§Visão geral
Um fluxo de trabalho de DSAR deve reunir as áreas de privacidade, jurídico, TI, RH e atendimento ao cliente, além dos operadores terceirizados. O Guia do fluxo de DSAR da RegulatoryBridge apresenta uma abordagem prática em cinco fases para a gestão de solicitações, apoiada em prazos específicos de cada jurisdição, verificação de identidade proporcional, tratamento seguro dos dados e documentação pronta para auditoria.
O objetivo: um único fluxo operacional coordenado, com flexibilidade para atender a diferentes requisitos legais em várias jurisdições.
§O que é uma solicitação de acesso do titular dos dados?
Uma solicitação de acesso do titular dos dados é o pedido de um indivíduo para exercer o direito de acesso aos dados pessoais mantidos ou tratados por uma organização. Os direitos de privacidade relacionados podem incluir correção, eliminação, portabilidade, restrição e oposição, dependendo da lei aplicável.
As organizações devem distinguir as solicitações de acesso das demais solicitações de direitos de privacidade, pois cada uma pode ter critérios de elegibilidade, requisitos de verificação, exceções e prazos de resposta diferentes.
Um processo de DSAR bem estruturado ajuda as organizações a responder de forma consistente, protegendo ao mesmo tempo os dados pessoais, os direitos de terceiros e as informações confidenciais.
As cinco fases em resumo
§O fluxo de DSAR em cinco fases
Fase 1: Recebimento e registro da solicitação
Objetivo: Registrar as solicitações com precisão e definir responsabilidades.
Os indivíduos podem enviar solicitações por e-mail, formulários na web, atendimento ao cliente, correspondência postal ou outros canais disponíveis. A equipe deve reconhecer solicitações válidas mesmo quando o indivíduo não usa o termo DSAR nem cita uma lei de privacidade específica.
Ações recomendadas:
- Forneça instruções claras para o envio de solicitações de direitos de privacidade.
- Registre a data e a hora de recebimento da solicitação.
- Atribua um número de referência único ao caso.
- Identifique o tipo de direito que está sendo exercido.
- Registre a identidade declarada e os dados de contato do solicitante.
- Identifique as jurisdições e os marcos legais potencialmente aplicáveis.
- Confirme o recebimento quando exigido ou apropriado.
- Designe um responsável e registre o prazo de resposta aplicável.
Resultado: Uma solicitação registrada, com número de referência do caso, responsável designado e avaliação inicial do prazo.
Fase 2: Verificação de identidade proporcional
Objetivo: Proteger os dados pessoais sem criar barreiras desnecessárias ao exercício dos direitos de privacidade.
Antes de divulgar dados pessoais, avalie se a organização dispõe de informações suficientes para verificar a identidade do solicitante. O nível de verificação deve refletir as circunstâncias, a sensibilidade das informações e os requisitos legais aplicáveis.
Ações recomendadas:
- Use uma conta autenticada ou o relacionamento já existente com o cliente, quando apropriado.
- Compare as informações fornecidas com os registros já mantidos.
- Solicite comprovação adicional somente quando for razoavelmente necessário.
- Estabeleça um processo seguro para representantes autorizados.
- Restrinja o acesso aos comprovantes de identidade e elimine-os quando não forem mais necessários, observados os requisitos de retenção aplicáveis.
- Registre a decisão de verificação e sua justificativa.
Não exija rotineiramente documentos de identificação emitidos pelo governo quando métodos menos invasivos forem suficientes. Os requisitos de verificação e o efeito da verificação sobre os prazos legais variam conforme a jurisdição.
Resultado: Uma decisão de verificação documentada e um registro claro de qualquer informação pendente necessária.
Fase 3: Localização e coleta dos dados
Objetivo: Localizar os dados pessoais pertinentes em toda a organização e em seus prestadores de serviços.
Um processo de DSAR confiável depende de saber onde os dados pessoais estão armazenados, como são identificados e quais equipes ou fornecedores precisam participar da busca.
Entre as fontes possíveis estão:
- Bancos de dados de clientes e sistemas de gestão de contas
- Plataformas de CRM, faturamento e atendimento ao cliente
- Ferramentas de e-mail, mensagens e colaboração
- Sistemas de RH e de gestão de funcionários
- Plataformas de marketing, análise de dados e publicidade
- Data warehouses e aplicações de negócio
- Logs de segurança e registros de auditoria
- Registros pertinentes mantidos por operadores e prestadores de serviços
- Arquivos históricos e backups, quando aplicável
Ações recomendadas:
- Mantenha um inventário dos sistemas e dos responsáveis pelos dados.
- Defina procedimentos de busca com identificadores confiáveis.
- Coordene o trabalho com os operadores e as equipes internas pertinentes.
- Registre os sistemas pesquisados, os critérios de busca e as datas das buscas.
- Avalie se são necessárias buscas adicionais.
- Documente os sistemas ou as fontes de dados que não puderam ser pesquisados e o motivo.
