Cómo gestionar un DSAR sin perder el plazo

Cuando noyb evaluó 121 solicitudes de acceso de sujetos de datos (DSAR) que presentó para su 2026 Digital Omnibus Reality Check, el 83,5 % no fueron respondidas conforme a la ley y casi el 30 % no recibieron respuesta alguna.

Ese fallo se debe a una causa común, ya que la mayoría de las organizaciones no pueden localizar sus propios datos lo suficientemente rápido para responder dentro del plazo. Solo el 61 % ha implementado inventario y mapeo de datos, según el 2025 Global Privacy Benchmarks Report de TrustArc, y el 55 % no mantiene continuamente un inventario de datos sensibles, según el Netwrix 2026 Data and Identity Security Report.

Ese problema de ubicación de datos se manifiesta una solicitud a la vez. Un DSAR puede llegar a la bandeja compartida de privacidad un martes, y para el miércoles alguien está enviando correos a cinco jefes de departamento preguntando si tienen algo sobre Jane Smith.

El plazo de 45 días comenzó en el momento en que llegó la solicitud, independientemente de si alguien ha empezado a buscar.Un índice de datos que vincula la identidad de una persona con todos los lugares donde aparecen sus datos evita que cada solicitud comience desde cero.

El manejo efectivo de DSAR combina esa visibilidad con un proceso documentado para la verificación, descubrimiento, revisión, redacción, entrega y evidencia de auditoría.

¿Qué es un DSAR?

Una solicitud de acceso del interesado (DSAR) es una petición formal de una persona a una organización para obtener una copia de los datos personales que la organización posee sobre ella. También incluye por qué la organización conserva los datos, con quién los comparte y cuánto tiempo los retiene.

Según el Artículo 15 del Reglamento General de Protección de Datos (GDPR) de la Unión Europea, puede usar cualquier redacción en la solicitud. Frases como "subject access request" o "Article 15" son opcionales. El acceso es uno de varios derechos del sujeto, junto con corrección, eliminación y portabilidad.

En Estados Unidos, la Consumer Privacy Act y la California Privacy Rights Act de California (CCPA/CPRA) le otorgan 45 días naturales para responder, ampliables una vez por otros 45, con una confirmación de recibo requerida dentro de 10 días hábiles.

Otras leyes estatales de EE. UU. generalmente usan el mismo plazo de 45 días; el plazo base de Iowa es de 90 días, ampliable una vez por 45 días más. Si su organización también atiende a residentes de la UE, GDPR le otorga un mes desde la recepción, ampliable por dos meses más cuando la complejidad o el volumen lo justifiquen. Si lo amplía, informe al solicitante el motivo dentro de ese primer mes.

Por qué falla el cumplimiento de DSAR

El informe del European Data Protection Board (EDPB) sobre el Marco Coordinado de Aplicación 2024, adoptado el 16 de enero de 2025, se basó en 30 autoridades supervisoras que examinaron a 1.185 responsables del tratamiento. Cuatro causas se repiten en sus hallazgos y reflejan los patrones operativos que los equipos de cumplimiento de EE. UU. ven bajo CCPA.

Los datos personales están dispersos sin un índice único

Los datos de un empleado se encuentran en bases de datos de RRHH, registros de customer relationship management (CRM), buzones, chats de Teams, bibliotecas de SharePoint, recursos compartidos y copias de seguridad, sin ningún vínculo entre ellos. El registro de actividades de procesamiento (ROPA) de una organización no señalará esos registros, ya que describe categorías de procesamiento en lugar de dónde se encuentran físicamente los datos de una persona.

La International Association of Privacy Professionals ha descubierto que manual ROPAs construidos de esta manera se ejecutan incompletos y quedan obsoletos, porque dependen de que cada equipo informe con precisión lo que procesa. Ninguna tecnología te exime del derecho de acceso, y los datos archivados y respaldados cuentan.

Las búsquedas manuales consumen la mayor parte del tiempo de respuesta

Sin un índice, alguien busca sistema por sistema. Cuando la búsqueda consume semanas de una ventana de 45 días, la revisión se comprime en los últimos días, y un revisor aún está redactando en el día 40. La revisión del EDPB sobre casos de aplicación encontró que los controladores rutinariamente dejan ciertos tipos de archivos, formatos o categorías de datos fuera de sus respuestas, omitiendo archivos no textuales, metadatos y copias de seguridad en el proceso.

