O que é uma Solicitação de Acesso do Titular de Dados (DSAR)?

Definição de Solicitação de Acesso do Titular dos Dados (DSAR)

A Solicitação de Acesso do Titular dos Dados (DSAR) é um pedido formal feito por uma pessoa a uma empresa, solicitando acesso aos dados pessoais que a empresa mantém sobre ela.

As exigências para DSAR variam conforme a regulamentação, mas, de modo geral, garantem ao indivíduo o direito de acessar, corrigir e transferir seus dados, além de optar pela exclusão do processo de coleta e solicitar a eliminação dessas informações.

O processo de DSAR é um pilar fundamental dos direitos de privacidade. As empresas devem oferecer uma visão transparente dos dados pessoais que estão sendo processados.

Entendendo o DSAR

Nos últimos anos, as regulamentações de privacidade de dados ampliaram o controle dos indivíduos sobre suas informações pessoais. Entre esses direitos está a possibilidade de saber quais dados as empresas armazenam sobre eles e por qual motivo, por meio do chamado pedido de acesso do titular dos dados (DSAR).

Profissionais de empresas que lidam com informações confidenciais precisam compreender como um DSAR pode afetar as operações.

Os direitos de acesso individuais sempre foram um mecanismo essencial para que as pessoas conheçam quais tipos de dados as organizações processam a seu respeito.

O Regulamento Geral de Proteção de Dados (GDPR) da União Europeia ampliou esses direitos, passando a tratar os indivíduos como "titulares dos dados" - origem do termo DSAR. Desde então, legislações como a California Consumer Privacy Act (CCPA) e a Colorado Privacy Act (CPA) também incorporaram direitos semelhantes.

Por que os pedidos de acesso do titular dos dados são importantes

Os pedidos de acesso do titular dos dados são um pilar das leis de privacidade modernas, como o GDPR e a CCPA, e fundamentais para garantir conformidade e proteger a privacidade dos indivíduos. No entanto, a relevância dos DSARs vai além do cumprimento regulatório. Eles são essenciais para fortalecer a confiança do cliente, demonstrando compromisso com a transparência e a proteção dos dados.

DSARs e conformidade com o GDPR

As solicitações de acesso do titular dos dados são um requisito fundamental do Regulamento Geral de Proteção de Dados (GDPR), que garante aos indivíduos maior controle sobre suas informações pessoais. De acordo com o GDPR, qualquer pessoa tem o direito de obter a confirmação sobre o tratamento de seus dados pessoais, acessar essas informações e receber detalhes sobre como e por que elas estão sendo utilizadas.

O GDPR exige que determinadas organizações nomeiem um encarregado de proteção de dados (DPO), responsável por monitorar a conformidade. Como os dados de contato do DPO devem estar acessíveis aos titulares, esse profissional também pode auxiliar no atendimento às solicitações de acesso dos titulares (DSARs).

O encarregado de proteção de dados pode ser um colaborador interno ou um profissional externo. Em ambos os casos, é indispensável que seja um especialista em proteção de dados, atuando de forma independente. Vale destacar que o GDPR permite que várias organizações compartilhem o mesmo DPO.

Atender às solicitações de acesso dos titulares (DSARs) é fundamental para comprovar a conformidade com o GDPR. As organizações devem responder a essas solicitações sem demora injustificada e no prazo máximo de um mês, fornecendo uma cópia dos dados solicitados em formato eletrônico de uso comum. O descumprimento pode resultar em multas expressivas, que podem chegar a €20 milhões ou 4% do faturamento global anual, prevalecendo o valor mais alto.

DSARs e outras regulamentações

A variedade de regulamentações globais de privacidade de dados que concedem aos indivíduos o direito de acessar seus dados pessoais - ou seja, que apoiam as DSARs - evidencia a relevância desse tema em todo o mundo. Veja a seguir alguns exemplos de normas que exigem que as organizações estabeleçam processos para responder a uma DSAR ou solicitação similar.

