dsar-response

/dsar-response

1. 読み込む：~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → DSAR プロセス（システム一覧、本人確認方法、SLA）。
2. 以下のワークフローを実行します。
3. 依頼の種類を分類します。エスカレーションの条件を確認し、該当するものがあれば、先に適切な担当先へ回します。
4. 本人確認 → システム一覧の確認 → 免除規定の分析 → 草案作成、の順に進めます。
5. 回答案の草案を出力します。送信はしないでください。人間が確認して送信します。
6. 所定の手順に従って DSAR を記録します。

依頼を貼り付ける前に： 依頼にはデータ主体の PII が含まれます。セッションと出力先の保存場所が、データ取り扱い要件を満たしていることを確認してください。不要なもの（本人確認書類の添付ファイル、無関係なメールのスレッドなど）は削除してください。ファイル名にデータ主体の氏名を含めないでください。

/privacy-legal:dsar-response
[paste the request email]

---

DSAR 回答案の作成

案件のコンテキスト

案件のコンテキスト。 実務レベルの CLAUDE.md で ## Matter workspaces を確認します。Enabled が ✗（社内法務ユーザーのデフォルト）の場合、この段落の残りはスキップしてください。スキルでは実務レベルのコンテキストが使用され、案件管理の仕組みは表示されません。有効で、アクティブな案件がない場合は、「どの案件が対象ですか？/privacy-legal:matter-workspace switch <slug> を実行するか、practice-level と入力してください。」と尋ねます。アクティブな案件の matter.md を読み込み、案件固有のコンテキストと上書き設定を確認します。出力は案件フォルダー ~/.claude/plugins/config/claude-for-legal/privacy-legal/matters/<matter-slug>/ に保存します。Cross-matter context が on でない限り、別の案件のファイルは読み取らないでください。

---

目的

DSAR には期限（適用される法令によって定められています）があり、手順（本人確認、所在の特定、免除規定の評価、回答）も決まっており、さまざまな問題が発生する可能性があります。このスキルでは、各手順を順に進め、回答を作成します。

適用法域の前提

この分析は、設定で指定された法域の範囲を前提としています。プライバシー規則、回答期限、適法な根拠は、法域によって大きく異なります（GDPR、州の消費者プライバシー法、分野別の法規制など）。データ主体、データ処理活動、または管理者の法域が設定と異なる場合、この分析は記載どおりには適用できない可能性があります。

プロセスを読み込む

~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → ## DSAR process を読みます。このセクションには、以下が記載されています。

• システム一覧（ユーザーデータが保存されているすべての場所）
• 本人確認方法
• 回答 SLA
• 通常案件の担当者と、エスカレーション先

システム一覧が空、または古い場合は、その旨を指摘してください。確認先が分からなければ、DSAR に完全に対応することはできません。

ワークフロー

ステップ 1：リクエストを分類する

データ主体がどの権利を行使しようとしているかを特定します。一般的なカテゴリーは次のとおりです。

• アクセス — 自分のデータのコピーと、処理に関する情報
• 削除／消去 — 自分のデータの削除（例外が適用される場合があります）
• データポータビリティ — 機械可読形式での自分のデータ
• 訂正／修正 — 不正確なデータの修正
• 異議申し立て — 特定の処理（多くの場合、マーケティング）の停止
• 処理の制限 — 紛争の解決まで処理を一時停止
• 販売・共有／自動意思決定からのオプトアウト — 法制度固有の権利

先に適用されるルールを調査してください。 行使された各権利について、どの法域の法律が適用されるか（GDPR、UK GDPR、CCPA/CPRA、米国のその他の州のプライバシー法、分野別の法制度）を特定します。適用される法令または規則について、具体的な条文・条項、権利の範囲、適用除外を示すピンポイントの参照を引用してください。施行日にも注意してください。データ主体の権利は頻繁に改正されます（立法会期ごとに新たな州法が制定されます）。不確実な点は明示し、確認していないルールを断定するのではなく、弁護士に確認を依頼してください。

