§Visión general
Un flujo de trabajo de DSAR debe reunir a los equipos de privacidad, jurídico, TI, recursos humanos y atención al cliente, así como a los encargados del tratamiento externos. La Guía del flujo de DSAR de RegulatoryBridge describe un enfoque práctico en cinco fases para la gestión de solicitudes, respaldado por plazos específicos de cada jurisdicción, una verificación de identidad proporcionada, un manejo seguro de los datos y una documentación lista para auditoría.
El objetivo: un único flujo de trabajo operativo y coordinado, con la flexibilidad necesaria para cumplir los distintos requisitos legales de cada jurisdicción.
§¿Qué es una solicitud de acceso del interesado?
Una solicitud de acceso del interesado es la petición que formula una persona para ejercer su derecho de acceso a los datos personales que una organización conserva o trata. Entre los derechos de privacidad relacionados pueden figurar la rectificación, la supresión, la portabilidad, la limitación y la oposición, según la ley aplicable.
Las organizaciones deben distinguir las solicitudes de acceso de las demás solicitudes de ejercicio de derechos de privacidad, ya que cada una puede tener criterios de admisibilidad, requisitos de verificación, exenciones y plazos de respuesta diferentes.
Un proceso de DSAR bien diseñado ayuda a las organizaciones a responder de forma coherente y, al mismo tiempo, a proteger los datos personales, los derechos de terceros y la información confidencial.
Las cinco fases de un vistazo
§El flujo de DSAR en cinco fases
Fase 1: Recepción y registro de la solicitud
Objetivo: Registrar las solicitudes con precisión y asignar responsabilidades.
Las personas pueden presentar solicitudes por correo electrónico, formularios web, atención al cliente, correo postal u otros canales disponibles. El personal debe reconocer las solicitudes válidas aunque la persona no utilice el término DSAR ni cite una ley de privacidad concreta.
Acciones recomendadas:
- Facilite instrucciones claras para presentar solicitudes de ejercicio de derechos de privacidad.
- Registre la fecha y la hora de recepción de la solicitud.
- Asigne una referencia de caso única.
- Identifique el tipo de derecho que se ejerce.
- Registre la identidad declarada por el solicitante y sus datos de contacto.
- Identifique las jurisdicciones y los marcos jurídicos potencialmente pertinentes.
- Acuse recibo cuando sea obligatorio o conveniente.
- Asigne un responsable y registre el plazo de respuesta aplicable.
Resultado: Una solicitud registrada, con referencia de caso, responsable asignado y evaluación inicial del plazo.
Fase 2: Verificación de identidad proporcionada
Objetivo: Proteger los datos personales sin crear barreras innecesarias al ejercicio de los derechos de privacidad.
Antes de comunicar datos personales, evalúe si la organización dispone de información suficiente para verificar al solicitante. El nivel de verificación debe ajustarse a las circunstancias, a la sensibilidad de la información y a los requisitos legales aplicables.
Acciones recomendadas:
- Utilice una cuenta autenticada o la relación de cliente existente cuando proceda.
- Compare la información facilitada con los registros de que ya dispone.
- Solicite pruebas adicionales solo cuando sea razonablemente necesario.
- Establezca un proceso seguro para los representantes autorizados.
- Restrinja el acceso a las pruebas de identidad y suprímalas cuando ya no sean necesarias, con sujeción a los requisitos de conservación aplicables.
- Registre la decisión de verificación y su justificación.
No exija de forma sistemática un documento de identidad oficial cuando basten métodos menos intrusivos. Los requisitos de verificación y el efecto de la verificación sobre los plazos legales difieren de una jurisdicción a otra.
Resultado: Una decisión de verificación documentada y un registro claro de la información pendiente que se necesite.
Fase 3: Localización y recopilación de los datos
Objetivo: Localizar los datos personales pertinentes en toda la organización y en sus proveedores de servicios.
Un proceso de DSAR fiable depende de saber dónde se almacenan los datos personales, cómo se identifican y qué equipos o proveedores deben participar en la búsqueda.
Entre las posibles fuentes figuran:
- Bases de datos de clientes y sistemas de gestión de cuentas
- Plataformas de CRM, facturación y atención al cliente
- Herramientas de correo electrónico, mensajería y colaboración
- Sistemas de recursos humanos y de gestión de empleados
- Plataformas de marketing, analítica y publicidad
- Almacenes de datos y aplicaciones de negocio
- Registros de seguridad y de auditoría
- Registros pertinentes en poder de encargados del tratamiento y proveedores de servicios
- Archivos y copias de seguridad, en su caso
Acciones recomendadas:
- Mantenga un inventario de los sistemas y de los responsables de los datos.
- Defina procedimientos de búsqueda basados en identificadores fiables.
- Coordínese con los encargados del tratamiento pertinentes y con los equipos internos.
- Registre los sistemas consultados, los criterios de búsqueda y las fechas de las búsquedas.
- Evalúe si son necesarias búsquedas adicionales.
- Documente los sistemas o fuentes de datos en los que no se haya podido buscar y el motivo.
Los registros de las actividades de tratamiento pueden ayudar a identificar los sistemas pertinentes, pero deben complementarse con inventarios técnicos y conocimiento operativo.
