期限を逃さずにDSARを処理する方法

noybが121件のデータ主体アクセス要求（DSAR）を2026 Digital Omnibus Reality Checkに対してテストしたところ、83.5％は法律に沿った回答がなく、約30％は全く回答がありませんでした。

この失敗は共通の原因にさかのぼります。ほとんどの組織が期限内に対応するために自分のデータを十分に速く見つけられないためです。TrustArcの2025 Global Privacy Benchmarks Reportによると、61%だけがデータのインベントリとマッピングを実施しており、Netwrix 2026 Data and Identity Security Reportによると、55%は機密データのインベントリを継続的に維持していません。

そのデータの場所の問題は、一度に1つのリクエストで発生します。DSARは火曜日に共有プライバシー受信箱に届き、水曜日には誰かが5人の部門長にJane Smithに関する情報があるかどうかメールを送っています。

リクエストが届いた瞬間から45日間のカウントが始まります。検索を開始したかどうかは関係ありません。データインデックスは、個人の身元をデータが存在するすべての場所にリンクさせることで、各リクエストがゼロから始まるのを防ぎます。

効果的なDSARの処理は、その可視性と検証、発見、レビュー、編集、配信、監査証拠のための文書化されたプロセスを組み合わせます。

DSARとは何ですか？

データ主体アクセス要求（DSAR）は、個人が組織に対して、自分に関する個人データのコピーを正式に要求することです。これには、組織がデータを保持する理由、共有先、そして 保持期間も含まれます。

欧州連合の一般データ保護規則（GDPR）第15条に基づき、リクエストには任意の表現を使用できます。「subject access request」や「Article 15」といったフレーズは必須ではありません。アクセスは、以下のような複数の主体の権利の一つです：訂正、削除、およびポータビリティ。

米国では、カリフォルニア州消費者プライバシー法およびカリフォルニア州プライバシー権法（CCPA/CPRA）により、45暦日以内に回答する必要があり、さらに45日間の延長が一度可能で、受領確認は10営業日以内に必要です。

他の米国州法は 一般的に同じ45日間の期間を使用します；アイオワ州の基本期間は90日です, さらに45日間延長可能です。組織がEU居住者にもサービスを提供している場合、GDPRは1か月以内の対応を求めており、複雑さや量が正当化される場合はさらに2か月延長可能です。延長する場合は、最初の1か月以内に申請者に理由を伝えてください。

DSARの履行がうまくいかない理由

欧州データ保護委員会（EDPB）の2024年調整執行フレームワーク報告書は、2025年1月16日に採択され、30の監督機関が1,185の管理者を調査しました。4つの原因が彼らの調査結果に繰り返し現れ、米国のコンプライアンスチームがCCPAの下で見る運用パターンを反映しています。

個人データが散在しており、単一のインデックスがありません

従業員のデータは、HRデータベース、customer relationship management (CRM)の記録、メールボックス、Teamsチャット、SharePointライブラリ、ファイル共有、バックアップに分散しており、相互にリンクされていません。組織の処理活動記録（ROPA）は処理のカテゴリーを説明しているため、特定の個人のデータが物理的にどこにあるかは示しません。

The International Association of Privacy Professionalsは、manual ROPAsがこのように構築されると不完全で陳腐化すると発見しました。これは、各チームが処理する内容を正確に報告することに依存しているためです。どの技術もアクセス権から免除されず、アーカイブおよびバックアップされたデータも含まれます。

手動検索が応答ウィンドウの大部分を消費します

インデックスがないと、誰かがシステムごとに検索します。45日間の期間のうち数週間が検索に費やされると、レビューは最後の数日に圧縮され、レビュアーは40日目にもまだ編集を行っています。EDPBの執行事例のレビューでは、管理者が日常的に 特定のファイルタイプ、フォーマット、またはデータカテゴリを回答から除外していることが判明しました。その過程で非テキストファイル、メタデータ、バックアップを見落としています。

