データ主体アクセス請求（DSAR）とは、自分に関してどのような個人データを保有しているかを確認するために本人が行う請求です。主要なすべてのプライバシー法制（GDPR、UK GDPR、CCPA/CPRA、DPDPA、LGPD、PDPA、APPI）は、データ主体にこの権利を何らかの形で付与しています。法定期限が最も短いのはカリフォルニア州の45日です。延長を含め最も長いのはGDPRの3か月です。

最も短い適用期限を満たす単一のパイプラインを構築してください。5つの段階があります。受付 → 本人確認 → データ収集 → レビューおよび編集（マスキング） → 提供および記録。すべてのステップを追跡してください。監査証跡は副次的な産物ではなく、第一級の成果物として扱ってください。

フレームワークごとにワークフローを構築したくなるものです。GDPR用に1つ、CCPA用に1つ、というように。しかし、そうしないでください。フレームワークを認識するメタデータを備えた単一のパイプラインには、次の利点があります。

• 運用コストが低い。1つのチーム、1つのツール、1つの手順書で済みます。
• より安全。最も難しい請求は管轄が不明確なデータ主体からのものです。既定で最も厳格な扱いを適用すれば、抜け漏れを防げます。
• 監査に適している。監督機関はエンドツーエンドのDSAR記録を求めます。記録は5つよりも1つのほうが有利です。
• エンジニアが扱いやすい。基盤となるデータ抽出ロジックは同一です。管轄が異なっても変わるのは応答のタイミングと開示の範囲だけです。

上の図は全体の流れを示しています。続く5つのセクションで、各段階を運用面の詳細とともに解説します。

複数の受付チャネルを用意してください。セルフサービスのウェブフォーム、専用のメールアドレス（通常はprivacy@またはdpo@）、郵送先住所、そして（一部の管轄では）電話番号です。GDPRは技術中立的ですが、監督機関は各チャネル間で同等の対応を求めます。

各受付イベントでは、少なくとも次の項目を記録してください。

• 受領した日時（法定期限のカウントはここから始まります）。
• 受領したチャネル。
• 請求者の本人情報（提供されたとおり。ステップ2で確認します）。
• 請求の種類（アクセス、訂正、削除、ポータビリティ、制限、異議申立て、オプトアウトなど）。
• 請求内容とIPに基づくヒューリスティックから推定される管轄。
• 自由記述による説明。

ケースIDを割り当てます。10営業日以内（CCPAの期限）に受領確認を行ってください。一貫性のため、すべての請求に適用します。

GDPR第12条(6)は「データ主体の本人性を確認するために必要な」追加情報の要求を認めていますが、比例性を超えて要求してはなりません。CCPA §1798.130(a)(2)は本人確認のための「合理的な措置」を求めており、その基準は機微性に応じて変化します。

実務的な3段階モデルは次のとおりです。

• ティア1 — アカウント保有者。認証済みセッションと一致するメールアドレス → 摩擦の少ないセルフサービス。
• ティア2 — 識別子の照合。記録上のメールアドレスまたは電話番号の一致に加え、さらに1つの一致する識別子（注文番号、取引日、サポートチケット）。
• ティア3 — 機微またはリスクの高いデータ。強力な証拠による確認（政府発行身分証明書のコピー、二要素照合）。データがそれを必要とする場合に限ります。

本人確認中に期限のカウントを止めるのは、合理的な範囲に限ってください。CCPAは本人確認中に応答期間を停止すること（15日間の延長）を明示的に認めています。GDPRは認めていないため、GDPRの下で本人確認を過剰に作り込むこと自体がリスクとなります。

運用上、最も難しいステップです。個人データを保存または経由するすべてのシステムを対応付けたシステムインベントリを構築してください。次のものを含みます。

• 本番データベース（Postgres、MySQL、Mongoなど）。
• データウェアハウス（Snowflake、BigQuery、Redshift）。
• SaaSシステム（CRM、請求、サポート、マーケティング、分析、HRIS）。
• メールおよびチャットのアーカイブ。
• バックアップ（保持ポリシーに従います）。
• ログ（セキュリティ、監査、オブザーバビリティ）。
• 貴社に代わってデータを保有する第三者の処理者。

各システムについて、標準的な識別子（user_id、email、phone）を起点とする抽出手順を文書化してください。GDPR第30条の処理活動の記録（ROPA）を土台として利用してください。そこにある各エントリは、DSARの抽出ルーチンに対応付けられるべきです。

データを収集したら、次の観点でレビューします。

• 第三者のデータ。GDPR第15条(4)は他者の権利を保護します。カスタマーサポート担当者の氏名、他の顧客への言及、第三者のPIIを含む社内メモはマスキングする必要があります。
• 法的特権。弁護士・依頼者間特権および訴訟特権が適用されます。判断が難しい場合は弁護士に相談してください。
• 営業秘密。前文第63項は、比例的な範囲で営業秘密および知的財産の保護を明示的に認めています。
• 公共の安全・法執行に関する例外。第23条の適用除外、および他の法制における同等の規定。
• 形式。GDPR第15条(3)は「一般的に使用される電子的形式」を、CCPA §1798.130は「ポータブルで、技術的に可能な範囲で容易に利用可能な形式」を求めています。

可能であれば、データ収集者とは別の担当者をマスキングのレビュー担当に置いてください。職務分離はエラーを減らします。

データ主体が使用したのと同じ安全なチャネル、または本人が選択する別のチャネルで提供してください。パッケージは暗号化します。内容、データのカテゴリー、処理の目的、取得者、保持期間、データの出所、権利、そして監督機関に苦情を申し立てる権利を説明する送付状を添えてください。

記録するもの。請求、本人確認の各ステップ、照会したシステム、適用したマスキング（理由を含む）、提供チャネル、各タイムスタンプ。この記録は、いかなる監査や苦情においても貴社の防御材料となります。

適用される最も短い期限を既定としてください。GDPRとCCPAの双方を対象とする場合は、エンドツーエンドで45日を見込んでください。GDPRのみの場合は1か月を基準として計画してください。

次の場合には、請求の全部または一部を拒否できます。

• 本人確認ができない場合（かつデータ主体に追加情報を提供する公正な機会が与えられていた場合）。
• 明らかに根拠を欠くまたは過剰な場合（GDPR第12条(5)）。通常は短期間に繰り返される請求です。
• 第三者の権利が不均衡に影響を受ける場合（GDPR第15条(4)）。
• 弁護士の職業上の特権、係争中の訴訟、または法執行上の機密保持が適用される場合。
• 個別の法定適用除外 — DPA 2018（英国）附則2、GDPR第23条の加盟国による適用除外など。

拒否の根拠を文書化してください。データ主体には、その理由を知る権利と、監督機関に苦情を申し立てる権利があります。

現実的かつ増大しているリスクです。脅威アクターはDSARを利用して、(a)競合のデータを引き出す、(b)小規模なプライバシーチームを疲弊させる、(c)セキュリティの脆弱性を探る、といった行為を行います。GDPR第12条(5)の「明らかに根拠を欠くまたは過剰」という基準は意図的に狭く設定されています。合理的な手数料を請求するか拒否することはできますが、その理由の文書化は徹底する必要があります。

運用上のガードレール。匿名のウェブフォーム受付にレート制限をかける、機微なデータを開示する前にティア3の本人確認を求める、単一のIP/メールからの自動送信の量に上限を設ける、パターン（たとえば競合のメールドメインからの連続的なDSAR）を検知して上級者によるレビューに回す、といった措置です。