Como lidar com um DSAR sem perder o prazo

Quando noyb testou 121 pedidos de acesso de titulares de dados (DSARs) que apresentou para seu 2026 Digital Omnibus Reality Check, 83,5% não foram respondidos conforme a lei, e quase 30% não receberam resposta alguma.

Essa falha remonta a uma causa comum, pois a maioria das organizações não consegue localizar seus próprios dados rápido o suficiente para responder dentro do prazo. Apenas 61% implementaram inventário e mapeamento de dados, segundo o 2025 Global Privacy Benchmarks Report da TrustArc, e 55% não mantêm continuamente um inventário de dados sensíveis, segundo o Netwrix 2026 Data and Identity Security Report.

Esse problema de localização de dados ocorre uma solicitação por vez. Um DSAR pode chegar na caixa de entrada compartilhada de privacidade numa terça-feira, e na quarta-feira alguém está enviando e-mails para cinco chefes de departamento perguntando se eles têm algo sobre Jane Smith.

O prazo de 45 dias começou no momento em que a solicitação chegou, independentemente de alguém ter começado a buscar.Um índice de dados que vincula a identidade de uma pessoa a todos os lugares onde seus dados aparecem impede que cada solicitação comece do zero.

O manuseio eficaz de DSAR combina essa visibilidade com um processo documentado para verificação, descoberta, revisão, redação, entrega e evidências de auditoria.

O que é um DSAR?

Um pedido de acesso do titular dos dados (DSAR) é uma solicitação formal de um indivíduo a uma organização para obter uma cópia dos dados pessoais que a organização possui sobre ele. Também abrange por que a organização mantém os dados, com quem os compartilha e por quanto tempo os retém.

De acordo com o Artigo 15 do Regulamento Geral de Proteção de Dados (GDPR) da União Europeia, você pode usar qualquer redação no pedido. Frases como "subject access request" ou "Article 15" são opcionais. O acesso é um dos vários direitos do titular, juntamente com correção, exclusão e portabilidade.

Nos Estados Unidos, o California Consumer Privacy Act e o California Privacy Rights Act (CCPA/CPRA) concedem 45 dias corridos para responder, prorrogáveis uma vez por mais 45, com confirmação de recebimento exigida dentro de 10 dias úteis.

Outras leis estaduais dos EUA geralmente usam a mesma janela de 45 dias; a janela base de Iowa é de 90 dias, prorrogável uma vez por mais 45 dias. Se sua organização também atende residentes da UE, o GDPR lhe concede um mês a partir do recebimento, prorrogável por mais dois meses quando a complexidade ou o volume justificarem. Se você prorrogar, informe o solicitante o motivo dentro desse primeiro mês.

Por que o cumprimento do DSAR falha

O relatório do European Data Protection Board (EDPB) sobre o Quadro Coordenado de Aplicação 2024, adotado em 16 de janeiro de 2025, baseou-se em 30 autoridades supervisoras que examinaram 1.185 controladores. Quatro causas se repetem em suas conclusões e refletem os padrões operacionais que as equipes de conformidade dos EUA observam sob CCPA.

Os dados pessoais estão dispersos sem um índice único

Os dados de um funcionário estão em bancos de dados de RH, registros de customer relationship management (CRM), caixas de correio, chats do Teams, bibliotecas do SharePoint, compartilhamentos de arquivos e backups, sem nenhuma ligação entre eles. O registro de atividades de processamento (ROPA) de uma organização não apontará para esses registros, pois descreve categorias de processamento em vez de onde os dados de uma pessoa estão fisicamente.

A International Association of Privacy Professionals descobriu que manual ROPAs construídas dessa forma ficam incompletas e ficam desatualizadas, porque dependem de cada equipe para relatar com precisão o que processa. Nenhuma tecnologia isenta você do direito de acesso, e dados arquivados e de backup contam.

As pesquisas manuais consomem a maior parte da janela de resposta

Sem um índice, alguém pesquisa sistema por sistema. Quando a busca consome semanas de uma janela de 45 dias, a revisão é comprimida nos últimos dias, e um revisor ainda está redigindo no dia 40. A revisão do EDPB sobre casos de aplicação constatou que os controladores rotineiramente deixam certos tipos de arquivos, formatos ou categorias de dados fora de suas respostas, perdendo arquivos não textuais, metadados e backups no processo.

