如何在不逾期的情况下处理DSAR

当 noyb 测试了其提交的121份数据主体访问请求（DSAR）时，2026 Digital Omnibus Reality Check，有83.5%未按法律规定答复，近30%根本未收到任何答复。

该失败可追溯到一个共同原因，因为大多数组织无法足够快地定位自己的数据以在截止日期内响应。根据TrustArc的2025 Global Privacy Benchmarks Report，只有61%实施了数据清单和映射，根据Netwrix 2026 Data and Identity Security Report，55%未持续维护敏感数据清单。

数据位置问题是一次处理一个请求。DSAR可能在星期二进入共享隐私收件箱，到星期三，有人会给五个部门主管发邮件，询问他们是否有关于Jane Smith的任何信息。

无论是否有人开始搜索，45天的计时从请求到达的那一刻开始。数据索引将一个人的身份与其数据出现的每个位置关联起来，防止每个请求从零开始。

有效的DSAR处理将该可见性与验证、发现、审查、编辑、交付和审计证据的书面流程相结合。

什么是DSAR？

数据主体访问请求（DSAR）是个人向组织正式提出的请求，要求获取该组织持有的关于其个人数据的副本。它还涵盖了组织持有数据的原因、与谁共享数据，以及 数据保留的时长。

根据欧盟通用数据保护条例（GDPR）第15条，您可以在请求中使用任何措辞。诸如“subject access request”或“Article 15”等短语是可选的。访问权是多个主体权利之一，包括更正、删除和可携带性。

在美国，加利福尼亚州消费者隐私法和加利福尼亚隐私权法（CCPA/CPRA）规定您有45个日历日的时间来响应，可延长一次45天，且必须在10个工作日内确认收到。

其他美国州法律 通常使用相同的45天期限；爱荷华州的基本期限为90天，可延长45天。如果您的组织也为欧盟居民提供服务，GDPR赋予您一个月的时间，从收到请求之日起计算，复杂性或数量合理时可再延长两个月。如果延长，请在第一个月内告知请求者原因。

为何DSAR履行失败

欧洲数据保护委员会（EDPB）的2024年协调执法框架报告，于2025年1月16日通过，基于30个监管机构对1,185个控制者的审查。他们的发现中反复出现四个原因，并反映了美国合规团队在CCPA下看到的操作模式。

个人数据分散，没有单一索引

一名员工的数据分布在HR数据库、customer relationship management (CRM)记录、邮箱、Teams聊天、SharePoint库、文件共享和备份中，彼此之间没有关联。组织的处理活动记录（ROPA）不会指向这些记录，因为它描述的是处理类别，而不是某个人的数据实际存放位置。

国际隐私专业人员协会发现，manual ROPAs以这种方式构建会导致不完整且过时，因为它们依赖每个团队准确报告其处理的内容。没有任何技术可以免除您的访问权，归档和备份的数据也算数。

手动搜索占用了大部分响应时间窗口

没有索引时，某人会逐个系统搜索。当搜索耗费了45天窗口中的数周时，审查被压缩到最后几天，审查员在第40天仍在编辑。EDPB对执法案件的审查发现，控制者通常会 在回复中遗漏某些文件类型、格式或数据类别，在此过程中遗漏了非文本文件、元数据和备份。

身份验证和范围界定在工作开始前增加了摩擦

GDPR允许您仅在真正怀疑请求者身份时进行身份验证，而不是作为每个请求的常规步骤，CCPA也类似地根据请求的敏感性对验证进行分级。

确定请求范围需要同样的判断，因为EDPB假定 除非请求者明确限制，否则一般请求涵盖所有个人数据。如果团队无法看到组织持有的内容，就无法提出合理的澄清问题，时间却在继续流逝。

第三方和免除数据的手动编辑既缓慢又有风险

回复必须排除他人的数据和任何法律豁免涵盖的内容。手动操作时，过度编辑会侵犯访问权，编辑不足则会泄露个人数据。

Word 或 Portable Document Format（PDF）文件中的黑盒高亮通常会留下可读文本；文件元数据保留先前作者和跟踪的更改，电子表格则隐藏行。

