DSAR (Data Subject Access Request) 是数据主体根据隐私法规（如 GDPR、CCPA 等）向数据控制者提出的请求，要求确认其个人数据是否被处理，并有权访问该数据以及获取相关处理信息。简单来说，就是 “我想知道你们存了我什么数据，怎么用的”。

DSAR 是数据主体行使 访问权 的核心工具，也是隐私合规中最常见的请求类型。企业必须在法定期限内（通常为 1 个月）响应并提供副本。

• 个人数据类别及处理目的
• 数据接收方或接收方类别
• 存储期限（如可能）
• 数据来源（非直接从数据主体收集时）
• 是否存在自动化决策（包括画像）
• 数据跨境传输及保障措施

DSAR 根植于全球多个隐私法规，其中 GDPR (General Data Protection Regulation) 第 15 条明确赋予了访问权。此外，CCPA、LGPD、PIPL 等均有类似规定。

GDPR 第 15 条核心内容： 数据主体有权从控制者处确认其个人数据是否正在被处理，并有权访问个人数据及以下信息：处理目的、数据类别、接收方、存储期限、数据来源、自动化决策逻辑等。

DSAR 不仅是法律义务，更直接影响 客户信任、监管风险、运营成本。未能妥善响应可能导致巨额罚款（GDPR 最高 2000 万欧元或全球年营收 4%）。

• 合规风险 — 超期或拒绝响应可能引发监管调查与罚款。
• 客户体验 — 流畅的 DSAR 流程提升透明度与品牌信任。
• 运营效率 — 自动化 DSAR 工具可降低人工成本 60% 以上。
• 数据治理 — 响应 DSAR 倒逼企业梳理数据资产与处理活动。
• 竞争优势 — 隐私友好型公司更易获得用户青睐。

{
  "requestType": "DSAR",
  "subject": {
    "fullName": "李明",
    "email": "li.ming@example.com",
    "subjectId": "UID-2024-8912"
  },
  "requestDetails": {
    "scope": "所有个人数据",
    "format": "电子副本 (PDF)",
    "deadline": "30 日历日"
  },
  "verification": {
    "method": "双因素认证",
    "status": "已验证"
  }
}