Durante muito tempo, uma Solicitação do Titular dos Dados (DSR) ou Solicitação de Acesso do Titular dos Dados (DSAR) significava uma coisa: alguém queria uma cópia dos seus dados pessoais e você ia lá e os extraía de um banco de dados. Esse tipo de solicitação ainda existe. Só que não é mais aquela que deveria te tirar o sono.
Passo a maior parte da minha semana imerso em programas de privacidade corporativa, e o mesmo padrão continua se repetindo. O volume está aumentando, o perfil das solicitações mudou e a definição de "dentro do escopo" se expandiu silenciosamente para os cantos mais complexos da empresa. Se o seu processo de Solicitação de Dados (DSR) foi baseado em premissas antigas, ele já está defasado. Veja o que mudou e por que isso importa.
Principais conclusões: como as solicitações dos titulares dos dados mudaram
• Os pedidos de acesso a dados pessoais estão se tornando mais frequentes, mais complexos e mais difíceis de gerenciar manualmente.
• Os pedidos de exclusão, correção e recusa agora criam uma carga operacional maior do que os pedidos de acesso simples.
• Os dados pessoais agora abrangem nuvem, SaaS, plataformas de colaboração, sistemas de IA e conteúdo não estruturado.
• As solicitações de serviço público (DSRs) feitas por funcionários geralmente acarretam riscos legais e operacionais maiores do que as solicitações de clientes.
• As equipes de privacidade precisam de descoberta automatizada, fluxos de trabalho de implementação e trilhas de auditoria defensáveis para acompanhar o ritmo das mudanças.
Mais consumidores estão apresentando solicitações de acesso a dados pessoais.
Comece pelo lado da demanda. Pesquisa de Privacidade do Consumidor da Cisco de 2024 Constatou-se que 361 mil e três mil consumidores exerceram seus direitos de acesso aos dados pessoais, um aumento em relação aos 281 mil e três mil do ano anterior. Isso não é um erro de arredondamento. Representa uma mudança estrutural na quantidade de pessoas que de fato farão a solicitação.
A pesquisa também aponta para um público mais jovem, o que indica a direção que isso está tomando. Nesse mesmo levantamento, 461 mil consumidores entre 25 e 34 anos exerceram esses direitos, em comparação com apenas 161 mil daqueles com 65 anos ou mais. A faixa etária mais familiarizada com seus direitos de privacidade é justamente a que está atingindo o auge de sua capacidade produtiva e de geração de dados. Essa tendência provavelmente continuará.
Os pedidos de exclusão estão se tornando o novo padrão.
O acesso costumava ser a solicitação que você planejava. Agora é eliminação. Os pedidos de exclusão e de não venda ultrapassaram os pedidos de acesso simples e, na maioria dos programas, a exclusão é agora o tipo de pedido que impulsiona a carga de trabalho.
Essa mudança importa mais do que a manchete. Uma solicitação de acesso a dados é, essencialmente, uma operação de leitura. Uma exclusão é uma operação de gravação em todos os sistemas que afetam a pessoa, além da comprovação de que foi realizada e de um registro de auditoria defensável. Uma única exclusão pode se propagar por dezenas de sistemas. Quando a solicitação mais comum também é a mais custosa operacionalmente, os fluxos de trabalho manuais rapidamente perdem a capacidade de escalar, e perdem a capacidade de escalar muito rápido. Lembre-se de que o prazo não se importa: o prazo legal tradicional de um mês deixa você com aproximadamente 20 a 22 "dias úteis" para encontrar tudo e tomar as devidas providências.
E o próprio pedido de exclusão está sendo industrializado. A Lei de Exclusão da Califórnia criou o DROP, o Plataforma de Solicitação de Exclusão e Cancelamento de Inscrição, que entrou em vigor para os consumidores em 1º de janeiro de 2026. Um residente da Califórnia agora envia uma solicitação verificada que se espalha para mais de 500 corretores de dados registrados simultaneamente. A partir de 1º de agosto de 2026, esses corretores devem atender às solicitações pelo menos a cada 45 dias, concluir as exclusões em até 90 dias, suprimir os dados para que não retornem e repassar a solicitação para seus próprios provedores de serviços e contratados. Se uma solicitação não for atendida, a penalidade é de £ 1.040.200 por solicitação, por dia. Dois fatores tornam isso mais do que apenas uma história sobre corretores de dados. O escopo é mais amplo do que CCPA, alcançando qualquer informação pessoal vinculada ao consumidor, incluindo inferências. E a definição de "corretor de dados" é tão ampla que muitas empresas que nunca se consideraram como tal agora estão incluídas. A exclusão centralizada, em cascata e com prazos definidos não é mais teórica. É uma realidade.
As solicitações dos titulares dos dados agora vão além dos dados estruturados.
Este é o programa que quebra até mesmo programas sólidos.