Estados Unidos

• Delaware Personal Data Privacy Act
• Montana Consumer Data Privacy Act
• Nevada Privacy Law (SB 220)
• Texas Data Privacy and Security Act (TDPSA)
• Utah Consumer Privacy Act (UCPA)

Canadá

• Canada Personal Information Protection and Electronic Documents Act (PIPEDA)

México

• Lei Federal de Proteção de Dados Pessoais Detidos por Particulares (LFPDPPP)

Europa (Fora da União Europeia)

• Lei de Proteção de Dados de Liechtenstein,
• Lei de Proteção de Dados da Noruega,
• Lei Federal Suíça sobre Proteção de Dados (FADP)

Ásia-Pacífico

• Australian Privacy Act, India Digital Personal Data Protection Act (DPDPA),
• New Zealand Privacy Act,
• Philippines Data Privacy Act,
• South Korea Personal Information Protection Act (PIPA)

Oriente Médio e África

Nigeria Data Protection Regulation (NDPR), South Africa Protection of Personal Information Act (POPIA), United Arab Emirates Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data

Quem pode enviar uma solicitação de acesso do titular (DSAR)?

Qualquer pessoa que tenha seus dados pessoais processados pela organização controladora pode enviar uma solicitação de acesso do titular, incluindo clientes, funcionários e fornecedores. Agentes autorizados, como pais, responsáveis e representantes legais, também podem apresentar uma DSAR em nome do titular.

Como enviar uma solicitação de acesso do titular dos dados (DSAR)?

Para enviar uma solicitação de acesso do titular dos dados, siga estas etapas:

Primeiro passo: identifique o destinatário da DSAR

Identifique a organização controladora dos dados que possui suas informações pessoais. Normalmente, esses dados estão disponíveis na política de privacidade ou nas informações de contato do responsável pela proteção de dados da organização.

Segundo passo: prepare a DSAR

Os principais pontos a serem incluídos em um DSAR são: uma declaração clara de que se trata de uma solicitação de acesso a dados e a especificação dos dados desejados. Em algumas situações, a organização pode solicitar um comprovante de identidade válido para verificar o pedido e evitar o acesso não autorizado a dados pessoais.

Etapa três: Escolha o método de envio

Existem três métodos principais para enviar um DSAR:

1. E-mail para o endereço dedicado de privacidade ou jurídico da organização
2. Formulários online ou portais específicos de DSAR
3. Correspondência física via correio

Após o envio do DSAR, a organização deve confirmar o recebimento da solicitação e pode pedir uma verificação adicional. Sempre mantenha uma cópia da solicitação e de toda a correspondência, registrando corretamente as datas.

Processo de resposta ao DSAR

Para garantir conformidade com as normas de privacidade, as empresas devem adotar processos e fluxos de trabalho que viabilizem respostas rápidas às solicitações. Veja a seguir as etapas recomendadas.

Estabeleça processos para receber solicitações de acesso do titular dos dados (DSARs)

Implementar processos para receber e gerenciar solicitações de acesso do titular dos dados (DSARs) é fundamental para garantir a conformidade regulatória e a eficiência operacional. Os principais elementos incluem:

• Defina um responsável pelo recebimento e coordenação das DSARs, como um encarregado de proteção de dados, membro da equipe de privacidade ou profissional de compliance.
• Implemente canais específicos para envio de DSARs, como e-mail dedicado, portal, formulário online e endereço postal, garantindo fácil acesso.
• Crie um formulário padronizado de DSAR para coletar identidade, informações de contato do solicitante e a descrição dos dados solicitados.
• Adote procedimentos para verificar a identidade do solicitante antes de atender à DSAR, confrontando os dados fornecidos com os registros internos.
• Estruture fluxos internos para:

  • Confirmar o recebimento
  • Localizar e compilar dados em diferentes sistemas
  • Revisar e suprimir dados confidenciais de terceiros
  • Responder dentro dos prazos legais
• Capacite áreas relevantes, como atendimento ao cliente, TI e RH, para identificar, encaminhar e responder a DSARs corretamente.
• Registre todas as DSARs e respectivas respostas para comprovar conformidade e monitorar tendências.

Verifique a identidade do solicitante da DSAR

Como qualquer pessoa pode enviar uma DSAR, é fundamental garantir que o solicitante tenha direito legal às informações solicitadas. Além disso, a identidade deve ser autenticada para evitar solicitações fraudulentas, como em casos de roubo de identidade.

Verificação de conta existente

Uma forma de verificar e autenticar o solicitante é utilizar os mesmos métodos adotados na coleta dos dados. Isso pode envolver uma conta de membro ou assinante com nome de usuário ou endereço de e-mail, autenticação multifator - como um código enviado para um aplicativo autenticador ou e-mail - e perguntas de segurança cadastradas pelo usuário ao criar a conta.