A verificação de identidade e o escopo adicionam atrito antes do início do trabalho

O GDPR permite verificar a identidade apenas quando realmente se duvida de quem está solicitando, não como um passo rotineiro para cada pedido, e o CCPA de forma semelhante classifica a verificação conforme a sensibilidade do pedido.

Delimitar o pedido exige o mesmo julgamento, pois o EDPB presume que um pedido geral abrange todos os dados pessoais, a menos que o solicitante o limite expressamente. Se uma equipe não consegue ver o que a organização possui, não pode formular uma pergunta esclarecedora sensata, e o tempo continua a correr.

A redação manual de dados de terceiros e isentos é lenta e arriscada

Uma resposta deve excluir os dados de outras pessoas e tudo o que uma isenção legal cobre. Quando feita manualmente, a super-redação viola o direito de acesso, e a sub-redação vaza dados pessoais.

A marcação em caixa preta em arquivos Word ou Portable Document Format (PDF) frequentemente deixa o texto legível por baixo; os metadados do arquivo preservam autores anteriores e alterações rastreadas, e planilhas ocultam linhas.

O processo de resposta DSAR, passo a passo

Um procedimento documentado e repetível é o que diferencia o cumprimento de DSAR que resiste à auditoria de uma improvisação apressada para cada nova solicitação, e a ausência de procedimento é o primeiro desafio mencionado no relatório do Coordinated Enforcement Framework (CEF) do EDPB.

Os sete passos abaixo refletem as expectativas atuais do EDPB e da California Privacy Protection Agency (CPPA).

1. Registre e reconheça a solicitação

Registre cada solicitação assim que chegar, independentemente do canal. Um DSAR é válido independentemente de como chega, incluindo verbalmente, via formulários web ou nas redes sociais, então registre quem a recebeu, quando e por qual canal.

De acordo com o GDPR da UE, o dia do recebimento não conta, e um prazo que cai em fim de semana ou feriado é transferido para o próximo dia útil. De acordo com o CCPA, confirme o recebimento em até 10 dias úteis e informe o prazo do dia X ao dia Y.

2. Verifique a identidade do solicitante

Solicite identificação formal apenas quando tiver dúvida razoável documentada sobre quem está solicitando. As Diretrizes 01/2022 do EDPB consideram que uma cópia de um documento de identificação é uma forma fraca de confirmar a identidade, pois credenciais existentes, como nome de usuário e senha, já estabelecem quem está solicitando na maioria dos casos.

Se precisar solicitar um documento de identificação, informe ao solicitante que ele pode ocultar a foto e o número do documento. A Califórnia avalia a verificação conforme o solicitado, desde um grau razoável de certeza para solicitações rotineiras até um grau razoavelmente alto de certeza para informações pessoais sensíveis.

3. Definir o escopo do que está sendo solicitado

Se o pedido for vago e você tiver muitas informações, peça ao solicitante para especificar, mas continue trabalhando enquanto espera. Pedir esclarecimentos não pausa o prazo segundo o GDPR, e o CCPA também não pausa o relógio. Se o solicitante não responder, interprete o pedido original e aja conforme.

4. Localize os dados em todos os sistemas onde eles estão

Pesquise em todos os sistemas abrangidos dados sensíveis vinculados ao nome do solicitante mais um identificador estável, como um número de cliente ou funcionário. O EDPB espera que a pesquisa cubra todos os sistemas de tecnologia da informação e sistemas de arquivamento não relacionados à TI, não apenas os bancos de dados que uma equipe verifica por hábito.

As regulamentações CCPA exigem uma revisão igualmente minuciosa que abranja dados arquivados e de backup, ferramentas de colaboração no trabalho como Teams e Slack, e dispositivos pessoais usados para trabalho. A própria documentação da Microsoft confirma que dados em computadores locais ou servidores de arquivos on-premises estão fora das suas ferramentas DSR, portanto sua lista de busca deve nomear cada servidor de arquivos e o tenant.

5. Revisar, redigir e aplicar isenções

Aplique um teste em três etapas aos dados de terceiros antes de divulgar qualquer coisa:

• Você pode responder sem identificar a terceira parte?
• Essa pessoa deu consentimento?
• Caso contrário, a divulgação é razoável sem o consentimento deles?

