DSARとは実際に何か

データ主体アクセス要求（DSAR）とは、ユーザーがGDPRによって自分の個人データに対して付与された権利を行使する瞬間です。モバイルパブリッシャーにとって、その「データ主体」はあなたのプレイヤーやユーザーの一人であり、要求はメール、サポートチケット、アプリストアのレビュー、またはアプリ内フォームを通じて届くことがあります。トリガーは単純です。誰かがあなたが自分について何を保持しているかを知りたい—あるいはそれに対して行動を求めているのです。

重要なのは、DSARはGDPRに言及する必要も、「DSAR」という語を使う必要も、いかなるテンプレートに従う必要もないということです。「私のデータを送って」や「アカウントを削除して」といった一行のメッセージも、正式な法的書面と同じくらい確実に期限のカウントを開始させます。正式に見える要求だけを有効とみなすのは、期限を逃す近道です。

要求の背後にある権利

DSARはいくつかの異なる権利を束ねており、同じメッセージが複数の権利を行使することもあります。どれがどれかを知ることが、あなたが実際に何をしなければならないかを決めます。

• アクセス—ユーザーは自分の個人データのコピーと文脈を求めることができます。何を収集し、なぜ収集し、誰と共有し、どれだけ保持するか。
• 消去（「忘れられる権利」）—狭い法的例外を条件として、広告・分析パートナーに渡したコピーを含む、データの削除。
• ポータビリティ—ユーザーが提供したデータを、他所へ移せるようJSONやCSVのような構造化された機械可読形式で返却すること。
• 訂正—誤ったメールや地域など、不正確または不完全なデータの修正。

関連する権利—処理への異議および制限—は、特にユーザーがアカウントを完全に削除する代わりに同意を撤回しうる広告のパーソナライズをめぐって、これらと一緒に現れることがよくあります。

期限は厳格です

要求を受け取ってから不当な遅滞なく、かつ1暦月以内に応答しなければなりません。カウントは要求が届いた日に始まり、チームの誰かがそれに気づいた日ではありません。真に複雑な要求については2か月さらに延長できますが、最初の1か月以内にユーザーに通知し理由を説明する場合に限ります。

応答は通常無料です。要求が明らかに根拠を欠くか過度である場合にのみ、合理的な手数料を請求するか拒否でき、それを証明する責任はあなたにあります。ほとんどのパブリッシャーにとって安全な前提は、無料で30日以内です。この期限を逃すことは、規制当局が制裁金を査定する際に指摘するまさにその種の不備です。

スケールするワークフローの構築

DSARを冷静に処理するパブリッシャーは、それを火消し作業ではなく反復可能なプロセスに変えています。実用的なワークフローは次のようになります。

• 受付。単一の告知済みチャネル—アプリ内フォームまたは専用のprivacy@アドレス—を公開し、すべてをそこに通すことで、サポートのキューで何も失われないようにします。
• 本人確認。要求者がアカウントの所有者であることを確認しますが、必要なものだけを求めます。ゲーム内IDを照会するためにパスポートのスキャンを要求すること自体がコンプライアンスの問題です。
• 記録とタイムスタンプ。到着日を直ちに記録します。これが期限の基準です。
• データの所在確認。ユーザーデータに触れるすべてのストア—バックエンド、クラッシュログ、分析、広告SDK、CRM—を、安定した識別子で紐づけたデータマップとして維持します。
• 履行＆応答。要求に応じてエクスポート、削除、訂正し、削除を処理者に伝播させ、平易な言葉で返答します。
• ループを閉じる。期限内に対応した証拠として、要求とその応答を保管します。

よくある落とし穴

ほとんどの失敗は法的ではなく運用上のものです。次の点に注意してください。

• 忘れられたデータストア。広告・アトリビューションSDK、プッシュ提供者、クラッシュレポーターはすべてユーザーデータを保持します。これらを飛ばす削除は不完全です。
• 確認時の過剰収集。プライバシー要求をプライバシーリスクに変えてしまいます。
• 非公式なメッセージを要求でないとみなし、1か月を経過させてしまうこと。
• 同意の証拠がない。ユーザーが、あなたが広告のためにデータを処理する適法な根拠を持っていたことを争った場合、何にいつ同意したかを示す必要があります。

CMPがDSARを管理可能にする方法

ここで同意レイヤーがその真価を発揮します。ユーザーが何に、いつ、どのフレームワークの下で同意したかを即座に示せれば、DSARへの応答ははるかに容易になります。FlexyConsent—IAB TCF 2.3とGoogle Consent Mode v2をサポートするGoogle認定のCMP—は、各ユーザーについてタイムスタンプ付きの同意記録と監査証跡を保存します。アクセス要求が届くと、その記録は応答の出来合いの一部になります。受諾された目的、関与したベンダー、表示された通知のバージョンです。消去または異議の要求が届くと、同じ記録が、あなたが適切な瞬間にパーソナライズ広告シグナルを停止したことを証明します。その同意履歴をデータマップと組み合わせることで、DSARはてんやわんやから単なる照会に変わります。

本記事はパブリッシャー向けの一般情報であり、法的助言ではありません。具体的な状況については資格を持つ専門家にご相談ください。

要点

• どんな要求も—どれほど非公式であっても—DSARになりうるし、通常無料の1か月の期限は届いた日に始まります。
• アクセスと削除が実際に完全になるよう、広告・分析SDKを含むすべてのデータストアをマッピングしましょう。
• 本人確認を比例的に行い、期限内に応答した証明のため各要求を記録しましょう。
• FlexyConsentの同意記録と監査証跡は、アクセス・消去・異議の要求を履行するための即時かつ抗弁可能な証拠を提供します。