Algumas organizações também optam por solicitar uma cópia de um documento oficial, como passaporte ou carteira de identidade nacional.

Verificação de terceiros

Quando o DSAR é solicitado por um terceiro, a organização responsável deve, antes de tudo, confirmar que essa pessoa está autorizada a agir em nome do titular dos dados. O representante precisa apresentar comprovação, incluindo sua própria identidade e a autorização para representar o titular.

Coletar os dados aplicáveis

As empresas podem armazenar os dados solicitados em diversos locais e formatos, incluindo registros em papel e arquivos não estruturados. Para garantir a conformidade com as normas de privacidade, é fundamental adotar práticas essenciais, como a governança de dados, que otimizam e automatizam o fluxo de trabalho de DSAR.

Compreender quais tipos de dados são coletados - estruturados e não estruturados -, onde estão armazenados e como são tratados viabiliza uma conformidade mais eficiente.

Entregue os resultados de DSAR

Os resultados do DSAR devem ser apresentados em um formato legível e de fácil acesso. De acordo com a regulamentação aplicável, a entrega pode variar desde uma comunicação verbal até a disponibilização em um portal de autoatendimento para download das informações.

O GDPR determina que, se o pedido for eletrônico, a resposta também deve ser eletrônica, salvo indicação contrária da pessoa solicitante.

Práticas recomendadas para resposta a DSAR

Estabeleça políticas de minimização e classificação de dados

Adote práticas de minimização de dados para reduzir o volume de informações pessoais armazenadas. Classifique os dados de acordo com o tipo e o nível de sensibilidade.

Implemente controles de acesso

Restrinja quem, dentro da organização, pode acessar ou processar dados relacionados a DSAR. Garanta que apenas pessoas autorizadas participem da compilação ou revisão de informações pessoais, evitando vazamentos ou uso indevido de dados internamente.

Integre o acompanhamento de DSAR à governança de privacidade

Inclua métricas de DSAR - como volume, tempo de resposta e tipo de solicitação - nos relatórios mais amplos de privacidade de dados e conformidade. Essa prática facilita o monitoramento de tendências, a identificação de lacunas e o suporte a auditorias.

Prepare-se para situações excepcionais

Estabeleça orientações para cenários menos comuns, como:

• Solicitações envolvendo menores de idade ou pessoas falecidas
• Solicitações que entrem em conflito com outras obrigações legais (por exemplo, investigações em andamento)
• Solicitações que envolvam controladores conjuntos de dados

Garanta a segurança dos pacotes de resposta a DSARs

Garanta a transmissão segura de todas as respostas a DSARs. Utilize criptografia, proteção por senha ou portais de download seguros para reduzir o risco de exposição de dados confidenciais.

Mantenha a transparência com os solicitantes

Se uma DSAR for negada, adiada ou atendida parcialmente, explique de forma clara os motivos ao solicitante e indique as exceções legais aplicáveis.

Realize simulações regulares de DSAR

Realize exercícios simulados de DSAR para testar a prontidão da equipe, identificar ineficiências e aprimorar o fluxo de trabalho em condições realistas. Inclua representantes das áreas jurídica, de TI e de compliance.

Principais desafios no tratamento de solicitações DSAR

Como mencionado anteriormente, para atender de forma eficiente aos requisitos de DSAR, as empresas precisam contar com processos sólidos de governança de dados. Na ausência desses processos, as organizações enfrentam obstáculos comuns, como os listados a seguir.

• Localizar todos os dados relevantes em diferentes sistemas (como nuvem, ambientes locais e aplicativos de terceiros)
• Identificar dados pessoais em formatos não estruturados, como e-mails, documentos e registros de chat
• Verificar a identidade do solicitante
• Gerenciar dados de terceiros para garantir a privacidade (por exemplo, ocultando informações confidenciais que não estejam relacionadas ao DSAR)
• Ausência de processos padronizados
• Alto volume de solicitações
• Cumprimento de prazos regulatórios rigorosos
• Garantir a precisão e a integridade dos dados
• Gerenciar os custos dos DSARs, especialmente em solicitações complexas ou frequentes
• Equilibrar transparência e obrigações legais

