Come gestire un DSAR senza perdere la scadenza

Quando noyb ha testato 121 richieste di accesso dei soggetti interessati (DSAR) presentate per il suo 2026 Digital Omnibus Reality Check, l'83,5% non è stata risposta in conformità alla legge e quasi il 30% non ha ricevuto alcuna risposta.

Questo fallimento deriva da una causa comune, poiché la maggior parte delle organizzazioni non riesce a individuare i propri dati abbastanza rapidamente per rispondere entro la scadenza. Solo il 61% ha implementato l'inventario e la mappatura dei dati, secondo il 2025 Global Privacy Benchmarks Report di TrustArc, e il 55% non mantiene continuamente un inventario dei dati sensibili, secondo il Netwrix 2026 Data and Identity Security Report.

Quel problema di localizzazione dei dati si manifesta una richiesta alla volta. Un DSAR può arrivare nella casella di posta condivisa per la privacy di martedì, e mercoledì qualcuno sta inviando email a cinque capi dipartimento chiedendo se hanno qualcosa su Jane Smith.

Il conto alla rovescia di 45 giorni è iniziato nel momento in cui è arrivata la richiesta, indipendentemente dal fatto che qualcuno abbia iniziato a cercare.Un indice dei dati che collega l'identità di una persona a ogni luogo in cui appaiono i suoi dati impedisce che ogni richiesta inizi da zero.

La gestione efficace di DSAR combina quella visibilità con un processo documentato per la verifica, la scoperta, la revisione, la redazione, la consegna e le prove di audit.

Cos'è un DSAR?

Una richiesta di accesso dell’interessato (DSAR) è una richiesta formale da parte di un individuo a un’organizzazione per ottenere una copia dei dati personali che l’organizzazione detiene su di lui. Include anche il motivo per cui l’organizzazione conserva i dati, con chi li condivide e per quanto tempo li conserva.

Ai sensi dell'Articolo 15 del Regolamento generale sulla protezione dei dati (GDPR) dell'Unione Europea, è possibile utilizzare qualsiasi formulazione nella richiesta. Espressioni come "subject access request" o "Article 15" sono opzionali. L'accesso è uno dei diversi diritti del soggetto, insieme a correzione, cancellazione e portabilità.

Negli Stati Uniti, il California Consumer Privacy Act e il California Privacy Rights Act (CCPA/CPRA) concedono 45 giorni di calendario per rispondere, prorogabili una volta di altri 45, con conferma di ricezione richiesta entro 10 giorni lavorativi.

Altre leggi statali degli Stati Uniti generalmente utilizzano la stessa finestra di 45 giorni; la finestra base dell'Iowa è di 90 giorni, prorogabile una volta di altri 45 giorni. Se la tua organizzazione serve anche residenti UE, il GDPR ti concede un mese dalla ricezione, prorogabile di altri due mesi se la complessità o il volume lo giustificano. Se proroghi, informa il richiedente del motivo entro il primo mese.

Perché il completamento di DSAR fallisce

Il rapporto del European Data Protection Board (EDPB) sul Quadro Coordinato di Esecuzione 2024, adottato il 16 gennaio 2025, si è basato su 30 autorità di controllo che hanno esaminato 1.185 titolari del trattamento. Quattro cause ricorrono nelle loro conclusioni e rispecchiano i modelli operativi che i team di conformità statunitensi osservano sotto CCPA.

I dati personali sono sparsi senza un indice unico

I dati di un dipendente si trovano in database HR, record di customer relationship management (CRM), caselle di posta, chat di Teams, librerie di SharePoint, condivisioni di file e backup, senza alcun collegamento tra loro. Il registro delle attività di trattamento (ROPA) di un'organizzazione non indicherà tali record, poiché descrive categorie di trattamento piuttosto che dove si trovano fisicamente i dati di una persona.

L'International Association of Privacy Professionals ha scoperto che manual ROPAs costruite in questo modo risultano incomplete e diventano obsolete, perché dipendono da ogni team che riporta accuratamente ciò che elabora. Nessuna tecnologia ti esonera dal diritto di accesso, e i dati archiviati e di backup contano.

Le ricerche manuali consumano la maggior parte della finestra di risposta

Senza un indice, si cerca sistema per sistema. Quando la ricerca occupa settimane di una finestra di 45 giorni, la revisione viene compressa negli ultimi giorni, e un revisore sta ancora redigendo al giorno 40. La revisione dell'EDPB sui casi di applicazione ha rilevato che i titolari lasciano abitualmente alcuni tipi di file, formati o categorie di dati fuori dalle loro risposte, perdendo file non testuali, metadati e backup nel processo.

