GDPR 和 CCPA 下的数据主体访问请求 (DSAR) – 了解关键区别

数据保护是当今企业最为关注的问题之一。正因如此，世界各地都加强了数据保护法律的制定。一项研究显示，直到去年，全球只有10%的人口数据受到保护。该研究还指出，大约 65% 的人口数据 到2023年底，数据安全将得到保障。思科消费者隐私调查显示，84%的受访者关注数字世界的数据隐私，并希望更好地控制自身数据的使用方式。鉴于终端用户日益增长的担忧，立法机构已实施一系列数据保护法规，赋予消费者披露自身数据的权利。例如，欧盟《通用数据保护条例》(GDPR)赋予了居民数据主体访问请求(DSAR)的权利。此外，还有许多其他数据隐私法规，例如加州《消费者隐私法案》(CCPA)、加拿大《个人信息保护和电子文件法案》(PIPEDA)以及巴西《通用数据保护条例》(LGPD)。接下来，我们将探讨GDPR和CCPA下DSAR的主要区别。 

什么是DSAR？

数据主体访问请求（DSAR）并非新生事物，企业和政府机构多年来一直在使用。然而，数据保护和隐私法规做出了一些改变，使消费者能够更便捷地请求访问数据。DSAR 是数据主体向贵公司提出的请求。根据监管要求，贵公司有义务尽快提供所有相关信息。  

GDPR第15条 美国，

“数据主体应有权访问与其相关的个人数据，并能方便地、定期地行使该权利，了解和核实数据处理的合法性。”

根据 《加州消费者隐私法案》(CCPA) 第 1.81.5 条, 

(a) 消费者有权随时指示向第三方出售其个人信息的企业停止出售其个人信息。这项权利可称为选择退出权。

（b）向第三方出售消费者个人信息的企业应按照第 1798.135 条第（a）款的规定，向消费者提供通知，告知该信息可能会被出售，并且消费者有权选择不出售其个人信息。

（c）如果企业收到消费者的指示，不得出售该消费者的个人信息，或者，如果涉及未成年消费者的个人信息，则未获得出售该未成年消费者个人信息的同意，则该企业将被禁止出售该未成年消费者的个人信息。

根据 GDPR 和 CCPA，数据主体访问请求 (DSAR) 属于 GDPR 和 CCPA 的范畴。

根据 GDPR 和 CCPA，数据主体访问请求 (DSAR) 具有以下异同：

DSAR——关键考量因素 

对于数据主体访问请求（DSAR），有一些常见的预期。以下列举几项：

• 公司将回应请求或采取行动。 
• 回复将包含所有信息 
• 行动将在规定的时间内进行。

对公司而言，一项基本要求是保留对请求作出回应的记录。公司必须跟踪收到请求的日期和作出回应的日期。 

企业对数据主体访问请求 (DSAR) 的回复有时间限制。根据 GDPR，企业必须在 30 天内回复请求。而 CCPA 则规定了 45 天的回复期限。其他时限还包括：

• 确认收到请求需要10个工作日。 
• 对退出请求的回复将在 15 个工作日内完成。 
• 90个工作日内通知供应商不得出售消费者信息
• 请求日志维护期为两年 

DSAR——关键例外情况 

在某些情况下，组织机构可以例外地行使数据主体访问请求权 (DSAR)。GDPR 中常见的例外情况是请求付出不成比例的努力。公司不能以 DSAR 例外为由拒绝回应请求。

加州消费者隐私法案 (CCPA) 允许企业删除消费者的个人数据。例如，如果消费者在保修期结束前提出删除请求，企业可以满足该请求。 

简而言之，DSAR 有许多例外情况，这些例外情况因司法管辖区、州法律和许多其他因素而异。 

组织机构数据安全请求核查清单

以下是企业可以选择的回复数据主体访问请求 (DSAR) 的方式：

• 一个能够高效接收和处理所有请求的系统
• 收到请求后验证数据主体的身份 
• 数据收集和已处理请求的审查
• 补救计划 
• 提供所需信息的计划 

企业可以拒绝回应数据主体访问请求（DSAR）吗？是的，在某些情况下，企业可以拒绝请求。以下是一些常见的拒绝理由：

• 个人信息未以可搜索和可访问的格式保存。
• 处理个人信息的目的是为了遵守相关规定。 
• 信息不会用于商业用途。 
• 这些数据用于国家安全或执法目的。
• 数据主体已多次提出干扰系统的请求。

关键精华

数据保护和隐私是执法机构和组织关注的重点。世界各地都制定了不同的法规，例如欧盟的GDPR、加利福尼亚州的CCPA、巴西的LGPD等。数据主体访问请求（DSAR）赋予消费者访问其数据的权利。根据CCPA和GDPR，DSAR使数据主体能够查看和控制自己的数据。尽管在某些情况下DSAR存在一些例外情况，但数据主体仍然有权请求访问、删除或关闭其个人信息。 

对数据保护和隐私有疑问？我们的专家随时为您提供帮助。