Redija quando possível e registre o que foi retido. Outras isenções comumente reconhecidas pelo GDPR e pelas leis estaduais dos EUA incluem privilégio profissional legal, negociações em andamento, segredos comerciais e referências confidenciais, aplicando-se cada uma somente quando suas condições específicas são atendidas.

Sob the EU GDPR, segredos comerciais e propriedade intelectual podem limitar a cópia sem recusar totalmente o pedido. Use software específico de redação em vez de ferramentas de destaque e forneça uma razão justificável para cada redação.

6. Empacote e entregue a resposta

Entregue os dados em um formato que o solicitante possa ler sem um analista de dados. O GDPR exige que a resposta seja concisa e transparente, escrita em uma linguagem que um leitor comum possa entender, e não apenas uma exportação do sistema que só IT entenderia. Se o pedido chegou eletronicamente, envie um formato eletrônico comum, a menos que o solicitante tenha pedido outra coisa.

A Autoriteit Persoonsgegevens holandesa multou a Uber em 10 milhões de euros em janeiro de 2024, citando um processo de solicitação difícil de usar, arquivos de resposta nos quais os dados pessoais nem sempre estavam estruturados e eram difíceis de interpretar, e divulgação pouco clara dos períodos de retenção e transferências de dados. Uma exportação bruta de linhas de banco de dados pode não atender a esse padrão.

7. Documente o que foi feito

Preencha seu registro DSAR conforme avança, aplicando a mesma disciplina de gerenciamento de registros que sua organização usa em outros lugares, para que um auditor possa reconstruir a solicitação sem você. Registre a data de recebimento, o responsável, a data de vencimento, a data real de resposta, os motivos do atraso, as informações retidas e por quê, as isenções aplicadas e por quem, e as verificações de identidade realizadas. Sob o CCPA, você deve manter registros de solicitações e respostas por pelo menos 24 meses.

O custo de errar um DSAR

A aplicação do DSAR segue três padrões recorrentes, abrangendo prazos perdidos, respostas que os solicitantes não podem usar e exigências de verificação de identidade que a lei não permite. Reguladores multaram organizações por cada padrão.

Perder o prazo resulta em multa direta

A Autoridade Belga de Proteção de Dados multou um operador de telecomunicações em €100.000 em agosto de 2024 por responder 14 meses após um pedido DSAR. O GDPR limita as multas por falhas de acesso a €20.000.000 ou 4% do faturamento anual mundial, o que for maior, e a CCPA autoriza penalidades civis de até $7.500 por violação intencional.

Esse teto segue o mesmo padrão de aplicação visto em outras multas GDPR, então uma resposta tardia acarreta exposição real muito antes de um caso chegar a isso.

Uma resposta incompleta ou pouco clara também gera multa

A Autoridade Holandesa de Proteção de Dados multou a Netflix em €4.750.000 numa decisão de novembro de 2024. A autoridade constatou que a declaração de privacidade da Netflix não explicava claramente os propósitos, destinatários e períodos de retenção, e que os clientes que perguntaram quais dados a Netflix tinha sobre eles não receberam informações suficientes, violando o direito de acesso do GDPR ao abrigo do Artigo 15. Uma resposta atempada ainda cria responsabilidade se o requerente não conseguir obter a informação solicitada.

Exigir mais verificação do que a lei permite cria sua própria responsabilidade

O DPC irlandês repreendeu Groupon Ireland Operations Limited em março de 2024 por exigir identificação fotográfica quando a verificação por email estava disponível, e nenhuma identificação havia sido necessária no cadastro. Em 2025, o Conselho de Estado holandês reduziu a multa contra a DPG Media de €525.000 para €262.500 confirmando que a empresa agiu com negligência ao exigir cópias de identificação sem verificar se uma alternativa menos intrusiva, como a verificação por email, era possível.

Os reguladores tratam o gerenciamento de solicitações de acesso como uma prioridade rotineira de aplicação

Na Califórnia, a CPPA multou American Honda em $632.500 em março de 2025 por exigir pelo menos oito campos de dados em cada solicitação de privacidade e negar pelo menos 20 solicitações de exclusão e limitação ao exigir uma verificação que a lei não permitia. Solicitações de acesso a dados foram a maior categoria de reclamações à Data Protection Commission (DPC) da Irlanda em 2025, com 42%, evidência de que esses casos são comuns e não exceções.