La verifica dell'identità e la definizione dell'ambito aggiungono attrito prima che il lavoro inizi

Il GDPR consente di verificare l'identità solo quando si dubita realmente di chi sta chiedendo, non come passaggio di routine per ogni richiesta, e il CCPA in modo simile valuta la verifica in base alla sensibilità della richiesta.

Definire l'ambito della richiesta richiede lo stesso giudizio, poiché il EDPB presume che una richiesta generale copra tutti i dati personali a meno che il richiedente non lo limiti espressamente. Se un team non può vedere cosa possiede l'organizzazione, non può formulare una domanda chiarificatrice sensata, e il tempo continua a scorrere.

La redazione manuale dei dati di terzi ed esenti è lenta e rischiosa

Una risposta deve escludere i dati di altre persone e tutto ciò che copre un'esenzione legale. Se fatta a mano, una sovra-redazione viola il diritto di accesso, mentre una sotto-redazione perde dati personali.

La evidenziazione a scatola nera in file Word o Portable Document Format (PDF) spesso lascia il testo leggibile sotto; i metadati del file conservano gli autori precedenti e le modifiche tracciate, e i fogli di calcolo nascondono le righe.

Il processo di risposta DSAR, passo dopo passo

Una procedura documentata e ripetibile è ciò che distingue l’adempimento DSAR che regge all’audit da una corsa improvvisata per ogni nuova richiesta, e la mancanza di una procedura è la prima sfida indicata nel rapporto del Coordinated Enforcement Framework (CEF) dell’EDPB.

I sette passaggi seguenti riflettono le attuali aspettative dell’EDPB e della California Privacy Protection Agency (CPPA).

1. Registra e riconosci la richiesta

Registra ogni richiesta non appena arriva, indipendentemente dal canale. Un DSAR è valido qualunque sia il modo in cui arriva, incluso verbalmente, tramite moduli web o sui social media, quindi annota chi l'ha ricevuto, quando e tramite quale canale.

Secondo il GDPR UE, il giorno di ricezione non conta, e una scadenza che cade nel weekend o in un giorno festivo si sposta al giorno lavorativo successivo. Secondo il CCPA, confermare la ricezione entro 10 giorni lavorativi e indicare la scadenza dal giorno X al giorno Y.

2. Verifica l'identità del richiedente

Richiedi un documento d’identità formale solo quando hai un dubbio ragionevole documentato su chi sta chiedendo. Le Linee guida 01/2022 dell’EDPB considerano una copia di un documento d’identità un metodo debole per confermare l’identità, poiché le credenziali esistenti come nome utente e password stabiliscono già chi sta chiedendo nella maggior parte dei casi.

Se devi richiedere un documento d’identità, informa il richiedente che può oscurare la foto e il numero del documento. La California valuta la verifica in base a ciò che viene richiesto, da un grado ragionevole di certezza per le richieste di routine a un grado ragionevolmente alto di certezza per informazioni personali sensibili.

3. Definire l'ambito di ciò che viene richiesto

Se la richiesta è vaga e disponi di molte informazioni, chiedi al richiedente di specificarla, ma continua a lavorare mentre aspetti. Chiedere chiarimenti non sospende la scadenza secondo GDPR, e nemmeno CCPA ferma il tempo. Se il richiedente non risponde, interpreta la richiesta originale e agisci di conseguenza.

4. Individua i dati in ogni sistema in cui si trovano

Cerca in ogni sistema incluso nell'ambito per dati sensibili collegati al nome del richiedente più un identificatore stabile, come un numero cliente o dipendente. L'EDPB si aspetta che la ricerca copra ogni sistema informatico e sistema di archiviazione non IT, non solo i database che un team controlla abitualmente.

Le normative CCPA richiedono una revisione altrettanto approfondita che copra i dati archiviati e di backup, gli strumenti di collaborazione sul lavoro come Teams e Slack, e i dispositivi personali usati per lavoro. La documentazione ufficiale di Microsoft conferma che i dati su computer locali o server di file on-premises sono esclusi dagli strumenti DSR, quindi la tua lista di ricerca deve nominare ogni file server e il tenant.

5. Revisionare, redigere e applicare le esenzioni

Applica un test in tre fasi ai dati di terze parti prima di divulgarli:

• Puoi rispondere senza identificare la terza parte?
• Quella persona ha dato il consenso?
• In caso contrario, la divulgazione è ragionevole senza il loro consenso?

Redigi dove possibile e registrate ciò che avete trattenuto. Altre esenzioni comunemente riconosciute nel GDPR e nelle leggi statali degli Stati Uniti includono il privilegio professionale legale, negoziazioni in corso, segreti commerciali e referenze riservate, e ciascuna si applica solo quando le sue condizioni specifiche sono soddisfatte.

