολοκληρωμένο DSAR

Συμμόρφωση με GDPR Άρθρο 12: Πρόσβαση

Το Άρθρο 12 απαιτεί:

• Απάντηση σε 30 ημέρες (μπορεί να επεκταθεί κατά 2 μήνες για πολύπλοκα αιτήματα)
• Πληροφορίες σε σαφή, ευλόγιστη μορφή
• Δεδομένα σε κοινή, δομημένη, μηχανής-αναγνώσιμη μορφή
• Έλεγχος της ταυτότητας του αιτούντος

Πηγές

• GDPR Article 12-15: Data Subject Rights
• EDPB: Guidelines on the Right of Access
• Presidio Batch Processing