dsar-processing

处理数据主体访问请求

概述

数据主体访问请求（DSAR）是个人依据 GDPR 第 15 条享有的一项权利：个人有权确认其个人数据是否正在被处理；如果是，则有权访问该数据以及补充信息。本技能提供一套完整的操作工作流，用于在法律规定的期限内接收、验证、处理并回复 DSAR。

法律依据

GDPR 第 15 条——数据主体的访问权

1. 第 15(1) 条——数据主体有权要求控制者确认是否正在处理与其相关的个人数据；如果正在处理，则有权访问该个人数据以及以下信息：

   • (a) 处理目的
   • (b) 涉及的个人数据类别
   • (c) 个人数据已经或将要披露给的接收方或接收方类别，尤其是第三国或国际组织中的接收方
   • (d) 在可能的情况下，个人数据的预计存储期限；如果无法确定，则说明用于确定该期限的标准
   • (e) 请求更正、删除、限制处理或反对处理的权利
   • (f) 向监管机构提出投诉的权利
   • (g) 如果个人数据并非从数据主体处收集，则提供有关其来源的任何可用信息
   • (h) 存在第 22(1) 条和第 22(4) 条所述的自动化决策（包括分析），并提供有关所涉逻辑、其重要性及预期后果的有意义信息

2. 第 15(3) 条——控制者应提供正在处理的个人数据副本。对于额外副本，控制者可以根据行政成本收取合理费用。

3. 第 15(4) 条——获取副本的权利不得对他人的权利和自由造成不利影响。

GDPR 第 12 条——透明沟通

• 第 12(3) 条——回复期限：不得无故拖延，并且无论如何都应在收到请求后的一个月内回复。如有必要，可考虑请求的复杂程度和数量，将期限再延长两个月。控制者应在收到请求后的一个月内将延期情况告知数据主体，并说明延迟原因。
• 第 12(5) 条——如果请求明显缺乏依据或过度（尤其是因重复提出），控制者可以收取合理费用，也可以拒绝处理。控制者承担证明请求明显缺乏依据或过度的责任。

DSAR 处理工作流

第 1 步：接收并登记请求

1. 在 DSAR 跟踪登记簿中记录请求，并分配唯一的参考编号（格式：DSAR-YYYY-NNNN）。
2. 记录请求的接收渠道（电子邮件、网页表单、邮寄、电话、当面提交）。
3. 使用 UTC 将接收时间精确到分钟。
4. 将请求分配给指定的 DSAR 处理团队成员。
5. 在 3 个工作日内向数据主体发送确认，确认已收到请求并告知参考编号。

步骤 2：核验请求人的身份

1. 低风险核验（请求来自已验证的账户，例如已登录的客户门户）：通过现有身份验证确认账户所有权。
2. 中风险核验（请求通过与记录相符的电子邮件地址提交）：要求提供以下信息中的两项——出生日期、账户号码、与账户关联的邮政编码、支付方式的后四位数字。
3. 高风险核验（请求来自无法识别的渠道，或由他人代为提出）：要求提供政府签发的带照片身份证件，以及一项额外的身份标识信息。对于第三方请求（例如，律师代表他人行事），要求提供由数据主体签署的书面授权，以及代表人和数据主体双方的身份证明。
4. 如果无法核验身份，应在 10 个工作日内告知请求人需要提供额外证明。根据 EDPB《指南 01/2022》第 64 段，30 天的回复期限将在身份核验完成前暂停计算。

步骤 3：评估请求范围

1. 确定请求涉及所有个人数据，还是特定子集。
2. 确定可能存有数据主体数据的所有数据处理系统：
   • CRM 系统（例如 Salesforce、HubSpot）
   • HR/薪资系统（针对员工 DSAR）
   • 营销自动化平台
   • 客户支持工单系统
   • 分析和日志记录平台
   • 备份和归档系统
   • 第三方处理者的系统
3. 记录适用豁免的数据（见步骤 5）。
4. 如果控制者处理大量数据，应根据序言第 63 条要求数据主体明确说明请求涉及的信息或处理活动。