Ai sensi di the EU GDPR, i segreti commerciali e la proprietà intellettuale possono limitare la copia senza rifiutare completamente la richiesta. Utilizzare software specifici per la redazione anziché strumenti di evidenziazione e fornire una motivazione valida per ogni redazione.

6. Impacchetta e consegna la risposta

Fornisci i dati in un formato che il richiedente possa leggere senza un analista dei dati. Il GDPR richiede che la risposta sia concisa e trasparente, scritta in un linguaggio che un lettore comune possa seguire, anziché un'esportazione di sistema comprensibile solo a IT. Se la richiesta è arrivata elettronicamente, invia un formato elettronico comunemente usato a meno che il richiedente non abbia chiesto altro.

L'Autoriteit Persoonsgegevens olandese ha multato Uber per 10 milioni di euro a gennaio 2024, citando un processo di richiesta difficile da usare, file di risposta in cui i dati personali non erano sempre strutturati e difficili da interpretare, e una divulgazione poco chiara dei periodi di conservazione e dei trasferimenti di dati. Un'esportazione grezza di righe di database potrebbe non soddisfare questo requisito.

7. Documenta ciò che è stato fatto

Compila il tuo registro DSAR man mano che procedi, applicando la stessa disciplina di gestione dei record che la tua organizzazione utilizza altrove, così un revisore può ricostruire la richiesta senza di te. Registra la data di ricezione, il responsabile, la data di scadenza, la data effettiva di risposta, i motivi del ritardo, le informazioni trattenute e perché, le esenzioni applicate e da chi, e i controlli di identità effettuati. Ai sensi del CCPA, devi conservare i registri delle richieste e delle risposte per almeno 24 mesi.

Quanto costa sbagliare un DSAR

L'applicazione di DSAR segue tre schemi ricorrenti, coprendo scadenze mancate, risposte che i richiedenti non possono utilizzare e richieste di verifica dell'identità che la legge non consente. I regolatori hanno multato le organizzazioni per ciascuno schema.

Mancare la scadenza comporta una multa diretta

L'Autorità Belga per la Protezione dei Dati ha multato un operatore di telecomunicazioni di 100.000 € nell'agosto 2024 per aver risposto 14 mesi dopo una richiesta DSAR. Il GDPR limita le multe per fallimenti di accesso a 20.000.000 € o al 4% del fatturato annuo mondiale, a seconda di quale sia maggiore, e la CCPA autorizza sanzioni civili fino a 7.500 $ per violazione intenzionale.

Quel tetto segue lo stesso schema di applicazione visto in altre multe GDPR, quindi una risposta tardiva comporta una reale esposizione molto prima che un caso vi arrivi.

Una risposta incompleta o poco chiara comporta anche una multa

L'Autorità olandese per la protezione dei dati ha multato Netflix per 4.750.000 € in una decisione di novembre 2024. L'autorità ha rilevato che l'informativa sulla privacy di Netflix non spiegava chiaramente le finalità, i destinatari e i periodi di conservazione, e che i clienti che chiedevano quali dati Netflix detenesse su di loro non ricevevano informazioni sufficienti, violando il diritto di accesso del GDPR ai sensi dell'Articolo 15. Una risposta tempestiva crea comunque responsabilità se il richiedente non può ottenere le informazioni richieste.

Richiedere più verifiche di quante ne consenta la legge crea una propria responsabilità

Il DPC irlandese ha rimproverato Groupon Ireland Operations Limited a marzo 2024 per aver richiesto un documento d'identità fotografico quando era disponibile la verifica via email, e non era stata richiesta alcuna ID al momento della registrazione. Nel 2025, il Consiglio di Stato olandese ha ridotto la multa contro DPG Media da €525.000 a €262.500 confermando che l'azienda aveva agito con negligenza richiedendo copie di ID senza verificare se fosse possibile un'alternativa meno invasiva, come la verifica via email.

I regolatori trattano la gestione delle richieste di accesso come una priorità di applicazione di routine

In California, la CPPA ha multato American Honda per $632,500 a marzo 2025 per aver richiesto almeno otto campi dati in ogni richiesta di privacy e aver negato almeno 20 richieste di opt-out e limitazione richiedendo una verifica non consentita dalla legge. Le richieste di accesso ai dati sono state la categoria più grande di reclami alla Data Protection Commission (DPC) irlandese nel 2025, con il 42%, prova che questi casi sono comuni e non eccezionali.

