dsar-processing

データ主体アクセス要求の処理

概要

データ主体アクセス要求（DSAR）とは、GDPR 第 15 条に基づき、個人データが処理されているかどうかの確認を求め、処理されている場合は、そのデータと補足情報へのアクセスを取得する個人の権利です。このスキルでは、法令で定められた期限内に DSAR を受け付け、検証し、処理し、回答するための完全な運用ワークフローを提供します。

法的根拠

GDPR 第 15 条 — データ主体のアクセス権

1. 第 15 条第 1 項 — データ主体は、自身に関する個人データが処理されているかどうかについて管理者から確認を得る権利を有し、処理されている場合は、個人データおよび以下の情報にアクセスする権利を有します。

   • (a) 処理の目的
   • (b) 対象となる個人データの種類
   • (c) 個人データが開示された、または開示される予定の受領者もしくは受領者の種類。特に、第三国または国際機関の受領者
   • (d) 可能な場合、個人データの保存予定期間。これが不可能な場合は、その期間を決定するために用いられる基準
   • (e) 訂正、消去、処理の制限を求める権利、または処理に異議を申し立てる権利の存在
   • (f) 監督機関に苦情を申し立てる権利
   • (g) 個人データがデータ主体から収集されたものでない場合、その情報源について入手可能な情報
   • (h) 第 22 条第 1 項および第 4 項に定めるプロファイリングを含む、自動化された意思決定の存在、および関与するロジック、その重要性、想定される結果に関する有意義な情報

2. 第 15 条第 3 項 — 管理者は、処理中の個人データのコピーを提供するものとします。追加のコピーについては、管理者は事務費用に基づく妥当な手数料を請求できます。

3. 第 15 条第 4 項 — コピーを取得する権利は、他者の権利および自由を侵害してはなりません。

GDPR 第 12 条 — 透明性のあるコミュニケーション

• 第 12 条第 3 項 — 回答期限：不当な遅滞なく、いかなる場合も受領から 1 か月以内です。要求の複雑さおよび件数を考慮し、必要な場合はこの期間をさらに 2 か月延長できます。管理者は、受領から 1 か月以内に、遅延の理由とともに、そのような延長についてデータ主体に通知するものとします。
• 第 12 条第 5 項 — 要求が明らかに根拠を欠く、または過剰である場合（特に反復的な性質による場合）、管理者は妥当な手数料を請求するか、対応を拒否できます。明らかに根拠を欠く、または過剰であることを証明する責任は管理者が負います。

DSAR 処理ワークフロー

ステップ 1：要求を受け付けて記録する

1. 一意の参照番号（形式：DSAR-YYYY-NNNN）を付けて、DSAR 追跡台帳に要求を記録します。
2. 受領チャネル（メール、ウェブフォーム、郵便、電話、対面）を記録します。
3. UTC を使用し、受領時刻を分単位で記録します。
4. 指定された DSAR 処理チームのメンバーに要求を割り当てます。
5. 受領から 3 営業日以内に、受領確認と参照番号を記載した通知をデータ主体に送信します。

ステップ 2：請求者の本人確認を行う

1. 低リスクの本人確認（ログイン済みの顧客ポータルなど、確認済みアカウントから受け付けた請求）：既存の認証方法でアカウントの所有者であることを確認します。
2. 中リスクの本人確認（登録情報と一致するメールアドレスから受け付けた請求）：次のうち2つの情報を求めます — 生年月日、アカウント番号、アカウントに登録された郵便番号、支払い方法の下4桁。
3. 高リスクの本人確認（未確認の経路から、または他者を代理して行われた請求）：政府発行の写真付き身分証明書と、追加の識別情報を1つ求めます。第三者からの請求（例：データ主体を代理する弁護士）の場合、データ主体が署名した書面による委任状に加えて、代理人とデータ主体の両方の本人確認書類を求めます。
4. 本人確認ができない場合は、追加の証明が必要であることを10営業日以内に請求者へ通知します。EDPB Guidelines 01/2022 paragraph 64 に従い、本人確認が完了するまで30日間の回答期限は停止します。

ステップ 3：請求の範囲を評価する

1. 請求がすべての個人データを対象とするのか、特定のデータのみを対象とするのかを判断します。
2. データ主体のデータが存在する可能性のある、すべてのデータ処理システムを特定します：
   • CRM システム（例：Salesforce、HubSpot）
   • 人事／給与システム（従業員による DSAR の場合）
   • マーケティングオートメーションプラットフォーム
   • カスタマーサポートのチケット管理システム
   • 分析およびログ記録プラットフォーム
   • バックアップおよびアーカイブシステム
   • サードパーティの処理者のシステム
3. 免除の対象となるデータを記録します（ステップ 5 を参照）。
4. 管理者が大量のデータを処理している場合、Recital 63 に従い、請求の対象となる情報または処理活動をデータ主体に特定するよう求めます。