步骤 4：计算回复期限

1. 标准期限：自收到请求次日起 30 个日历日（如果需要核验身份，则自身份核验完成次日起计算）。
2. 延期：如果请求复杂或请求数量众多，可延长最多两个月（总期限最长为 90 个日历日）。须在最初 30 天期限内告知数据主体延期及其原因。
3. 周末/节假日规则：如果期限截止日为控制者所在司法管辖区的周末或公共假日，则根据《第 1182/71 号条例（EEC，Euratom）》顺延至下一个工作日。

步骤 5：适用第 15(4) 条规定的豁免

审查是否适用以下任何豁免：

1. 他人的权利和自由 — 第 15(4) 条：如果披露会对其他个人的权利和自由造成不利影响（例如，第三方个人数据、第三方商业秘密），则删除或不提供相关数据。
2. 法律专业保密特权 — 受法律专业保密特权或诉讼保密特权保护的数据。
3. 保密推荐信 — 为教育、培训或就业目的以保密方式提供的推荐信（适用于英国 GDPR 补充条款）。
4. 管理预测 — 为管理预测或规划而处理的数据，如果披露会损害业务（适用于某些成员国的减损规定）。
5. 谈判 — 涉及与数据主体谈判意向记录的数据，如果披露会损害谈判。

对每项适用的豁免，均须记录具体理由。

步骤 6：整理答复

1. 从已识别的系统中收集所有个人数据。
2. 按类别整理数据：
   • 身份数据（姓名、出生日期、联系方式）
   • 财务数据（交易记录、支付方式）
   • 技术数据（IP 地址、设备标识符、Cookie）
   • 使用数据（服务交互记录、偏好）
   • 通信数据（支持工单、往来通信）
   • 画像数据（分群、评分、自动化决策）
3. 准备 Art. 15(1)(a)-(h) 要求提供的补充信息。
4. 对豁免数据进行删节，并明确注明已进行删节及每项删节的法律依据。
5. 将答复整理为常用的电子格式（求职信使用 PDF，适用时将结构化数据整理为 CSV/JSON）。

步骤 7：质量保证审查

1. 验证完整性：已查询所有已识别的系统，并汇总查询结果。
2. 验证准确性：抽查数据并与源系统中的数据进行核对。
3. 验证删节：确认每项删节均有法律依据并已记录。
4. 验证答复涵盖 Art. 15(1)(a)-(h) 的所有要素。
5. 获得数据保护官或指定隐私负责人的批准。

步骤 8：交付答复

1. 通过安全渠道发送答复：
   • 加密电子邮件（传输中使用 TLS 1.2+，附件使用 AES-256 加密）
   • 安全下载门户，提供有时限的访问链接（72 小时后过期）
   • 挂号邮寄并确认送达（适用于非电子请求）
2. 记录交付日期、方式和收件确认。
3. 更新 DSAR 登记册，填写结案日期和处理结果。

步骤 9：答复后的行动

1. 至少保留 DSAR 处理记录（请求、内部备注、删节理由、答复副本）3 年，以证明合规。
2. 如果数据主体不满意，告知其有权依据 Art. 77 向相关监管机构提出投诉。
3. 将 DSAR 处理过程中发现的任何系统性问题纳入组织的数据治理改进计划。

费用和拒绝处理规定

合理费用（Art. 12(5)(a)）

在以下情况下，控制者可根据提供信息或通信，或采取所请求行动所需的管理成本，收取合理费用：

• 请求明显缺乏依据（例如，请求者明确表示其意图是制造混乱），或
• 请求过度（例如，同一人在 12 个月内第四次提交相同的 DSAR，且处理活动没有任何变化）。

Meridian Analytics Ltd 的费用计算方式为：GBP 10.00 基础费用 + 输出超过 500 页后每页 GBP 0.10。

拒绝处理（Art. 12(5)(b)）

如果请求明显缺乏依据或过度，控制者可拒绝处理，但必须：

1. 告知数据主体拒绝的理由。
2. 告知数据主体其有权向监管机构提出投诉。
3. 告知数据主体其有权寻求司法救济。
4. 记录拒绝决定及其理由。

EDPB 指南参考

• EDPB《01/2022 数据主体权利指南——访问权》：阐明访问权的范围、访问方式、第三方数据处理方式，以及与其他 GDPR 权利的关系。
• EDPB《透明度指南》（WP260 rev.01）：就 Art. 12 对简洁、透明、易懂且易于获取的通信的要求提供指导。