Motivos para recusar um DSAR

A legislação geralmente permite que as organizações recusem uma solicitação, mesmo que seja legítima. Entre as situações que podem justificar a recusa, destacam-se:

• Solicitação manifestamente excessiva (por exemplo, quando a resposta exige recursos desproporcionais em relação a outras demandas de DSAR)
• Impossibilidade de verificar o solicitante por meios razoáveis
• Intenção maliciosa (como o objetivo de assediar ou sobrecarregar a organização ou colaboradores específicos)
• Cumprimento de outras legislações (por exemplo, restrições relacionadas à segurança nacional)

Quando uma organização recusa o atendimento a uma DSAR, o solicitante deve ser informado sobre o motivo da recusa e receber orientações claras sobre como contestar essa decisão.

Cobrança de "taxa razoável" para uma DSAR

Em geral, as regulamentações determinam que não se pode cobrar taxa pelo atendimento a solicitações de informações. No entanto, algumas permitem a cobrança de taxas "razoáveis" para cobrir custos administrativos em situações específicas, como:

• Solicitações repetitivas: Quando uma pessoa envia várias DSARs em um curto período e os pedidos são claramente excessivos ou duplicados.
• Solicitações manifestamente infundadas ou excessivas: Quando não há base legítima para o pedido, há intenção de assediar a organização ou a solicitação impõe um ônus desproporcional aos recursos.
• Importante: a taxa só pode cobrir o custo administrativo real de reunir, copiar ou entregar os dados, como impressão, envio postal ou tempo dedicado à anonimização de informações confidenciais de terceiros.

Automação e tecnologia na gestão de DSARs

A automação e a tecnologia têm o potencial de aprimorar significativamente a gestão de DSAR e otimizar operações relacionadas. Veja alguns exemplos a seguir.

• Coleta e acompanhamento automatizados, como formulários web ou portais DSAR, para padronizar solicitações, confirmar recebimento e monitorar o andamento em tempo real.
• Ferramentas de verificação de identidade que integram métodos de autenticação para validar solicitantes de forma segura e eficiente.
• Descoberta e classificação de dados com IA para localizar, identificar e classificar dados pessoais em diferentes sistemas e ambientes de armazenamento.
• Processamento de linguagem natural (PLN) para analisar dados não estruturados (como e-mails e documentos) e identificar informações pessoais relevantes.
• Plataformas de orquestração de workflows que coordenam tarefas entre equipes jurídicas, de TI e de compliance, utilizando fluxos de trabalho predefinidos para reduzir atrasos e erros manuais.
• Ferramentas automatizadas de redação para remover dados de terceiros ou informações confidenciais, mantendo o contexto e a conformidade.
• Geração automatizada de respostas, criando relatórios ou pacotes de dados em formatos padronizados e fáceis de usar (como PDF ou CSV) para entrega.
• Registro de auditoria e relatórios de conformidade. Mantenha logs detalhados de todo o processo para demonstrar conformidade em auditorias ou revisões regulatórias.
• Escalabilidade para altos volumes de solicitações. Garanta respostas consistentes e pontuais a DSARs mesmo em períodos de alta demanda, reduzindo o trabalho manual.
• Integração com plataformas de privacidade e governança de dados, conectando os fluxos de DSAR a sistemas mais amplos de gestão de privacidade para supervisão e relatórios unificados.

Esteja preparado para um DSAR

A melhor forma de se preparar para as exigências de um DSAR é compreender os dados. Gerenciar e obter visibilidade sobre dados não estruturados representa um desafio significativo, mas é fundamental, já que a maior parte das informações mantidas por uma organização é não estruturada. Com o crescimento contínuo do volume de dados, superar esse desafio se tornará cada vez mais complexo.

AVISO LEGAL: AS INFORMAÇÕES CONTIDAS NESTE DOCUMENTO TÊM FINALIDADE ESTRITAMENTE INFORMATIVA E NÃO CONSTITUEM, EM NENHUMA HIPÓTESE, ORIENTAÇÃO JURÍDICA. A SAILPOINT NÃO FORNECE ESSE TIPO DE ASSESSORIA E RECOMENDA QUE VOCÊ CONSULTE UM ADVOGADO SOBRE QUESTÕES LEGAIS APLICÁVEIS.