作業開始前に本人確認と範囲設定が摩擦を生み出します

GDPRは、誰が要求しているかに本当に疑いがある場合にのみ本人確認を行い、すべての要求に対してルーチンのステップとしては行いません。CCPAも同様に検証の評価を行います 要求の機微に応じて。

リクエストの範囲設定には同じ判断が必要です。なぜなら、EDPBは 要求者が明示的に制限しない限り、一般的なリクエストはすべての個人データを対象とすると推定するからです。チームが組織が保有するものを把握できなければ、適切な明確化質問を立てることができず、時間だけが過ぎていきます。

第三者および免除データの手動編集は遅くてリスクがあります

回答には他人のデータや法的免除に該当するものを含めてはいけません。手作業で行う場合、過剰な編集はアクセス権を侵害し、不十分な編集は個人情報の漏洩につながります。

WordまたはPortable Document Format（PDF）ファイルのブラックボックスハイライトは、しばしば下のテキストを読み取れるままにします。ファイルのメタデータは以前の作成者や追跡された変更を保持し、スプレッドシートは行を隠します。

DSAR対応プロセスをステップバイステップで

文書化され繰り返し実行可能な手順こそが、監査に耐えるDSARの履行と、毎回即興で対応することを分けるものであり、手順が欠如していることがEDPBのCoordinated Enforcement Framework（CEF）報告書で最初に指摘される課題です。

以下の7つのステップは、現在のEDPBおよびCalifornia Privacy Protection Agency（CPPA）の期待を反映しています。

1. リクエストを記録して承認する

チャネルに関係なく、リクエストが届いたらすぐにすべて記録してください。DSARは口頭、ウェブフォーム、ソーシャルメディアなど、どのように届いても有効なので、誰がいつどのチャネルで受け取ったかを記録しましょう。

EUのGDPRでは、受領日はカウントされず締切が週末や祝日にあたる場合は翌営業日に移動します。CCPAでは、10営業日以内に受領を確認し、締切をX日からY日までと明記してください。

2. 申請者の身元を確認する

正式なIDは、誰が問い合わせているかについて合理的な疑いが文書化されている場合にのみ求めてください。EDPBのガイドライン01/2022では、ID文書のコピーは本人確認の弱い方法とされており、ユーザー名やパスワードなど既存の資格情報がほとんどの場合、問い合わせ者を特定しています。

身分証明書を要求する必要がある場合は、申請者に写真と書類番号を隠せることを伝えてください。カリフォルニア州では、通常の要求には合理的な確実性の程度、機微な個人情報には合理的に高い確実性の程度で検証を評価します。

3. 要求されている内容の範囲を定める

リクエストがあいまいで多くの情報を持っている場合は、リクエスターに絞り込むよう依頼してください。ただし、待っている間も作業を続けてください。明確化を求めてもGDPRの期限は停止せず、CCPAも時間を止めません。リクエスターが返信しない場合は、元のリクエストを解釈して対応してください。

4. データが存在するすべてのシステムでデータを特定する

申請者の名前と顧客番号や従業員番号などの安定した識別子に紐づく機微なデータについて、対象範囲内のすべてのシステムを検索します。EDPBは、検索が単にチームが習慣的に確認するデータベースだけでなく、すべての情報技術システムおよび非ITのファイリングシステムをカバーすることを期待しています。

CCPA規制では、TeamsやSlackなどの業務用コラボレーションツール、アーカイブおよびバックアップされたデータ、業務で使用される個人用デバイスを含む同様に徹底したレビューが必要です。 Microsoftの公式ドキュメントは、ローカルコンピューターやオンプレミスのファイルサーバー上のデータはDSRツールの対象外であることを確認しているため、検索リストにはすべてのファイルサーバーとテナント名を含める必要があります。

5. レビュー、修正、および免除の適用

第三者のデータを開示する前に、3段階のテストを適用してください：

• 第三者を特定せずに回答できますか？
• その人は同意しましたか？
• もしそうでなければ、彼らの同意なしに開示することは合理的ですか？

可能な場合は編集し、保留した内容を記録してください。GDPRおよび米国州法で一般的に認められているその他の免除には、法的専門家特権、進行中の交渉、営業秘密、および機密の照会が含まれ、それぞれ特定の条件が満たされた場合にのみ適用されます。

