การปฏิบัติตาม GDPR DSAR ในระดับขนาดใหญ่...

การปฏิบัติตาม GDPR DSAR ในระดับขนาดใหญ่: ประมวลผล 200 คำขอต่อเดือนโดยไม่ต้องจ้างทีมเพิ่ม

GDPR มาตรา 15 ให้สิทธิ์เจ้าของข้อมูลในการรับสำเนาข้อมูลส่วนตัวทั้งหมดที่องค์กรถือครองเกี่ยวกับพวกเขา กำหนดเส้นตาย 30 วัน (ขยายได้ถึง 90 วันสำหรับคำขอที่ซับซ้อน) เป็นข้อบังคับ ค่าปรับสำหรับความล้มเหลว DSAR เชิงระบบไม่ใช่เรื่องทฤษฎี: Vodafone Spain ได้รับค่าปรับ €1.2 ล้านในปี 2021 สำหรับความล้มเหลว DSAR บริษัทเยอรมันได้รับค่าปรับ €225K ในปี 2023

ปัญหาปริมาณ DSAR ที่เพิ่มขึ้น

ปริมาณ DSAR เพิ่มขึ้นอย่างรวดเร็ว:

• เพิ่มขึ้น 40-60% ต่อปีในองค์กรที่มีฐานลูกค้าขนาดใหญ่ (IAPP DSAR Survey 2024)
• องค์กรขนาดกลางรายงานค่าเฉลี่ย 3-8 ชั่วโมงต่อการตอบ DSAR ด้วยตนเอง
• ที่ 200 DSAR/เดือน: 600-1,600 ชั่วโมงทีม/เดือนหากประมวลผลด้วยตนเอง

ที่ไหนเวลาถูกใช้ใน DSAR ด้วยตนเอง

กระบวนการ DSAR ทั่วไปประกอบด้วย:

1. การค้นหาข้อมูล (2-4 ชั่วโมง): ระบุระบบทั้งหมดที่มีข้อมูลเจ้าของข้อมูล — CRM, อีเมล, บันทึกการสนับสนุน, แพลตฟอร์มการตลาด, บันทึกธุรกรรม
2. การสุขาภิบาลเอกสาร (1-3 ชั่วโมง): ลบ PII ของบุคคลที่สามออกจากเอกสารที่ดึงมาก่อนส่ง
3. การตรวจสอบ (1-2 ชั่วโมง): ตรวจสอบว่าเอกสารที่แก้ไขไม่เปิดเผย PII ของผู้อื่นโดยไม่ตั้งใจ
4. การจัดส่ง (0.5-1 ชั่วโมง): สร้างแพ็กเกจข้อมูล ส่งอย่างปลอดภัย บันทึกการปฏิบัติตาม

แนวทางการประมวลผลแบบกลุ่มสำหรับ DSAR

การทำให้ไม่ระบุตัวตนอัตโนมัติสำหรับ DSAR เน้นที่ขั้นตอน "การสุขาภิบาลเอกสาร" ซึ่งคิดเป็น 30-50% ของเวลา DSAR ทั้งหมด:

เวิร์กโฟลว์การแก้ไข DSAR แบบกลุ่ม:

1. อัปโหลดเอกสารที่ดึงมาทั้งหมดสำหรับ DSAR หนึ่งรายการ
2. ตรวจจับ PII ของบุคคลที่สามโดยอัตโนมัติ (ชื่อ อีเมล หมายเลขโทรศัพท์ ตัวระบุ)
3. แก้ไขเฉพาะ PII ของบุคคลที่สาม — รักษาข้อมูลของผู้ร้องขอไว้
4. ส่งออกชุดที่แก้ไขแล้วพร้อมบันทึกการตรวจสอบ

ผลลัพธ์ที่วัดได้:

• เวลาสุขาภิบาลเอกสาร: 1.5-3 ชั่วโมง → 15-20 นาที ต่อ DSAR
• DSAR 200 รายการ/เดือน: ประหยัดเวลา ~300-400 ชั่วโมงต่อเดือน
• ค่าใช้จ่ายทีม: ลดลงจาก 2-3 FTE → 0.5 FTE สำหรับการสุขาภิบาล DSAR

แหล่งที่มา:

• IAPP: DSAR Volume Report 2024
• ICO: คำแนะนำคำขอเข้าถึงข้อมูลส่วนบุคคล
• บันทึกค่าปรับ Vodafone Spain 2021 — AEPD