La verificación de identidad y el alcance añaden fricción antes de que comience el trabajo

El GDPR permite verificar la identidad solo cuando realmente se duda de quién realiza la solicitud, no como un paso rutinario para cada petición, y el CCPA de manera similar califica la verificación según la sensibilidad de la solicitud.

Delimitar la solicitud requiere el mismo juicio, ya que el EDPB presume que una solicitud general abarca todos los datos personales a menos que el solicitante lo limite expresamente. Si un equipo no puede ver lo que la organización posee, no puede formular una pregunta aclaratoria adecuada, y el tiempo sigue corriendo.

La redacción manual de datos de terceros y exentos es lenta y arriesgada

Una respuesta debe omitir los datos de otras personas y todo lo que cubra una exención legal. Cuando se hace manualmente, la sobre-redacción viola el derecho de acceso y la sub-redacción filtra datos personales.

El resaltado de caja negra en archivos Word o Portable Document Format (PDF) a menudo deja el texto legible debajo; los metadatos del archivo conservan autores anteriores y cambios rastreados, y las hojas de cálculo ocultan filas.

El proceso de respuesta a DSAR, paso a paso

Un procedimiento documentado y repetible es lo que diferencia el cumplimiento de DSAR que resiste una auditoría de una improvisación apresurada para cada nueva solicitud, y la ausencia de un procedimiento es el primer desafío que menciona el informe del Marco Coordinado de Aplicación (CEF) del EDPB.

Los siete pasos a continuación reflejan las expectativas actuales del EDPB y de la California Privacy Protection Agency (CPPA).

1. Registre y reconozca la solicitud

Registre cada solicitud tan pronto como llegue, sin importar el canal. Un DSAR es válido sin importar cómo llegue, ya sea verbalmente, a través de formularios web o en redes sociales, así que registre quién lo recibió, cuándo y por qué canal.

Según el RGPD de la UE, el día de recepción no cuenta, y un plazo que caiga en fin de semana o festivo se traslada al siguiente día laborable. Según la CCPA, confirme la recepción en un plazo de 10 días hábiles y establezca el plazo del día X al día Y.

2. Verifique la identidad del solicitante

Solicite una identificación formal solo cuando tenga una duda razonable documentada sobre quién está preguntando. Las Directrices 01/2022 del EDPB consideran que una copia de un documento de identidad es una forma débil de confirmar la identidad, ya que las credenciales existentes, como un nombre de usuario y contraseña, ya establecen quién está preguntando en la mayoría de los casos.

Si debe solicitar una identificación, informe al solicitante que puede ocultar la foto y el número del documento. California evalúa la verificación según lo solicitado, desde un grado razonable de certeza para solicitudes rutinarias hasta un grado razonablemente alto de certeza para información personal sensible.

3. Definir el alcance de lo que se solicita

Si la solicitud es vaga y tienes mucha información, pide al solicitante que la precise, pero sigue trabajando mientras esperas. Pedir aclaraciones no detiene el plazo según GDPR, y CCPA tampoco detiene el reloj. Si el solicitante no responde, interpreta la solicitud original y actúa en consecuencia.

4. Localice los datos en todos los sistemas donde se encuentren

Busque en todos los sistemas incluidos en el alcance datos sensibles vinculados al nombre del solicitante más un identificador estable, como un número de cliente o empleado. El EDPB espera que la búsqueda cubra todos los sistemas de tecnología de la información y sistemas de archivo no informáticos, no solo las bases de datos que un equipo revisa por costumbre.

Las regulaciones CCPA requieren una revisión igualmente exhaustiva que cubra los datos archivados y respaldados, las herramientas de colaboración laboral como Teams y Slack, y los dispositivos personales usados para el trabajo. La propia documentación de Microsoft confirma que los datos en computadoras locales o servidores de archivos locales están fuera de sus herramientas DSR, por lo que su lista de búsqueda debe nombrar cada servidor de archivos y el tenant.

5. Revisar, redactar y aplicar exenciones

Aplique una prueba de tres pasos a los datos de terceros antes de divulgar cualquier cosa:

• ¿Puedes responder sin identificar a la tercera parte?
• ¿Ha dado su consentimiento esa persona?
• Si no, ¿es razonable la divulgación sin su consentimiento?

Redacte cuando sea posible y registre lo que retuvo. Otras exenciones comúnmente reconocidas en el GDPR y las leyes estatales de EE. UU. incluyen el privilegio profesional legal, negociaciones en curso, secretos comerciales y referencias confidenciales, y cada una se aplica solo cuando se cumplen sus condiciones específicas.

