DSAR 激增：GDPR 合规的批量处理方案
GDPR 第 12 条设定了一个月的响应期限。机构必须在收到数据主体访问请求（DSAR）后 30 天内作出答复，复杂情形可延长至 60 天。计时从收到请求当日起算，没有任何宽限期。超期答复本身即构成违规。
2024 年，数据保护机构（DPA）的一系列罚款行动让公众对数据权利有了广泛认知。爱尔兰 DPC 因 LinkedIn 在未获有效同意的情况下使用行为广告数据，对其开出 3.1 亿欧元罚单；又因 Meta 未及时通知数据泄露事件，开出 2.51 亿欧元罚单。每一次重磅罚款都带来了广泛的社会关注，越来越多的公众意识到自己拥有数据权利，DSAR 请求量随之持续攀升。
EDPB 2024 年协调执法框架将访问权合规作为重点审查领域，无法呈现完整 DSAR 处理记录的机构正面临更严格的监管审查。
请参阅我们的合规概览和安全实践，了解我们如何支持 GDPR 合规义务的履行。
第三方个人信息的处理难题
DSAR 响应在实操中会产生一个特殊问题：第三方个人信息的处理。
数据主体申请获取与其相关的所有记录，但这些记录中可能涉及其他人的信息。一条客服记录中可能包含另一位客户的电话号码；一封邮件往来记录中可能呈现同事的地址；一份投诉记录中可能提及第三方。将这些记录原样发送给申请人，会暴露他人的个人数据，构成对他人权利的单独违规。
机构必须逐份审查每一份文件，在发送前删除所有第三方信息。以一家月均处理 300 份 DSAR 请求的电信公司为例，每份请求涉及约 50 份文件，这意味着每月仅为响应 DSAR 就需要审查 15,000 份文件。
三人团队无法完成这样的工作量，人工审查根本无法在一个月期限内满足如此规模的处理需求。
批量处理架构方案
针对 DSAR 响应场景的专属预设可以解决这一问题。预设对每份文件进行扫描，识别所有人名、联系方式及其他标识符，并对除申请人以外的所有匹配项完成匿名化处理——在任务开始时输入申请人的姓名和账号即可实现精准区分。
记录中涉及的其他客户将被匿名化；服务记录中引用的员工将被匿名化；邮件中出现的第三方将被匿名化。所有这些处理在文件包组装之前全部完成。
处理 50 份文件只需数分钟，而非数小时。合规团队仅需对输出结果进行边缘情形的人工复核，响应时间可从数周压缩至数天。
请访问我们的实体识别页面，了解预设默认检测的数据类型。
可靠 DSAR 工作流的三个关键要素
一个经得起审查的 DSAR 响应工作流须具备三个核心要素。
**速度。**批量处理工具消除了在高请求量下导致超期的处理瓶颈。
**准确性。**预设必须在删除第三方个人信息的同时，不影响申请人自身数据的完整呈现。配置良好的预设能够精准处理这一区分。
**审计追踪。**第 5(2) 条要求合规行为具有可证明性。批量处理运行会自动记录每份文件的处理情况、所用预设及处理时间——这份日志即是你的合规证据。