ステップ 4：回答期限を算出する

1. 標準期限：請求を受領した日の翌日から30暦日（本人確認が必要な場合は、本人確認完了日の翌日から）。
2. 延長：請求が複雑な場合、または請求の件数が多い場合は、さらに最長2か月延長できます（最長合計90暦日）。最初の30日以内に、延長することとその理由をデータ主体に通知します。
3. 週末／祝日の規則：期限が管理者の管轄区域の週末または祝日に当たる場合、Regulation (EEC, Euratom) No 1182/71 に従い、期限は次の営業日に繰り越されます。

ステップ 5：Art. 15(4) に基づく免除を適用する

次の免除が適用されるかどうかを確認します：

1. 他者の権利および自由 — Art. 15(4)：開示によって他の個人の権利および自由が不利益を受ける場合（例：第三者の個人データ、第三者の営業秘密）、データを削除または非開示にします。
2. 法的秘匿特権 — 法律専門家の秘匿特権または訴訟上の秘匿特権によって保護されるデータ。
3. 秘密として提供された照会情報 — 教育、訓練、または雇用を目的として秘密として提供された照会情報（UK GDPR の補足規定に基づき適用）。
4. 経営予測 — 開示によって事業に不利益が生じる場合の、経営予測または計画のために処理されたデータ（特定の加盟国による適用除外に基づき適用）。
5. 交渉 — データ主体との交渉に関する意図の記録で構成され、開示によってその交渉に不利益が生じるデータ。

適用した各免除について、具体的な根拠とともに記録します。

ステップ 6：回答を作成する

1. 特定したシステムからすべての個人データを収集します。
2. データをカテゴリー別に整理します。
   • 識別データ（氏名、生年月日、連絡先）
   • 財務データ（取引記録、支払い方法）
   • 技術データ（IP アドレス、デバイス識別子、Cookie）
   • 利用データ（サービスの利用記録、設定）
   • 通信データ（サポートチケット、やり取り）
   • プロファイリングデータ（セグメント、スコア、自動化された決定）
3. Art. 15(1)(a)-(h) に基づき必要な補足情報を用意します。
4. 適用除外データを明確に注記して墨消しし、各墨消しの法的根拠を示します。
5. 回答は一般的に使用される電子形式で作成します（送付状は PDF、該当する場合は構造化データを CSV/JSON 形式で作成）。

ステップ 7：品質保証レビュー

1. 完全性を確認します。特定したすべてのシステムを照会し、結果をまとめていることを確認します。
2. 正確性を確認します。データをソースシステムと照合して抜き取り検査します。
3. 墨消しを確認します。各墨消しに法的根拠があり、記録されていることを確認します。
4. 回答が Art. 15(1)(a)-(h) のすべての要素に対応していることを確認します。
5. データ保護責任者または指定されたプライバシー責任者の承認を得ます。

ステップ 8：回答を送付する

1. 安全なチャネルを通じて回答を送信します。
   • 暗号化メール（転送時は TLS 1.2 以降、添付ファイルは AES-256 で暗号化）
   • 有効期限付きアクセスリンク（72 時間で失効）を備えた安全なダウンロードポータル
   • 配達確認付き書留郵便（電子的でない請求の場合）
2. 送付日、方法、受領確認を記録します。
3. DSAR 台帳を更新し、終了日と結果を記録します。

ステップ 9：回答後の対応

1. コンプライアンスを証明するため、DSAR 処理記録（請求、社内メモ、墨消しの根拠、回答の写し）を最低 3 年間保管します。
2. データ主体が回答に納得しない場合は、Art. 77 に基づき、関係する監督機関に苦情を申し立てる権利があることを伝えます。
3. DSAR プロセス中に特定した体系的な問題を、組織のデータガバナンス改善プログラムに反映します。

手数料および拒否に関する規定

合理的な手数料（Art. 12(5)(a)）

管理者は、情報もしくは連絡の提供、または請求された措置の実施にかかる事務費用を考慮したうえで、次の場合に合理的な手数料を請求できます。

• 請求が明らかに根拠を欠く場合（例：請求者が混乱を引き起こす意図を明示している）、または
• 請求が過剰な場合（例：処理活動に変更がないにもかかわらず、同一人物が 12 か月以内に 4 回目の同一内容の DSAR を提出する）。

Meridian Analytics Ltd の手数料は、基本料金 GBP 10.00 に、出力が 500 ページを超える場合の 1 ページあたり GBP 0.10 を加算して算出します。

対応の拒否（Art. 12(5)(b)）

請求が明らかに根拠を欠く場合、または過剰な場合、管理者は請求への対応を拒否できます。ただし、以下を行う必要があります。

1. 拒否の理由をデータ主体に通知します。
2. 監督機関に苦情を申し立てる権利があることをデータ主体に通知します。
3. 司法救済を求める権利があることをデータ主体に通知します。
4. 拒否の決定とその正当性を記録します。

EDPB ガイダンスの参照先

• データ主体の権利に関する EDPB ガイドライン 01/2022 — アクセス権：適用範囲、アクセス方法、第三者データの取り扱い、および他の GDPR 上の権利との関係を明確にしています。
• 透明性に関する EDPB ガイドライン（WP260 rev.01）：簡潔で、透明性があり、理解しやすく、容易にアクセスできるコミュニケーションに関する Art. 12 の要件についてガイダンスを示しています。