Resultado: Un conjunto de registros potencialmente relevantes para la solicitud, con una cobertura de búsqueda documentada.
Fase 4: Revisión, anonimización parcial y exenciones
Objetivo: Preparar una respuesta exacta protegiendo al mismo tiempo otros derechos e intereses.
La información recopilada debe revisarse antes de comunicarla. No todos los documentos que contienen datos personales deben facilitarse íntegramente, y parte de la información puede requerir la ocultación de determinados pasajes o estar amparada por una exención aplicable.
La revisión puede incluir:
- Confirmar que los registros se refieren al solicitante.
- Eliminar o proteger los datos personales de terceros cuando sea necesario.
- Evaluar los privilegios legales y las exenciones legales aplicables.
- Revisar la información comercial confidencial cuando sea jurídicamente pertinente.
- Comprobar la exactitud y la exhaustividad de la respuesta.
- Preparar la información en el formato exigido o adecuado.
- Obtener una revisión jurídica en los casos complejos, controvertidos o de alto riesgo.
Evite ocultar automáticamente documentos enteros por el mero hecho de que contengan información de terceros. Valore si la información puede comunicarse de forma leal mediante una ocultación proporcionada u otras medidas.
Resultado: Un paquete de respuesta revisado, con las ocultaciones y exclusiones documentadas y los motivos que las justifican.
Fase 5: Entrega segura y cierre del caso
Objetivo: Responder adecuadamente y mantener un registro auditable.
Una vez revisada y aprobada la respuesta, entréguela a través de un canal seguro adecuado a la información de que se trate y a los requisitos aplicables.
Acciones recomendadas:
- Confirme el plazo de respuesta aplicable y cualquier prórroga válida.
- Facilite los datos personales exigidos y la información complementaria.
- Explique cualquier denegación o limitación cuando la ley lo exija.
- Incluya la información aplicable sobre los derechos de reclamación o revisión.
- Cifre o proteja por otros medios los archivos de respuesta sensibles.
- Verifique el destinatario y el destino de la entrega.
- Registre la fecha, el método y el resultado de la entrega.
- Conserve el expediente del caso conforme a una política de conservación documentada.
- Haga seguimiento de las acciones pendientes y de las lecciones aprendidas.
Resultado: Un expediente de caso completo que contiene la solicitud, la verificación, las búsquedas, las decisiones de revisión, la respuesta y la prueba de entrega.
§Plazos de respuesta a las DSAR por jurisdicción
El plazo de respuesta depende de la ley aplicable y del derecho concreto que se ejerza. El siguiente resumen ilustra por qué las organizaciones deben mantener flujos de trabajo adaptados a cada jurisdicción.
| Marco regulatorio | Principio general sobre plazos |
|---|---|
| GDPR de la UE | Responder sin dilación indebida y, por lo general, en el plazo de un mes. Puede disponerse de dos meses adicionales para solicitudes complejas o numerosas, con la notificación y la motivación exigidas. |
| UK GDPR | Por lo general, un mes, con una posible prórroga de hasta dos meses adicionales cuando esté permitida y se comunique debidamente. |
| CCPA/CPRA de California | Las solicitudes de información cubiertas y las solicitudes relacionadas sujetas a las normas aplicables requieren, por lo general, una respuesta en un plazo de 45 días naturales. Puede disponerse de otros 45 días cuando sea razonablemente necesario y con la notificación exigida. |
| DPDPA de la India | Compruebe las disposiciones de entrada en vigor aplicables y el reglamento de desarrollo (Rules) antes de considerar operativos los requisitos de respuesta a los derechos del titular de los datos (Data Principal). El marco prevé una entrada en vigor escalonada. |
| LGPD de Brasil | La confirmación del tratamiento y el acceso se rigen por el artículo 19, que prevé una respuesta simplificada inmediata y una declaración completa en un plazo de 15 días, con sujeción a las disposiciones aplicables. |
| APPI de Japón | Las solicitudes de divulgación de datos personales conservados deben atenderse sin demora conforme al artículo 33, con sujeción a las excepciones y los procedimientos aplicables. |
| PDPA de Singapur | Las solicitudes de acceso deben atenderse, por lo general, tan pronto como sea razonablemente posible; conviene comprobar los requisitos aplicables y las directrices del regulador para la solicitud de que se trate. |
Esta tabla es un resumen y no sustituye a la comprobación de la legislación vigente. Otros derechos de privacidad pueden tener plazos distintos, y pueden aplicarse requisitos sectoriales o contractuales adicionales.
Recomendación operativa: Fije hitos internos que dejen tiempo suficiente para la recopilación de datos, la revisión y la entrega segura. No dé por sentado que el plazo de una jurisdicción se aplica automáticamente a todas las solicitudes.
§Dificultades habituales de las DSAR y cómo abordarlas
Solicitudes recibidas por múltiples canales
Los empleados pueden recibir solicitudes de privacidad a través de tiques de soporte, correo electrónico o redes sociales. Forme al personal para que reconozca estas solicitudes y las dirija a un flujo de trabajo centralizado sin retrasar innecesariamente su registro.