以下に基づき the EU GDPR、営業秘密および知的財産は、要求を完全に拒否することなくコピーを制限できます。ハイライトツールではなく特定の編集ソフトウェアを使用し、すべての編集に対して正当な理由を示してください。

6. 応答をパッケージして配信する

データアナリストなしで依頼者が読める形式でデータを提供してください。GDPRは、回答が簡潔で透明性があり、一般の読者が理解できる言葉で書かれていることを要求しており、ITだけが理解できるシステムのエクスポートではありません。依頼が電子的に届いた場合は、依頼者が別の形式を求めていない限り、一般的に使用される電子形式で送信してください。

オランダのAutoriteit Persoonsgegevensは、2024年1月にUberに1000万ユーロの罰金を科しました。使いにくいリクエストプロセス、個人データが常に構造化されておらず解釈が難しい応答ファイル、保存期間とデータ転送の不明確な開示を理由としています。データベース行の生データエクスポートはこの基準を満たさない可能性があります。

7. 実施した内容を記録する

進行しながらDSARログを記入し、組織が他の場所で使用しているのと同じ記録管理の規律を適用して、監査人があなたなしでリクエストを再構築できるようにします。受領日、担当者、期限日、実際の応答日、遅延理由、保留された情報とその理由、適用された免除と担当者、実施された本人確認を記録してください。CCPAの下では、リクエストと応答の記録を少なくとも24か月間保持する必要があります。

DSAR을 잘못 처리했을 때 드는 비용

DSARの執行は、期限の遅れ、申請者が利用できない回答、法律で許可されていない本人確認要求の3つの繰り返されるパターンに従います。規制当局は各パターンに対して組織に罰金を科しています。

期限を守らないと直接罰金が科されます

ベルギーのデータ保護当局は、通信事業者に10万ユーロの罰金を科しました 2024年8月、DSAR要求から14か月後の返信に対して。GDPRは罰金を制限しています アクセス失敗に対して2,000万ユーロまたは世界年間売上高の4％のいずれか高い方で、CCPAは故意の違反ごとに最大7,500ドルの民事罰を認めています。

その上限は他のGDPR罰金で見られる同じ執行パターンに従っているため、遅れた対応はケースに到達するずっと前から実際のリスクを伴います。

不完全または不明瞭な回答も罰金の対象となります

オランダのデータ保護当局は Netflixに475万ユーロの罰金を科しました（2024年11月の決定）。当局はNetflixのプライバシーステートメントが目的、受取人、保持期間を明確に説明しておらず、顧客がNetflixに保有するデータを問い合わせた際に十分な情報が提供されなかったため、GDPR第15条のアクセス権を侵害したと判断しました。依頼者が求めた情報を得られない場合、タイムリーな対応でも責任が生じます。

法律で許可されている以上の検証を要求することは、それ自体が責任を生みます

アイルランドのDPCはGroupon Ireland Operations Limitedを2024年3月に、メール認証が利用可能であったにもかかわらず写真付きIDを要求したことで叱責しました。登録時にはIDは必要ありませんでした。2025年には、オランダの国務会議がDPG Mediaに対する罰金を525,000ユーロから262,500ユーロに減額し、メール認証などのより侵襲性の低い代替手段が可能かどうかを検討せずにIDコピーを要求したことは過失であったと確認しました。

規制当局はアクセス要求の処理を日常的な施行優先事項と見なしています

カリフォルニア州でCPPAは、American Hondaに63万2,500ドルの罰金を科しました 2025年3月に、すべてのプライバシーリクエストで少なくとも8つのデータフィールドを要求し、法律で許可されていない確認を求めて少なくとも20件のオプトアウトおよび制限リクエストを拒否したためです。2025年のアイルランドのData Protection Commission (DPC)への苦情の最大カテゴリは、42％で、これらのケースが例外ではなく一般的である証拠です。