O que observar ao avaliar ferramentas DSAR

Após a segunda ou terceira correria, a maioria dos responsáveis pela conformidade começa a perguntar sobre o software DSAR. Essa categoria cobre todo o ciclo de vida da solicitação, desde a captura e registro até a verificação de identidade, triagem, coleta, validação e comunicação. Discovery decide quanto tempo leva a etapa quatro, então avalie-a primeiro.

Descoberta em todos os locais onde seus dados estão

A ferramenta deve comprovar a presença de dados pessoais no nível de arquivo, linha e mensagem, em vez de depender das pessoas para listar sistemas em um questionário. A varredura direta fornece essa evidência; a descoberta e classificação de dados pessoais devem ser critérios principais.

A cobertura híbrida também é importante porque 77% das organizações operam em um ambiente de TI híbrido, de acordo com o Cybersecurity Trends Report 2025 da Netwrix.

Em um ambiente fortemente Microsoft, verifique a cobertura dos servidores de arquivos locais, Exchange, SharePoint e SQL Server junto com Microsoft 365, pois a própria orientação DSR da Microsoft para Microsoft 365 considera servidores de arquivos locais fora do escopo.

Verificação de identidade e registro integrados ao fluxo de trabalho

Um único caminho de entrada deve registrar automaticamente o recebimento, acompanhar a data de vencimento (incluindo qualquer janela de reconhecimento CCPA ou aviso de extensão GDPR) e aplicar os níveis de verificação da etapa dois para que qualquer solicitação de ID exija dúvida razoável documentada.

Os fluxos de trabalho com email e planilhas colocam o ônus da auditoria nos responsáveis individuais para preservar manualmente os carimbos de data/hora, e as evidências se perdem quando alguém sai.

Redação que não requer uma revisão manual em cada arquivo

Pergunte como a ferramenta lida com nomes de terceiros em 1.000 documentos e se sua saída é permanentemente redigida em vez de obscura reversivelmente. A documentação de algumas ferramentas de eDiscovery alerta sobre limites nos metadados de redação. Uma ferramenta que sinaliza dados de terceiros e categorias isentas antes da revisão humana deixa aos revisores a última semana para decisões.

Um registro de auditoria gerado automaticamente

O fluxo de trabalho deve gerar automaticamente uma audit trail, registrando cada pesquisa, ação do revisor e entrega com ator e carimbo de data/hora, para que os campos de auditoria sejam preenchidos automaticamente. Verifique a retenção do log de auditoria conforme os 24 meses da CCPA.

Como a Netwrix ajuda você a lidar com DSARs sem correria

Netwrix Access Analyzer fornece o mecanismo de descoberta, classificação e governança de acesso a dados por trás do Netwrix DSPM, que reúne essas capacidades para ambientes híbridos.

Saber onde os dados pessoais estão antes que um pedido chegue

Netwrix Access Analyzer descobre e marca informações pessoais identificáveis (PII) em ambientes híbridos, construindo o inventário indexado do qual um fluxo de trabalho DSAR depende antes que alguém envie uma solicitação.

Funciona com mais de 40 fontes de dados suportadas, incluindo servidores de arquivos Windows, SharePoint Online, SQL Server e Oracle.

Onde vive o resto do fluxo de trabalho

Netwrix DSPM fornece a camada de descoberta e acesso: onde os dados pessoais estão e quem pode acessá-los. A entrada de solicitações, verificação de identidade, redação e o registro de respostas ainda pertencem a um fluxo de trabalho de solicitação de privacidade ou ticket, portanto avalie-os conforme os critérios acima.

Construa um processo DSAR que não dependa de correria

Construir o índice antes de chegar uma solicitação elimina a necessidade de correria, pois a busca deixa de ser o gargalo e o passo quatro se torna uma consulta em vez de uma varredura manual por todos os sistemas. Comece classificando os locais onde os dados pessoais se concentram, como compartilhamentos de HR, caixas de correio e bancos de dados de clientes.

Então, escreva os níveis de verificação e o modelo de log dos passos dois e sete, e execute uma solicitação prática de ponta a ponta para cronometrar. Se esse exercício mostrar que a busca ainda está consumindo a janela, veja como indexed discovery pode pesquisar suas fontes de dados e preservar evidências para revisão.

Solicite uma demonstração para ver como Netwrix pode ajudar a indexar dados pessoais em sistemas híbridos, realizar buscas DSAR sem consultas manuais sistema a sistema e produzir automaticamente evidências de auditoria.