🇪🇺 GDPR 第15条 数据主体访问权
核心内容： 数据主体有权从控制者处确认其个人数据是否被处理，并有权访问个人数据及以下信息：处理目的、数据类别、接收者、存储期限、数据来源（非从主体收集时）等。
| 要素 | 具体要求 |
|---|
| 访问范围 | 处理目的、数据类别、接收者（含第三国）、存储期限、数据来源、自动化决策逻辑 |
| 响应时限 | 1个月内（可延长2个月，需说明理由） |
| 费用 | 原则上免费；重复/无理请求可收合理费用 |
| 形式 | 书面（电子形式优先），如主体要求可口头 |
- 提供一份数据副本
- 不得影响他人权利与自由
- 远程访问安全机制
🇺🇸 CCPA / CPRA 加州消费者隐私法案
核心权利： 消费者有权请求企业披露收集的个人信息类别、来源、商业目的、共享的第三方类别。CPRA 强化了敏感数据限制及更正权。
| 条款 | CCPA (2018) | CPRA (2023修正) |
|---|
| 访问范围 | 12个月内收集的个人信息类别、来源、目的、第三方 | 增加敏感个人信息类别、披露保留期限 |
| 响应时限 | 45天（可延长45天） | 同CCPA，但需更详细分类 |
| 费用 | 前两次/年免费；无理/过度可收合理费用 | 同CCPA |
| 特殊要求 | 必须提供“请勿出售我的信息”链接 | 增加“更正权”及“限制敏感数据使用” |
- 家庭数据同样受保护
- 服务提供商不得保留数据
- 非歧视原则
🇨🇳 中国《个人信息保护法》 PIPL
相关条款： 第45条（查阅、复制权）、第46条（更正、补充权）、第47条（删除权）。个人有权向处理者查阅、复制其个人信息，处理者应当及时提供。
| 条款 | 内容 | 时限/费用 |
|---|
| 第45条 | 个人有权查阅、复制其个人信息；处理者应当及时提供 | 一般30日内（个案可延长） |
| 第46条 | 发现信息不准确或不完整，有权请求更正、补充 | 合理期限内 |
| 第47条 | 处理目的已实现、停止提供产品服务等情形下，个人有权请求删除 | 通常免费 |
| 第48条 | 个人信息处理者应当公布投诉、举报方式 | — |
- 重要互联网平台需提供便捷撤回同意方式
- 委托处理、共同处理、转移等场景责任清晰
- 跨境传输规则严格
📌 个保法第45条：个人向个人信息处理者查阅、复制其个人信息的，处理者应当及时提供。
📌 第47条：有下列情形之一的，个人信息处理者应当主动删除个人信息；未删除的，个人有权请求删除：
（一）处理目的已实现、无法实现或者为实现处理目的不再必要；
🌐 其他主要法规对比 LGPD · PIPEDA · APPI
全球DSAR差异： 巴西LGPD、加拿大PIPEDA、日本APPI 均赋予数据主体访问权，但在响应时限、费用、例外情形上各有特色。
| 法规 | 访问权条款 | 响应时限 | 费用政策 |
|---|
| 🇧🇷 LGPD (巴西) | 第9条、第18条 | 15日（可延长15日） | 免费，除非重复/过度 |
| 🇨🇦 PIPEDA | 原则4.9 (访问权) | 30日（可延长30日） | 可收合理费用，需提前告知 |
| 🇯🇵 APPI (日本) | 第28条 (披露请求) | 原则上2周内 | 可收手续费（需透明） |
| 🇰🇷 PIPA (韩国) | 第35条 (查阅请求) | 10日内 | 原则上免费 |
⚖️ 各法规均要求“数据副本”及“处理目的”告知，但细节与执行力度不同。