Bajo the EU GDPR, los secretos comerciales y la propiedad intelectual pueden limitar la copia sin rechazar la solicitud por completo. Use software específico de redacción en lugar de herramientas de resaltado y proporcione una razón justificable para cada redacción.

6. Empaquete y entregue la respuesta

Entregue los datos en un formato que el solicitante pueda leer sin un analista de datos. GDPR exige que la respuesta sea concisa y transparente, escrita en un lenguaje que un lector común pueda entender, en lugar de una exportación del sistema que solo IT comprendería. Si la solicitud llegó electrónicamente, envíe un formato electrónico comúnmente usado a menos que el solicitante haya pedido otra cosa.

La Autoriteit Persoonsgegevens de los Países Bajos multó a Uber con 10 millones de euros en enero de 2024, citando un proceso de solicitud difícil de usar, archivos de respuesta en los que los datos personales no siempre estaban estructurados y eran difíciles de interpretar, y una divulgación poco clara de los períodos de retención y las transferencias de datos. Una exportación sin procesar de filas de base de datos puede no cumplir con ese estándar.

7. Documente lo que se hizo

Llena tu registro DSAR a medida que avanzas, aplicando la misma disciplina de gestión de registros que tu organización utiliza en otros lugares, para que un auditor pueda reconstruir la solicitud sin ti. Registra la fecha de recepción, el responsable, la fecha límite, la fecha real de respuesta, razones de demora, información retenida y por qué, exenciones aplicadas y por quién, y las verificaciones de identidad realizadas. Según CCPA, debes conservar los registros de solicitudes y respuestas durante al menos 24 meses.

Lo que cuesta equivocarse en un DSAR

La aplicación de DSAR sigue tres patrones recurrentes, que incluyen plazos incumplidos, respuestas que los solicitantes no pueden usar y demandas de verificación de identidad que la ley no permite. Los reguladores han multado a las organizaciones por cada patrón.

No cumplir con la fecha límite conlleva una multa directa

La Autoridad Belga de Protección de Datos multó a un operador de telecomunicaciones con 100.000 € en agosto de 2024 por responder 14 meses después de una solicitud DSAR. El GDPR limita las multas por fallos de acceso a 20.000.000 € o el 4 % de la facturación anual mundial, lo que sea mayor, y la CCPA autoriza sanciones civiles de hasta 7.500 $ por violación intencional.

Ese límite sigue el mismo patrón de aplicación visto en otras multas GDPR, por lo que una respuesta tardía conlleva una exposición real mucho antes de que un caso llegue a ese punto.

Una respuesta incompleta o poco clara también conlleva una multa

La Autoridad Holandesa de Protección de Datos multó a Netflix con 4.750.000 € en una decisión de noviembre de 2024. La autoridad determinó que la declaración de privacidad de Netflix no explicaba claramente los fines, destinatarios y períodos de retención, y que los clientes que preguntaron qué datos tenía Netflix sobre ellos no recibieron información suficiente, incumpliendo el derecho de acceso del GDPR según el Artículo 15. Una respuesta oportuna sigue generando responsabilidad si el solicitante no puede obtener la información solicitada.

Exigir más verificación de la que permite la ley genera su propia responsabilidad

El DPC irlandés reprendió a Groupon Ireland Operations Limited en marzo de 2024 por exigir una identificación fotográfica cuando la verificación por correo electrónico estaba disponible, y no se había requerido identificación al registrarse. En 2025, el Consejo de Estado holandés redujo la multa contra DPG Media de €525,000 a €262,500 mientras confirmaba que la empresa había actuado negligentemente al exigir copias de identificación sin examinar si era posible una alternativa menos intrusiva, como la verificación por correo electrónico.

Los reguladores consideran el manejo de solicitudes de acceso como una prioridad rutinaria de cumplimiento

En California, la CPPA multó a American Honda con $632,500 en marzo de 2025 por exigir al menos ocho campos de datos en cada solicitud de privacidad y negar al menos 20 solicitudes de exclusión y limitación al exigir una verificación que la ley no permitía. Las solicitudes de acceso a los datos fueron la categoría más grande de quejas ante la Data Protection Commission (DPC) de Irlanda en 2025, con un 42%, evidencia de que estos casos son comunes y no la excepción.