黙って補完しないでください。 設定済みの法律調査ツールに対する検索で、該当する法域の権利、適用除外、期限に関する結果がほとんど、またはまったく得られなかった場合は、見つかった内容を報告して止めてください。確認を求めずに、ウェブ検索やモデルの知識で不足分を補ってはいけません。次のように伝えてください。「検索で [tool] から [N] 件の結果が見つかりました。[regime / right] に関する情報は十分でないようです。次の選択肢があります：（1）検索クエリを広げる、（2）別の調査ツールを試す、（3）ウェブ検索を行う — 結果には [web search — verify] のタグが付けられ、依拠する前に一次資料と照合する必要があります、または（4）未検証として扱い、ここで終了する。どれを希望しますか？」信頼度の低い情報源を受け入れるかどうかは、弁護士が判断します。

出典の信頼度別の分類。 すべての引用に出典タグを付けます。モデルの知識に基づく引用には、包括的な「要確認」タグを一つ付けるのではなく、次の3段階のいずれかを使います。

• [settled] — 変更されている可能性が低い、安定した、よく知られた法令・規則の参照（例：GDPR 第33条、CCPA § 1798.100、FTC Act § 5、概念としての CCPA § 1798.130(a)(2) に基づく45日間の回答期限）。申立ての前に確認は必要ですが、優先度は低めです。
• [verify] — 実在するものの、確認が必要なモデル知識に基づく引用：具体的な施行規則、当局のガイダンス、判例の判断、しきい値、施行日、2023年以降の改正など。
• [verify-pinpoint] — ピンポイントの引用（特定の号・項、巻・ページ番号、段落番号、規則の細分箇所への参照）は捏造のリスクが最も高いため、必ず一次資料と照合してください。

ツールで取得した引用には出典タグ（[Westlaw]、[issuing authority site]、または MCP ツール名）をそのまま付けます。ウェブ検索の引用には [web search — verify]、ユーザー提供の引用には [user provided] を付けます。段階別の分類により、実際に必要な確認作業が明確になります。すべてを確認するよう求めると、結局何も確認されなくなります。タグを削除したり、まとめたりしないでください。

リクエストが複数の権利にまたがる場合もあります。「アカウントを削除して、先に自分のデータを送ってほしい」は、削除とデータポータビリティを組み合わせたリクエストです。関連する2つのリクエストとして対応してください。

ステップ 2：本人確認を行う

~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md に記載された方法に従います。一般的な方法は次のとおりです。

• ログイン状態での確認： 認証済みセッションからリクエストが届いた場合 → 本人確認済み
• メールアドレスの照合： 登録済みのメールアドレスからリクエストが届いた場合 → リスクの低いリクエストであれば、通常は十分です
• 追加の確認： 高額資産のアカウントや削除リクエストの場合 → 本人しか知り得ない質問、電話での確認、身分証明書

リスクに応じて調整してください。 確認を厳しくしすぎると、DSAR プロセスが障壁になり、規制当局からの印象も悪くなります。確認が不十分だと、他人のデータを詐欺師に渡すおそれがあります。

本人確認ができない場合：

We were unable to verify that this request came from the individual whose data
is at issue. To proceed, please [verification step]. We cannot provide personal
data in response to a request we cannot verify.

この対応によって（おそらく）期限のカウントは一時停止しますが、放置してはいけません。29日目ではなく、数日以内に本人確認が必要である旨を伝えてください。

ステップ 3：データを特定する

~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md にあるシステム一覧を確認してください。各システムについて、次の表に記入します。

システム	照会済み？	データが見つかった？	内容
本番データベース
分析ツール（例：Mixpanel、Amplitude）
サポートチケット（例：Zendesk）
CRM（例：Salesforce、HubSpot）
メールマーケティング（例：Marketo）
ログ
バックアップ			（注：通常、削除の対象外です。下記を参照）
サードパーティの処理業者			（削除について通知が必要な場合があります）

B2B の処理業者の場合、「データ主体」は通常、顧客のエンドユーザーです。対応すべきなのが顧客の DSAR であり、自社のものではないかを確認してください。多くの処理業者向け DPA には、「DSAR を管理者に転送する」と記載されています。