Os registros das atividades de tratamento podem ajudar a identificar os sistemas pertinentes, mas devem ser complementados com inventários técnicos e conhecimento operacional.
Resultado: Um conjunto de registros potencialmente pertinentes à solicitação, com a cobertura das buscas documentada.
Fase 4: Revisão, ocultação de trechos e exceções
Objetivo: Preparar uma resposta precisa, protegendo ao mesmo tempo outros direitos e interesses.
As informações coletadas devem ser revisadas antes da divulgação. Nem todo documento que contém dados pessoais precisa ser fornecido na íntegra, e algumas informações podem exigir a ocultação de trechos ou se enquadrar em uma exceção aplicável.
A revisão pode incluir:
- Confirmar que os registros dizem respeito ao solicitante.
- Remover ou proteger dados pessoais de terceiros quando exigido.
- Avaliar os sigilos legais e as exceções legais aplicáveis.
- Analisar informações comerciais confidenciais quando juridicamente relevante.
- Verificar a exatidão e a completude da resposta.
- Preparar as informações no formato exigido ou apropriado.
- Obter revisão jurídica nos casos complexos, contestados ou de alto risco.
Evite ocultar automaticamente documentos inteiros apenas porque contêm informações de terceiros. Considere se as informações podem ser divulgadas de forma justa por meio da ocultação proporcional de trechos ou de outras medidas.
Resultado: Um pacote de resposta revisado, com os trechos ocultados, as exclusões e as respectivas justificativas documentados.
Fase 5: Entrega segura e encerramento do caso
Objetivo: Responder de forma adequada e manter um registro auditável.
Depois que a resposta for revisada e aprovada, entregue-a por um canal seguro, adequado às informações envolvidas e aos requisitos aplicáveis.
Ações recomendadas:
- Confirme o prazo de resposta aplicável e qualquer prorrogação válida.
- Forneça os dados pessoais exigidos e as informações complementares.
- Explique qualquer recusa ou restrição quando exigido por lei.
- Inclua as informações aplicáveis sobre os direitos de reclamação ou de revisão.
- Criptografe ou proteja de outra forma os arquivos de resposta sensíveis.
- Verifique o destinatário e o destino da entrega.
- Registre a data, o método e o resultado da entrega.
- Retenha o registro do caso conforme uma política de retenção documentada.
- Acompanhe as ações pendentes e as lições aprendidas.
Resultado: Um registro de caso completo, contendo a solicitação, a verificação, as buscas, as decisões de revisão, a resposta e os comprovantes de entrega.
§Prazos de resposta a DSARs por jurisdição
O prazo de resposta depende da lei aplicável e do direito específico que está sendo exercido. A visão geral a seguir mostra por que as organizações devem manter fluxos de trabalho adaptados a cada jurisdição.
| Marco regulatório | Princípio geral de prazo |
|---|---|
| GDPR da UE | Responder sem demora injustificada e, em geral, no prazo de um mês. Pode haver prorrogação de mais dois meses para solicitações complexas ou numerosas, com a devida comunicação e justificativa. |
| UK GDPR | Em geral, um mês, com possível prorrogação de até mais dois meses quando permitido e devidamente comunicado. |
| CCPA/CPRA da Califórnia | As solicitações de conhecimento abrangidas e as solicitações relacionadas sujeitas às regras aplicáveis exigem, em geral, resposta em até 45 dias corridos. Pode haver prorrogação de mais 45 dias quando razoavelmente necessário e com a devida comunicação. |
| DPDPA da Índia | Verifique as disposições de entrada em vigor e as Rules aplicáveis antes de considerar vigentes os requisitos de resposta aos direitos do titular dos dados (Data Principal). O marco regulatório tem entrada em vigor escalonada. |
| LGPD do Brasil | A confirmação da existência de tratamento e o acesso são regidos pelo artigo 19, que prevê uma resposta imediata em formato simplificado e uma declaração completa no prazo de 15 dias, observadas as disposições aplicáveis. |
| APPI do Japão | As solicitações de divulgação de dados pessoais retidos devem ser atendidas sem demora, nos termos do artigo 33, observadas as exceções e os procedimentos aplicáveis. |
| PDPA de Singapura | As solicitações de acesso devem, em geral, ser atendidas o mais rápido que for razoavelmente possível; os requisitos aplicáveis e as orientações da autoridade supervisora devem ser verificados para a solicitação em questão. |
Esta tabela é um resumo e não substitui a consulta à legislação vigente. Outros direitos de privacidade podem ter prazos diferentes, e podem se aplicar requisitos setoriais ou contratuais adicionais.
Recomendação operacional: Defina marcos internos que deixem tempo suficiente para a coleta dos dados, a revisão e a entrega segura. Não presuma que o prazo de uma jurisdição se aplica automaticamente a todas as solicitações.
§Desafios comuns em DSARs e como enfrentá-los
Solicitações recebidas por vários canais
Os funcionários podem receber solicitações de privacidade por chamados de suporte, e-mail ou redes sociais. Treine a equipe para reconhecer essas solicitações e encaminhá-las a um fluxo de trabalho centralizado, sem atrasar desnecessariamente o registro.