DSAR响应流程，逐步说明

有文件记录且可重复的程序，是区分经得起审计的DSAR履行与每次请求即兴应对的关键，而缺失程序是EDPB协调执法框架（CEF）报告中指出的首要挑战。

以下七个步骤反映了当前EDPB和California Privacy Protection Agency（CPPA）的期望。

1. 记录并确认请求

无论通过何种渠道，收到请求后立即记录。DSAR无论以何种方式收到，包括口头、网页表单或社交媒体，均有效，因此请记录接收人、时间及渠道。

根据欧盟GDPR，收件日不计入，如果截止日期落在周末或公共假期，则顺延至下一个工作日。根据CCPA，需在10个工作日内确认收件，并将截止日期说明为第X天至第Y天。

2. 验证请求者的身份

只有在您对询问者身份有合理怀疑并有书面记录时，才要求提供正式身份证件。EDPB的指南01/2022将身份证件复印件视为确认身份的薄弱方式，因为现有的凭证（如用户名和密码）在大多数情况下已能确定询问者身份。

如果必须要求身份证，请告知请求者他们可以遮盖照片和证件号码。加利福尼亚根据请求内容对验证进行评分，从日常请求的合理确定程度到敏感个人信息的合理较高确定程度。

3. 确定所要求的范围

如果请求含糊且您掌握大量信息，请要求请求者缩小范围，但在等待时继续工作。请求澄清不会暂停GDPR下的截止日期，CCPA也不会暂停时间。如果请求者未回复，请解释原始请求并采取行动。

4. 在所有存储数据的系统中定位数据

在所有相关系统中搜索与请求者姓名及客户或员工编号等稳定标识符相关的敏感数据。EDPB期望搜索覆盖所有信息技术系统和非IT归档系统，而不仅仅是团队习惯性检查的数据库。

CCPA法规要求同样彻底的审查，涵盖归档和备份的数据、如Teams和Slack的工作协作工具，以及用于工作的个人设备。 微软官方文档确认本地计算机或本地文件服务器上的数据不在其DSR工具范围内，因此您的搜索列表必须列出每个文件服务器和租户。

5. 审查、编辑并应用豁免

在披露任何第三方数据之前，先进行三步测试：

• 您能在不识别第三方的情况下回答吗？
• 那个人同意了吗？
• 如果不是，未经他们同意披露是否合理？

尽可能进行编辑并记录所保留的内容。GDPR和美国各州法律普遍认可的其他豁免包括法律专业特权、正在进行的谈判、商业秘密和机密推荐，且每项仅在其特定条件满足时适用。

根据 the EU GDPR，商业秘密和知识产权可以限制复制，而无需完全拒绝请求。请使用专门的编辑软件而非高亮工具，并为每次编辑提供合理的理由。

6. 打包并交付响应

以请求者无需数据分析师即可阅读的格式提供数据。GDPR要求回复简明透明，使用普通读者能理解的语言，而非仅IT能理解的系统导出格式。如果请求是电子方式提交，除非请求者另有要求，否则发送常用的电子格式。

荷兰Autoriteit Persoonsgegevens对Uber于2024年1月罚款1000万欧元，理由是请求流程难以使用，响应文件中个人数据并非总是结构化且难以解释，以及保留期限和数据传输披露不明确。数据库行的原始导出可能不符合该标准。

7. 记录所做的工作

在填写DSAR日志时，应用您组织在其他地方使用的相同记录管理规范，以便审计员可以在没有您的情况下重建请求。记录接收日期、处理人、截止日期、实际响应日期、延迟原因、被保留的信息及原因、适用的豁免及执行人，以及进行的身份检查。根据CCPA，您必须至少保存请求和响应记录24个月。

错误处理DSAR的代价

DSAR执行遵循三个反复出现的模式，涵盖错过的截止日期、请求者无法使用的响应以及法律不允许的身份验证要求。监管机构已针对每种模式对组织处以罚款。

错过截止日期将直接罚款

比利时数据保护机构罚款了一家电信运营商10万欧元，原因是其在DSAR请求后14个月才回复，时间为2024年8月。GDPR对罚款设限，访问失败罚款最高为2000万欧元或全球年营业额的4%，以较高者为准，CCPA授权对故意违规行为处以最高7500美元的民事罚款。

该上限遵循其他GDPR罚款中看到的相同执行模式，因此迟回应在案件到达之前就会带来真实风险。

不完整或不清楚的回复也会被罚款

荷兰数据保护机构对Netflix处以475万欧元罚款，该决定于2024年11月作出。该机构发现Netflix的隐私声明未清楚说明目的、接收方和保留期限，且客户询问Netflix持有其哪些数据时未获得充分信息，违反了GDPR第15条的访问权。即使及时回应，如果请求者无法获得所需信息，仍会产生责任。