DSARツール評価時に確認すべきポイント

2回目か3回目の急な対応の後、多くのコンプライアンス担当者はDSARソフトウェアについて尋ね始めます。このカテゴリは、キャプチャとログ記録から本人確認、トリアージ、収集、検証、コミュニケーションまで、リクエストの全ライフサイクルをカバーします。Discoveryがステップ4の所要時間を決めるため、まずそれを評価してください。

データが存在するすべての場所での検出

ツールは 個人データの存在を ファイル、行、メッセージレベルで証明すべきであり、アンケートでシステムをリストアップする人に頼るべきではありません。直接スキャンがその証拠を提供し、個人データの発見と分類が主要な基準であるべきです。

ハイブリッドカバレッジも重要です。なぜなら、77％の組織がハイブリッドIT環境で運用しているからです。NetwrixのCybersecurity Trends Report 2025によると。

Microsoftが多用される環境では、オンプレミスのファイルサーバー、Exchange、SharePoint、およびSQL ServerをMicrosoft 365とともにカバー状況を確認してください。MicrosoftのMicrosoft 365向けDSRガイダンスでは、オンプレミスのファイルサーバーは対象外とされています。

ワークフローに組み込まれた本人確認と受付

単一の受付経路は、受領を自動的に記録し、期限（CCPA承認期間やGDPR延長通知を含む）を追跡し、ステップ2の検証レベルを適用して、すべてのID要求に文書化された合理的疑いが必要となるようにすべきです。

メールとスプレッドシートのワークフローは、個々の担当者にタイムスタンプを手動で保存する監査の負担をかけ、誰かが離職すると証拠が失われます。

すべてのファイルに手動での確認が不要な編集

ツールが1000件の文書にわたる第三者の名前をどのように扱い、その出力が可逆的に隠されるのではなく永久に編集されるかを確認してください。いくつかのeDiscoveryツールのドキュメントでは、編集メタデータの制限について警告しています。第三者データと免除カテゴリを人間のレビュー前にフラグ付けするツールは、レビュアーに最終判断のための最終週を残します。

自動的に生成された監査証跡

ワークフローは自動的にaudit trailを生成し、すべての検索、レビュアーの操作、配信を実行者とタイムスタンプ付きで記録し、監査フィールドが自動的に入力されるようにします。CCPAの24か月の監査ログ保持を確認してください。

Netwrixが混乱なくDSARを処理する方法

Netwrix Access Analyzer は、データ検出、分類、およびデータアクセスガバナンスのエンジンを提供し、Netwrix DSPM の背後にあり、ハイブリッド環境向けにこれらの機能を統合します。

リクエストが届く前に個人データの所在を把握する

Netwrix Access Analyzerは個人を特定できる情報（PII）をハイブリッド環境全体で検出およびタグ付けし、誰かがリクエストを送信する前にDSARワークフローが依存するインデックス化されたインベントリを構築します。

Windowsファイルサーバー、SharePoint Onlineを含む40以上のサポートされているデータソースで動作します、SQL ServerとOracle.

ワークフローの残りが存在する場所

Netwrix DSPMは、個人データの所在とアクセス可能者を管理する発見およびアクセス層を提供します。リクエストの受付、本人確認、編集、および応答ログは依然としてプライバシーリクエストまたはチケッティングのワークフローに属するため、上記の基準に基づいて評価してください。

慌てずに済むDSARプロセスを構築する

リクエストが届く前にインデックスを構築することで、検索がボトルネックでなくなり、ステップ4がすべてのシステムを手動で調べるのではなく照会になるため、慌てる必要がなくなります。HR共有、メールボックス、顧客データベースなど、個人データが集中するストアの分類から始めましょう。

次に、ステップ2と7の検証レベルとログテンプレートを書き、練習リクエストを最初から最後まで実行して時間を計測します。その演習で検索がまだウィンドウを消費している場合は、indexed discoveryがデータソースを検索し、レビュー用の証拠を保存する方法を確認してください。

デモをリクエストして、Netwrixがハイブリッドシステム全体で個人データをインデックス化し、システムごとの手動検索なしでDSAR検索を実行し、自動的に監査証拠を作成する方法をご覧ください。