Qué buscar al evaluar herramientas DSAR

Después del segundo o tercer apuro, la mayoría de los responsables de cumplimiento comienzan a preguntar sobre el software DSAR. Esa categoría cubre todo el ciclo de vida de la solicitud, desde la captura y el registro hasta la verificación de identidad, el triaje, la recopilación, la validación y la comunicación. Discovery determina cuánto dura el paso cuatro, así que evalúelo primero.

Descubrimiento en todos los lugares donde reside su data

La herramienta debe demostrar la presencia de datos personales a nivel de archivo, fila y mensaje en lugar de depender de que las personas enumeren los sistemas en un cuestionario. El escaneo directo proporciona esa evidencia; el descubrimiento y la clasificación de datos personales deben ser criterios principales.

La cobertura híbrida también es importante porque el 77 % de las organizaciones operan en un entorno de TI híbrido, según el Cybersecurity Trends Report 2025 de Netwrix.

En un entorno dominado por Microsoft, verifique la cobertura de los servidores de archivos locales, Exchange, SharePoint y SQL Server junto con Microsoft 365, porque la propia guía DSR de Microsoft para Microsoft 365 considera los servidores de archivos locales fuera del alcance.

Verificación de identidad y registro integrados en el flujo de trabajo

Un único canal de recepción debe registrar automáticamente la recepción, controlar la fecha de vencimiento (incluyendo cualquier ventana de reconocimiento CCPA o aviso de extensión GDPR) y aplicar los niveles de verificación del paso dos para que cualquier solicitud de ID requiera una duda razonable documentada.

Los flujos de trabajo con correo electrónico y hojas de cálculo ponen la carga de auditoría en los responsables individuales para preservar manualmente las marcas de tiempo, y la evidencia se pierde cuando alguien se va.

Redacción que no requiere una revisión manual de cada archivo

Pregunte cómo la herramienta maneja los nombres de terceros en 1,000 documentos y si su salida está redactada permanentemente en lugar de ocultarse de forma reversible. La documentación de algunas herramientas de eDiscovery advierte sobre límites en los metadatos de redacción. Una herramienta que marca datos de terceros y categorías exentas antes de la revisión humana deja a los revisores la última semana para tomar decisiones.

Un registro de auditoría generado automáticamente

El flujo de trabajo debe generar automáticamente una audit trail, registrando cada búsqueda, acción del revisor y entrega con actor y marca de tiempo, para que los campos de auditoría se completen automáticamente. Verifique la retención del registro de auditoría según los 24 meses de CCPA.

Cómo Netwrix te ayuda a gestionar DSARs sin complicaciones

Netwrix Access Analyzer proporciona el motor de descubrimiento, clasificación y gobernanza del acceso a datos detrás de Netwrix DSPM, que reúne esas capacidades para entornos híbridos.

Saber dónde se encuentran los datos personales antes de que llegue una solicitud

Netwrix Access Analyzer descubre y etiqueta información de identificación personal (PII) en entornos híbridos, creando el inventario indexado del que depende un flujo de trabajo DSAR antes de que alguien envíe una solicitud.

Funciona con más de 40 fuentes de datos compatibles, incluidos servidores de archivos Windows, SharePoint Online, SQL Server y Oracle.

Donde reside el resto del flujo de trabajo

Netwrix DSPM proporciona la capa de descubrimiento y acceso: dónde se encuentran los datos personales y quién puede acceder a ellos. La recepción de solicitudes, la verificación de identidad, la redacción y el registro de respuestas siguen perteneciendo a un flujo de trabajo de solicitud de privacidad o tickets, por lo que deben evaluarse según los criterios anteriores.

Cree un proceso DSAR que no dependa de una carrera contrarreloj

Construir el índice antes de que llegue una solicitud elimina la necesidad de apresurarse, ya que la búsqueda deja de ser el cuello de botella y el paso cuatro se convierte en una consulta en lugar de un barrido manual por todos los sistemas. Comience clasificando los almacenes donde se concentra la información personal, como las comparticiones de HR, los buzones y las bases de datos de clientes.

Luego, escriba los niveles de verificación y la plantilla de registro de los pasos dos y siete, y realice una solicitud de práctica de principio a fin para medir el tiempo. Si ese ejercicio muestra que la búsqueda sigue consumiendo la ventana, vea cómo indexed discovery puede buscar en sus fuentes de datos y preservar evidencia para revisión.

Solicite una demostración para ver cómo Netwrix puede ayudarle a indexar datos personales en sistemas híbridos, realizar búsquedas DSAR sin consultas manuales sistema por sistema y generar automáticamente evidencias de auditoría.