要求超过法律允许的更多验证会产生自身的责任

爱尔兰DPC于2024年3月谴责了Groupon Ireland Operations Limited，因其在电子邮件验证可用时要求提供带照片的身份证明，而注册时并未要求提供身份证明。2025年，荷兰国务委员会将对DPG Media的罚款从525,000欧元减至262,500欧元，同时确认该公司在要求身份证复印件时未审查是否存在如电子邮件验证等侵入性较小的替代方案，属于疏忽行为。

监管机构将访问请求处理视为常规执法重点

在加利福尼亚，CPPA于2025年3月对American Honda罚款632,500美元，因其要求每个隐私请求至少填写八个数据字段，并通过要求法律不允许的验证拒绝了至少20个选择退出和限制请求。2025年，针对爱尔兰Data Protection Commission (DPC)的投诉中，主体访问请求占最大类别，达42%，这表明这些案例是常见的，而非例外。

评估DSAR工具时应注意的事项

在第二次或第三次紧急处理后，大多数合规负责人开始询问DSAR软件。该类别涵盖整个请求生命周期，从捕获和记录到身份验证、分诊、整理、验证和沟通。Discovery决定第四步所需时间，因此请先评估它。

发现您的数据所在的所有位置

该工具应证明个人数据的存在，在文件、行和消息级别，而不是依赖人员在问卷中列出系统。直接扫描提供了该证据；个人数据的发现和分类应作为主要标准。

混合覆盖也很重要，因为根据Netwrix的Cybersecurity Trends Report 2025，77%的组织在混合IT环境中运营。

在以Microsoft为主的环境中，检查本地文件服务器、Exchange、SharePoint和SQL Server与Microsoft 365的覆盖情况，因为Microsoft针对Microsoft 365的DSR指南将本地文件服务器视为范围外。

内置于工作流程中的身份验证和接收

单一接收路径应自动记录收据，跟踪截止日期（包括任何CCPA确认窗口或GDPR延期通知），并执行第二步的验证层级，以确保任何身份请求都需要有文件记录的合理怀疑。

电子邮件和电子表格工作流程将审计负担放在各个处理人员身上，需手动保存时间戳，且当有人离职时，证据会丢失。

无需对每个文件进行手动审核的编辑

询问该工具如何处理1000份文档中的第三方名称，以及其输出是否为永久编辑而非可逆遮蔽。一些eDiscovery工具的文档警告编辑元数据的限制。一个在人工审查前标记第三方数据和豁免类别的工具，会留给审查人员最后一周做判断。

自动生成的审计追踪

工作流程应自动生成audit trail，记录每次搜索、审核者操作和交付的执行者及时间戳，以便自动填充审核字段。请根据CCPA的24个月要求检查审核日志的保留。

Netwrix如何帮助您轻松处理DSAR

Netwrix Access Analyzer 提供数据发现、分类和数据访问治理引擎，支持 Netwrix DSPM，将这些功能整合于混合环境。

在请求到达之前了解个人数据的位置

Netwrix Access Analyzer 发现并标记 个人身份信息 (PII)，覆盖混合环境，构建 DSAR 工作流依赖的索引清单，确保在任何人提交请求之前完成。

它支持40多种数据源，包括Windows文件服务器、SharePoint Online，SQL Server和Oracle。

工作流程其余部分所在的位置

Netwrix DSPM 提供发现和访问层：个人数据的位置及其访问者。请求接收、身份验证、编辑和响应日志仍属于隐私请求或工单工作流，因此请根据上述标准进行评估。

构建不依赖于匆忙的DSAR流程

在请求到达之前构建索引，消除了匆忙的需求，因为搜索不再是瓶颈，第四步变成了查找，而不是手动扫描每个系统。首先对个人数据集中的存储位置进行分类，如HR共享、邮箱和客户数据库。

然后编写第2步和第7步的验证层级和日志模板，并运行一次端到端的练习请求以计时。如果该演练显示搜索仍在占用窗口，请查看indexed discovery如何搜索您的数据源并保存证据以供审查。

请求演示，了解 Netwrix 如何帮助您跨混合系统索引个人数据，执行无需逐系统手动查询的 DSAR 搜索，并自动生成审计证据。