ステップ 4：適用除外の分析

すべての情報が提供または削除されるわけではありません。**対応を進める前に、適用される規則を調査してください。**各項目について、対象となる制度の下で適用される可能性のある適用除外をすべて特定します（例：第三者のプライバシー、秘匿特権、営業秘密、セキュリティ、法的な保存義務、法的請求の確立・防御、取引上の必要性、バックアップのローテーションに関する配慮、表現の自由）。根拠となる法律、規則、判例と、該当箇所を特定する引用を示してください。適用除外の範囲は法域や制度によって異なるため、最新の情報を確認し、不確実性を明示してください。

**主観的な判断で候補を絞らないでください。**誠実な根拠がある適用除外をスキルが提案し、不確実なものにはフラグを付けます。回答を送る前に、弁護士が候補を絞り込みます。後になって適用除外に該当すると判明したものを除外すると、重大な損失につながります。いったん情報が開示されると、実質的に適用除外を主張できなくなるからです。適用除外を主張できる妥当な根拠を過剰に提示しても、弁護士のレビューで修正できます。後から修正できる誤りを選んでください。

提案する各適用除外には、明示的に次の注記を付けます。「提案 — 主張する前に弁護士による確認が必要です。規制当局は包括的な適用除外の主張を厳しく精査するため、候補を絞り込むのは弁護士であり、スキルではありません。」

よくある論点について、以下を検討してください。

• 記録に他の人に関するデータが含まれており、提供前に編集・削除する必要はありますか？
• 削除を妨げる具体的な法的保存義務はありますか？その根拠を示してください。
• この個人のデータを対象とする、進行中の訴訟ホールドはありますか？
• バックアップのローテーションや技術的実現可能性に関する配慮を文書化する必要がありますか（一般的な言い訳として使うのではなく）？

**主張する適用除外はすべて記録してください。**規制当局から削除しなかった理由を尋ねられたとき、「法的義務がありました」だけでは不十分です。引用を示す必要があります。

ステップ 5：回答を作成する — 2 通の書簡

**調査コネクターの事前確認。**いずれかの書簡または内部向けの適用除外分析を出力する前に、このセッションで法務調査コネクターを利用できるか確認してください。対象は Westlaw、EUR-Lex／規制当局サイトのコネクター、または事務所が設定した調査 MCP です。CLAUDE.md の ## Outputs に従い、確認結果をレビュー担当者向けメモに記載してください。レビュー担当者向けメモは、内部向けの適用除外分析とカバーメモに付けるものであり、データ主体に送る外部向けの DSAR 書簡には付けません。ステップ 1（適切な分類）、ステップ 4（適用除外の分析）、または期限管理の調査ステップでコネクターから結果が返されなかった場合（または実行時にコネクターが設定されていない場合）は、内部向けレビュー担当者メモの Sources: 行にその旨を記録してください。例：未接続 — トレーニング知識に基づく引用です。主張する適用除外、回答期限、延長の仕組みは特に捏造されやすいため、データ主体または規制当局に適用除外を主張する前に確認してください。引用ごとの [model knowledge — verify] タグは、本文中にそのまま残してください。出力の前に独立したバナーを付けないでください。

ほとんどの制度では、実質的な回答とは別に、速やかな受領確認が想定されているか、義務付けられています。両方を作成してください。45 日の期限まで送付を待つ、1 通だけの書簡にまとめてはいけません。

• ステップ 5a — 受領確認書。 受領から数日以内に送付します（目標：当日から 3〜5 日以内、常に法令の法定期間内に十分収まるようにします）。受領を確認し、管理者が当該請求をどのように理解したかを記載し、対応期限と目標日を明記し、まだ未提出の本人確認資料があれば請求します。実質的な開示内容は含みません。迅速な受領確認は、DSAR プロセスが機能していることを規制当局が最初に確認できるシグナルであり、重複請求や早期の苦情のリスクも低減します。
• ステップ 5b — 実質的回答書。 実際の開示、削除の確認、またはポータビリティのエクスポートです。法令上の期限（より厳しい場合は内部 SLA）までに送付します。本人確認が完了し、ステップ 3 / ステップ 4 のデータ所在＋適用除外の分析が終わっている場合に限ります。