Cosa cercare nella valutazione degli strumenti DSAR

Dopo il secondo o terzo tentativo frenetico, la maggior parte dei responsabili della conformità inizia a chiedere del software DSAR. Questa categoria copre l'intero ciclo di vita della richiesta, dalla cattura e registrazione fino alla verifica dell'identità, triage, raccolta, convalida e comunicazione. Discovery decide quanto dura il quarto passaggio, quindi valutalo per primo.

Scoperta ovunque risiedano i tuoi dati

Lo strumento dovrebbe dimostrare la presenza di dati personali a livello di file, riga e messaggio anziché affidarsi alle persone per elencare i sistemi in un questionario. La scansione diretta fornisce tale prova; la scoperta e la classificazione dei dati personali dovrebbero essere criteri principali.

La copertura ibrida è importante anche perché il 77% delle organizzazioni opera in un ambiente IT ibrido, secondo il Cybersecurity Trends Report 2025 di Netwrix.

In un ambiente fortemente Microsoft, verifica la copertura dei file server on-premises, Exchange, SharePoint e SQL Server insieme a Microsoft 365, perché le linee guida DSR di Microsoft per Microsoft 365 considerano i file server on-premises fuori ambito.

Verifica dell'identità e raccolta integrate nel flusso di lavoro

Un unico percorso di acquisizione dovrebbe registrare automaticamente la ricezione, monitorare la scadenza (inclusa qualsiasi finestra di riconoscimento CCPA o avviso di estensione GDPR) e applicare i livelli di verifica del secondo passaggio affinché qualsiasi richiesta di ID richieda un dubbio ragionevole documentato.

I flussi di lavoro basati su email e fogli di calcolo pongono l'onere della verifica sui singoli responsabili, che devono conservare manualmente i timestamp, e le prove si perdono quando qualcuno lascia.

Redazione che non richiede una revisione manuale di ogni file

Chiedi come lo strumento gestisce i nomi di terze parti in 1.000 documenti e se il suo output è permanentemente redatto anziché oscurato in modo reversibile. La documentazione di alcuni strumenti di eDiscovery avverte dei limiti sui metadati di redazione. Uno strumento che segnala dati di terze parti e categorie esenti prima della revisione umana lascia ai revisori l’ultima settimana per le decisioni.

Una traccia di controllo prodotta automaticamente

Il flusso di lavoro dovrebbe generare automaticamente una audit trail, registrando ogni ricerca, azione del revisore e consegna con attore e timestamp, così i campi di audit si popolano automaticamente. Verifica la conservazione del registro di audit secondo i 24 mesi del CCPA.

Come Netwrix ti aiuta a gestire i DSAR senza confusione

Netwrix Access Analyzer fornisce il motore di scoperta, classificazione e governance dell'accesso ai dati dietro Netwrix DSPM, che unisce queste capacità per ambienti ibridi.

Sapere dove risiedono i dati personali prima che arrivi una richiesta

Netwrix Access Analyzer individua e contrassegna informazioni personali identificabili (PII) negli ambienti ibridi, creando l'inventario indicizzato su cui si basa un flusso di lavoro DSAR prima che qualcuno invii una richiesta.

Funziona con oltre 40 fonti di dati supportate, inclusi server di file Windows, SharePoint Online, SQL Server e Oracle.

Dove risiede il resto del flusso di lavoro

Netwrix DSPM fornisce il livello di scoperta e accesso: dove si trovano i dati personali e chi può accedervi. La gestione delle richieste, la verifica dell'identità, la redazione e il registro delle risposte appartengono ancora a un flusso di lavoro di richiesta privacy o ticket, quindi valutali in base ai criteri sopra indicati.

Crea un processo DSAR che non dipenda da una corsa contro il tempo

Costruire l'indice prima che arrivi una richiesta elimina la necessità di affrettarsi, poiché la ricerca smette di essere il collo di bottiglia e il quarto passaggio diventa una ricerca anziché una scansione manuale di ogni sistema. Inizia classificando gli archivi dove si concentra il dato personale, come le condivisioni HR, le caselle di posta e i database clienti.

Quindi scrivi i livelli di verifica e il modello di registro dai passaggi due e sette, e esegui una richiesta di prova completa per cronometrarla. Se quell'esercitazione mostra che la ricerca sta ancora consumando la finestra, scopri come indexed discovery può cercare nelle tue fonti di dati e conservare le prove per la revisione.

Richiedi una demo per vedere come Netwrix può aiutarti a indicizzare i dati personali su sistemi ibridi, eseguire ricerche DSAR senza consultazioni manuali sistema per sistema e produrre automaticamente prove di audit.