DSAR-ökning: Batchbehandling för GDPR-efterlevnad
GDPR Artikel 12 sätter en frist på en månad. Organisationer måste svara på registrerades begäran om tillgång inom 30 dagar. Komplexa ärenden ger en förlängning på 60 dagar. Klockan börjar löpa vid mottagandet. Det finns ingen toleransperiod. Att missa fristen är i sig en överträdelse.
Under 2024 gjorde DPA:s böter registrerades rättigheter allmänt kända. Den irländska DPC bötfällde LinkedIn med 310 miljoner euro för att ha använt beteendebaserad annonsering utan giltigt samtycke. Den bötfällde Meta med 251 miljoner euro för att inte ha meddelat ett dataintrång i tid. Varje böter medförde en informationskampanj. Fler människor fick kännedom om att de hade rättigheter. Volymen av registrerades begäran steg.
EDPB:s samordnade verkställighetsramverk 2024 riktade in sig på brister i rätten till tillgång. Organisationer som inte kan visa rena handlingar för registrerades begäran utsätts nu för ökad granskning.
Se vår efterlevnadsöversikt och säkerhetspraxis för hur vi stödjer GDPR-skyldigheter.
Problemet med tredje parts PII
Svar på registrerades begäran skapar ett specifikt problem: tredje parts PII.
En registrerad begär alla uppgifter om dem. Dessa uppgifter kan namnge andra personer. En supportanteckning kan innehålla en annan kunds telefonnummer. En e-posttråd kan visa en kollegas adress. En klagomålspost kan nämna en tredje part. Att skicka dessa handlingar ut exponerar andra personers uppgifter. Det är en separat kränkning av deras rättigheter.
Du måste granska varje dokument. Du måste ta bort hänvisningar till tredje parter innan du skickar. Ett telekomföretag med 300 begäran per månad har ungefär 50 dokument per begäran. Det är 15 000 dokument varje månad — bara för att uppfylla kraven för registrerades begäran.
Ett team på tre personer klarar inte det. Manuell granskning passar inte inom en månadsram vid den skalan.
Batchbehandlingsarkitektur
En förinställning för svar på registrerades begäran löser detta. Förinställningen skannar varje dokument. Den hittar alla personnamn, kontaktuppgifter och andra identifierare. Den anonymiserar varje träff utom de som tillhör den begärande personen. Du anger den personens namn och kontonummer i början av jobbet.
Andra kunder som nämns i uppgifter anonymiseras. Medarbetare som citeras i serviceanteckningar anonymiseras. Tredje parter i e-postmeddelanden anonymiseras. Allt detta sker innan dokumentpaketet sätts ihop.
Att behandla 50 dokument tar minuter — inte timmar. Efterlevnadsteamet kontrollerar utdata för kantfall. Svarstiden minskar från veckor till dagar.
Besök vår entitetssida för att se vilka datatyper förinställningen identifierar som standard.
Vad som krävs för ett försvarbart arbetsflöde
Tre saker gör ett arbetsflöde för registrerades begäran försvarbart.
Hastighet. Batchverktyg tar bort flaskhalsen som orsakar förseningar vid volym.
Noggrannhet. Förinställningen måste ta bort tredje parts PII utan att röra den registrerades egna uppgifter. En välkonfigurerad förinställning hanterar denna distinktion.
Revisionslogg. Artikel 5(2) kräver bevis på efterlevnad. Batchkörningar loggar vilka dokument som behandlades, vilken förinställning som användes och när. Den loggen är ditt bevis.