いずれかの書簡をデータ主体に送付する前に： ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md の ## Who's using this を読んでください。役割が非弁護士の場合：

DSAR 回答の送付には法的な結果が伴います。その内容、主張する適用除外、および省略はすべて規制当局の審査対象となり、誤った記載は執行上のリスクになります。この点について弁護士に確認しましたか？　はいの場合、進めてください。いいえの場合、弁護士に持参するための概要を以下に示します：

[1 ページのサマリーを生成：データ主体、行使された権利、適用される法域、システム一覧全体で何が見つかったか、何がどの適用除外に基づいて留保されているか、本人確認の状況、回答期限、および書簡を送付する前に弁護士に尋ねるべき 3 つの事項。]

あなたの法域で認可された弁護士、solicitor、barrister、その他の権限ある法務専門家を探す必要がある場合：あなたの職業規制機関の紹介サービスが最も迅速な出発点です（米国では州弁護士会、イングランドおよびウェールズでは SRA／Bar Standards Board、スコットランド／北アイルランド／アイルランド／カナダ／オーストラリアでは Law Society、またはあなたの法域における同等の機関）。

明示的な「はい」なしに、このゲートを越えて進めないでください。

注記： 両方の DSAR 書簡は、データ主体に送付される对外向けの成果物です。どちらの書簡にも、~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md の ## Outputs にあるワークプロダクトのヘッダーを含めないでください。書簡に付随する内部メモ、ログ、適用除外の分析は弁護士ワークプロダクトです。これらは分けて保管し、~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md の ## Outputs（ユーザーの役割によって異なります — ## Who's using this を参照）に従ってワークプロダクトのヘッダーを先頭に付けてください。

いずれかの書簡を送付する前に： これは弁護士レビュー用のドラフトであり、送付する回答ではありません。送付すると管理者が特定の立場に拘束され、適用除外を放棄する可能性があり、規制当局の時計が動き始める可能性があります。認可された弁護士が、いずれかの書簡がデータ主体に届く前にレビュー、編集、承認します。未レビューのまま送付しないでください。

ステップ 5a — 受領確認書のテンプレート

Subject: We received your privacy request — [Company] — [date]

Dear [Name],

We received your [access / deletion / portability / correction] request on [date received].

**Your request, as we understand it:** [one-sentence restatement — e.g., "a copy of all personal data we hold associated with your account, along with the categories of third parties with whom we share it, and deletion of your account after we provide the copy."]

**What happens next:**
- Our target date for the substantive response is [date — no later than the regime's statutory deadline; use internal SLA if tighter]. [If identity verification is outstanding: "We need [specific verification step] before we can proceed — see below."]
- If we need more time because the request is complex or we receive other requests from you at the same time, we will tell you before the initial deadline and explain why. [If the regime allows an extension, cite the controlling provision.]
- No fee applies to this request. [Or: the fee applies only if the regime permits it and the request is manifestly unfounded or excessive — cite the provision.]

[If identity verification is outstanding:]
**To verify your identity,** please [specific verification step — e.g., reply to this email from the address on file with the last 4 digits of the payment method we have on file]. This does not pause our deadline; we continue to work in parallel.

If you have questions, contact [privacy contact].

[Sender]

時計開始ルール。 回答の時計は、適用される法令が別段の定めをしていない限り、本人確認の完了時ではなく、請求の受領時に開始します。本人確認を理由に時計を黙示的に停止しないでください。法域によって異なる起算点がある場合は、それを引用してください。推測しないでください。

ステップ 5b — 実質的回答書のテンプレート

アクセス請求への回答：

Subject: Your Data Access Request — [Company] — [date]

We received your request on [date] for a copy of the personal data we hold about you.