Dados pessoais espalhados por vários sistemas
Mantenha atualizados o inventário de dados, os registros dos responsáveis pelos sistemas e os procedimentos de busca documentados. Automatize a extração quando apropriado, mas preserve a revisão humana para os registros complexos.
Verificação de identidade excessiva ou insuficiente
Aplique um processo de verificação proporcional e baseado em risco. Pedidos excessivos de comprovação de identidade podem criar riscos à privacidade e barreiras desnecessárias, enquanto uma verificação insuficiente pode levar a divulgações não autorizadas.
Informações de terceiros e registros confidenciais
Use um processo de revisão documentado para identificar as exceções aplicáveis e proteger os direitos de outros indivíduos. Registre por que as informações foram retidas ou ocultadas.
Prazos perdidos
Acompanhe os prazos legais, a possibilidade de prorrogação, o status da verificação e as dependências em um sistema centralizado de gestão de casos. Escalone as solicitações complexas logo no início, em vez de esperar o prazo se aproximar.
Solicitações repetitivas ou excessivas
Avalie se a lei aplicável permite a cobrança de uma taxa ou a recusa e documente a base legal. Não classifique automaticamente solicitações repetidas como abusivas; aplique aos fatos o critério legal pertinente.
§Checklist do fluxo de DSAR
Use este checklist para avaliar se a sua organização tem implementados os controles de processo essenciais.
- Um procedimento documentado para receber e reconhecer solicitações
- Um registro centralizado, com identificadores de caso e acompanhamento de prazos
- Responsabilidades claras de condução e escalonamento
- Procedimentos de verificação de identidade proporcionais
- Um inventário dos sistemas e dos respectivos responsáveis pelos dados
- Procedimentos de coordenação com operadores e fornecedores
- Decisões de revisão, ocultação de trechos e exceções documentadas
- Entrega segura da resposta e verificação do destinatário
- Registros das comunicações, das buscas e das decisões
- Regras de prazo e de prorrogação específicas de cada jurisdição
- Treinamento da equipe e testes periódicos do processo
- Uma política de retenção documentada para os registros de casos de DSAR
§Perguntas frequentes
Qual é a diferença entre uma DSAR e uma solicitação de acesso do titular?
Uma solicitação de acesso do titular (subject access request) costuma designar o pedido de um indivíduo para acessar dados pessoais sob um regime de privacidade específico, como o UK GDPR. DSAR é um termo operacional mais amplo, frequentemente usado para solicitações de acesso e, em algumas organizações, para solicitações de direitos de privacidade relacionados. Os direitos exatos dependem da lei aplicável.
Quando começa a contar o prazo de resposta a uma DSAR?
A lei aplicável determina quando o prazo de resposta começa. No GDPR, o prazo geral de um mês está vinculado ao recebimento da solicitação. Não se deve presumir que a verificação ou o pedido de esclarecimentos suspenda automaticamente o prazo.
Uma organização pode recusar uma DSAR?
Uma solicitação pode ser recusada ou restringida quando uma base legal específica o permite, como no caso de certas solicitações manifestamente infundadas ou excessivas no GDPR ou de exceções legais aplicáveis. A organização deve avaliar as circunstâncias, documentar sua fundamentação e fornecer a explicação exigida.
A organização precisa pesquisar todos os sistemas?
Ela deve realizar uma busca razoável, com escopo adequado, que atenda às suas obrigações legais. Os sistemas pertinentes dependem das atividades de tratamento da organização e da solicitação. As limitações de busca devem ser avaliadas e documentadas, e não tratadas como exceções automáticas.
O atendimento a DSARs pode ser automatizado?
Sim. O recebimento, a atribuição de casos, os lembretes de prazo, as buscas em sistemas, a extração de dados e o acompanhamento do fluxo de trabalho podem ser automatizados. A revisão humana continua importante em disputas de identidade, direitos de terceiros, exceções legais e decisões de divulgação complexas.
Como os registros de DSAR devem ser retidos?
Mantenha documentação suficiente para demonstrar como a solicitação foi tratada, observados os requisitos aplicáveis de retenção e de minimização de dados. Retenha apenas as informações necessárias para a prestação de contas, as obrigações legais e as finalidades operacionais legítimas.
Estruture um processo de DSAR mais eficaz
Um fluxo de trabalho de DSAR bem estruturado pode melhorar a consistência, reduzir o esforço manual e fortalecer a prestação de contas em toda a organização. O segredo é combinar um processo operacional comum com as regras específicas de cada jurisdição que determinam o que deve ser divulgado e quando.
A RegulatoryBridge pode ajudar a sua organização a avaliar seus procedimentos de direitos de privacidade, identificar lacunas operacionais e desenvolver uma abordagem estruturada para a conformidade internacional.
Entre em contato com a RegulatoryBridge para conversar sobre o seu processo de DSAR e suas necessidades de conformidade em privacidade.