Datos personales repartidos entre múltiples sistemas
Mantenga un inventario de datos actualizado, registros de la titularidad de los sistemas y procedimientos de búsqueda documentados. Automatice la extracción cuando proceda, pero conserve la revisión humana para los registros complejos.
Verificación de identidad excesiva o insuficiente
Aplique un proceso de verificación proporcionado y basado en el riesgo. Exigir pruebas de identidad en exceso puede generar riesgos para la privacidad y barreras innecesarias, mientras que una verificación insuficiente puede dar lugar a una comunicación no autorizada.
Información de terceros y registros confidenciales
Utilice un proceso de revisión documentado para identificar las exenciones aplicables y proteger los derechos de otras personas. Deje constancia de por qué se retuvo u ocultó información.
Incumplimiento de plazos
Controle los plazos legales, la posibilidad de prórroga, el estado de la verificación y las dependencias en un sistema centralizado de gestión de casos. Escale pronto las solicitudes complejas en lugar de esperar a que se acerque el plazo.
Solicitudes repetitivas o excesivas
Evalúe si la ley pertinente permite cobrar un canon o denegar la solicitud y documente la base jurídica. No clasifique automáticamente las solicitudes reiteradas como abusivas; aplique a los hechos el criterio legal correspondiente.
§Lista de comprobación del flujo de DSAR
Utilice esta lista de comprobación para evaluar si su organización dispone de los controles de proceso esenciales.
- Un procedimiento documentado para recibir y reconocer las solicitudes
- Un registro central con identificadores de caso y seguimiento de plazos
- Una asignación clara de responsabilidades y de escalado
- Procedimientos de verificación de identidad proporcionados
- Un inventario de los sistemas y de los responsables de los datos pertinentes
- Procedimientos de coordinación con encargados del tratamiento y proveedores
- Decisiones documentadas de revisión, ocultación y exención
- Entrega segura de la respuesta y verificación del destinatario
- Registros de las comunicaciones, las búsquedas y las decisiones
- Reglas de plazos y prórrogas específicas de cada jurisdicción
- Formación del personal y pruebas periódicas del proceso
- Una política de conservación documentada para los expedientes de DSAR
§Preguntas frecuentes
¿Qué diferencia hay entre una DSAR y una solicitud de acceso del interesado (subject access request)?
El término «subject access request» suele designar la solicitud de una persona para acceder a sus datos personales en virtud de un régimen de privacidad concreto, como el UK GDPR. DSAR es un término operativo más amplio que se emplea a menudo para las solicitudes de acceso y, en algunas organizaciones, para las solicitudes relacionadas de ejercicio de derechos de privacidad. Los derechos concretos dependen de la ley aplicable.
¿Cuándo empieza a contar el plazo de respuesta a una DSAR?
La ley aplicable determina cuándo comienza el plazo de respuesta. Conforme al GDPR, el plazo general de un mes está vinculado a la recepción de la solicitud. No debe darse por sentado que la verificación o la aclaración suspenden automáticamente el plazo.
¿Puede una organización denegar una DSAR?
Una solicitud puede denegarse o limitarse cuando una base jurídica específica lo permita, como en el caso de determinadas solicitudes manifiestamente infundadas o excesivas conforme al GDPR o de las exenciones legales aplicables. La organización debe evaluar las circunstancias, documentar su razonamiento y facilitar la explicación exigida.
¿Tiene que buscar la organización en todos los sistemas?
Debe realizar una búsqueda razonable y de alcance adecuado que cumpla sus obligaciones legales. Los sistemas pertinentes dependen de las actividades de tratamiento de la organización y de la solicitud. Las limitaciones de la búsqueda deben evaluarse y documentarse, en lugar de tratarse como exenciones automáticas.
¿Puede automatizarse la tramitación de las DSAR?
Sí. La recepción, la asignación de casos, los recordatorios de plazos, las búsquedas en los sistemas, la extracción de datos y el seguimiento del flujo de trabajo pueden automatizarse. La revisión humana sigue siendo importante para las controversias sobre la identidad, los derechos de terceros, las exenciones legales y las decisiones de comunicación complejas.
¿Cómo deben conservarse los registros de las DSAR?
Mantenga documentación suficiente para demostrar cómo se gestionó la solicitud, con sujeción a los requisitos aplicables de conservación y minimización de datos. Conserve únicamente la información necesaria para la rendición de cuentas, las obligaciones legales y los fines operativos legítimos.
Diseñe un proceso de DSAR más eficaz
Un flujo de trabajo de DSAR bien diseñado puede mejorar la coherencia, reducir el trabajo manual y reforzar la rendición de cuentas en toda su organización. La clave está en combinar un proceso operativo común con las reglas específicas de cada jurisdicción que determinan qué debe comunicarse y cuándo.
RegulatoryBridge puede ayudar a su organización a evaluar sus procedimientos de derechos de privacidad, identificar carencias operativas y desarrollar un enfoque estructurado del cumplimiento transfronterizo.
Póngase en contacto con RegulatoryBridge para hablar de su proceso de DSAR y de sus requisitos de cumplimiento en materia de privacidad.