**What we found:**

We hold the following categories of personal data associated with [identifier]:

| Category | Source | Purpose | Retained until |
|---|---|---|---|
| [Account info: name, email] | You, at signup | Account management | Account deletion |
| [Usage data] | Our service | Analytics, product improvement | [period] |
| [Support correspondence] | You | Customer support | [period] |

**Your data is attached** in [format]. [Secure delivery note — password-protected
archive, secure link with expiry, etc.]

**Third parties:** We share data with the following processors: [list or link to
subprocessor page].

**Your other rights:** You may also request [deletion / correction / portability].
To do so, [method].

**Data we did not include:**
- [Category] — [exemption and reason, e.g., "internal security logs — disclosure
  would compromise security measures"]
- [Data about other individuals has been redacted from support correspondence]

If you have questions about this response, contact [privacy contact].

削除請求への回答：

Subject: Your Deletion Request — [Company] — [date]

We received your request on [date] to delete the personal data we hold about you.

**What we deleted:**

| Category | System | Deleted on |
|---|---|---|
| [Account and profile] | Production | [date] |
| [Analytics events] | [Amplitude/etc.] | [date] |
| [etc.] | | |

**What we retained and why:**

| Category | Reason | Retained until |
|---|---|---|
| [Transaction records] | Legal obligation (tax record retention, [cite law]) | [date] |
| [Backup snapshots] | Will be deleted on next rotation | [date] |

**Third-party processors:** We have instructed [list] to delete your data from
their systems.

Your account is now closed. If you have questions, contact [privacy contact].

ステップ 6：記録する

DSAR は監査の対象になります。以下を記録します：

• 受領日
• 本人確認日
• 回答日
• 何を開示／削除したか
• 主張した適用除外とその根拠
• 誰が対応したか

チームが DSAR 追跡ツールを使用している場合は、そこで記録を作成します。そうでない場合は、ログファイルで十分です。

エスカレーションのトリガー

~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → エスカレーション表に従い、次の場合はエスカレーションします。

• 依頼者が原告、相手方弁護士、またはジャーナリストである（またはその可能性がある）
• 依頼の範囲が通常と異なる（「自分に関する社内コミュニケーションを含むすべてのデータ」など）
• この個人のデータに訴訟ホールドがかかっている（削除依頼と訴訟ホールドが競合する場合は、弁護士が判断します）
• 依頼者が以前の DSAR 対応に異議を申し立てている
• 規制当局が cc に含まれている、または言及されている

期限の管理

2通の書簡ルール。 DSAR ごとに、受領確認書（速やかに送付。目安は受領当日から3～5日後まで）と、実質的な回答書（法定期限まで）の両方が必要です。ほとんどの制度では、実質的な回答とは別に、速やかな受領確認を義務付けるか、期待しています。45日目に1通の書簡をまとめて送るだけでは、内容が正しくても手続き上の不備となります。

該当する権利と適用法域について、現時点で有効な回答期限を調査してください。 期限の延長制度があるか、延長できる期間、および延長を適用するためにデータ主体へどのような通知が必要かを確認してください。期限の起算日（受領日、本人確認日、その他の要件のいずれか。原則は受領日ですが、制度ごとに確認してください）を特定してください。該当箇所を特定できる参照情報を添えて、適用される法令または規則を引用してください。施行日にも留意してください。データ保護に関する回答期限は頻繁に改正され、新しい州法では独自の期限が定められています。

~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → ## DSAR process に、法定期限より短い社内 SLA が記載されている場合は、社内 SLA を適用し、法定期限も併記してください。

延長が必要な場合は、最初の期限より十分前に「さらに時間が必要です」という通知を送ってください。期限当日の延長は印象がよくありません。

このスキルで対応しないこと

• システムに直接問い合わせることはありません。チェックリストに沿って手順を案内しますが、実際の問い合わせは人間（または接続されたツール）が行います。
• 判断が難しい事案で、免除の適用可否を判断することはありません。弁護士への確認が必要な事案としてフラグを立てます。
• 回答を送信することはありません。草案を作成し、レビューしたうえで、人間が送信します。