A primeira fase do DSR (Digital Security Research) foi um exercício de dados estruturados. Extraía-se o registro do CRM, entregava-se e pronto. Esse mundo acabou. Os dados pessoais agora estão espalhados por e-mails, Slack, unidades de rede compartilhadas, aplicativos SaaS e ferramentas de IA generativa. Uma solicitação que antes podia ser atendida por um único sistema agora exige que você encontre a pessoa em toda a sua rede de dados não estruturada.
Não se trata mais apenas de texto. Do Reino Unido Lei de Uso e Acesso a Dados Diversas leis estaduais dos EUA agora tratam gravações de vídeo, áudio e tela como dados pessoais que precisam ser localizados, editados e divulgados. A IA eleva ainda mais a importância dessa questão. Uma decisão de 2025 do Tribunal de Justiça da União Europeia determinou que, quando a tomada de decisão automatizada afeta alguém, você deve a essa pessoa uma explicação real da lógica por trás do processo, e não apenas uma indicação do algoritmo. Seus modelos de perfil e pontuação agora são material sensível.
Se você não consegue responder a uma pergunta simples, você tem um problema de abrangência: quando uma solicitação de exclusão chega, você realmente sabe em todos os lugares onde essa pessoa está hospedada, incluindo os compartilhamentos de arquivos e os sistemas de IA? A maioria das organizações não sabe, e é exatamente nessa lacuna que as solicitações ficam paradas e as multas começam.
Solicitações de titulares de dados de funcionários acarretam maior risco legal.
Eis a dimensão que fica obscurecida quando as pessoas se concentram nos consumidores. As reclamações de maior risco geralmente não vêm dos seus clientes, mas sim dos seus funcionários.
Uma pesquisa da EY Law com líderes em proteção de dados revelou que, embora os clientes sejam a maior fonte individual de solicitações de acesso a dados pessoais (DSARs), quase um terço delas vem de funcionários, com pedidos motivados por questões de RH, como demissões, alegações de demissão injusta e mudanças organizacionais. A intenção por trás dessas solicitações é diferente. A DSAR tornou-se uma ferramenta pré-litigiosa. Um funcionário envolvido em uma disputa envia uma solicitação abrangente e, de repente, você se vê vasculhando a caixa de entrada de todos os gerentes em um prazo de um mês, enquanto o departamento jurídico trabalhista acompanha o processo de perto. A divulgação de informações para fins de litígio não o isenta da responsabilidade, e a alegação de que "esta solicitação é onerosa" não é motivo para recusa.
A mesma pesquisa apresentou números concretos sobre a pressão: 601 mil organizações relataram um aumento nas solicitações de acesso a dados pessoais (DSARs) ano após ano, 331 mil receberam solicitações em massa e 511 mil receberam reclamações sobre como uma solicitação foi tratada. Este último dado é importante, porque as reclamações são o que levam você a ser responsabilizado por um órgão regulador. Somente o Information Commissioner's Office (ICO) do Reino Unido registrou mais de 15.000 reclamações sobre acesso a dados pessoais em um único ano.
O período de retrospectiva também aumentou. Sob CPRA, Os funcionários podem solicitar todas as informações pessoais armazenadas desde 1º de janeiro de 2022, e não apenas dos 12 meses anteriores. Trata-se de um histórico mais extenso, disperso em sistemas de RH fragmentados, com um prazo apertado. Isso é um problema de descoberta, não de formulários.
Um contraponto que vale a pena mencionar, por uma questão de honestidade: a Lei de Uso e Acesso a Dados do Reino Unido estabeleceu que os empregadores só precisam realizar uma busca “razoável e proporcional”. Isso oferece algum alívio. Mas não adianta nada se você não tem ideia de onde os dados estão localizados.
O que exigem os programas modernos de solicitação de dados pessoais?
Ao analisarmos as tendências individuais, todas apontam para a mesma causa raiz. A dificuldade de uma Revisão de Segurança de Dados (DSR, na sigla em inglês) não é mais "temos que responder?", mas sim "conseguimos encontrar e agir em tudo, em todos os lugares, com rapidez suficiente para sermos defensáveis?". Isso é um problema de dados antes de ser um problema de processo de privacidade.
É aqui que o trabalho deve começar e onde o BigID foi projetado para operar:
Descoberta e classificação com reconhecimento de identidade
Encontre os dados de uma pessoa em sistemas estruturados, não estruturados e semiestruturados, locais, na nuvem, SaaS e dados de IA. Você não pode realizar o que não consegue ver.
Saiba mais sobre Descoberta e Classificação.
Cumprimento automatizado de direitos
Receba, verifique e execute solicitações de acesso, exclusão e recusa com um registro de auditoria completo, para que a 800ª exclusão custe o mesmo que a primeira.
Saiba mais sobre a Automação de Direitos de Dados.
Tratamento centralizado de consentimento e opção de exclusão
Capture e aplique sinais como GPC em todos os canais, em vez de descobrir durante uma varredura do regulador que você os estava ignorando.
Saiba mais sobre Consentimento e Preferências.
Portais de privacidade que realmente funcionam
Um mecanismo de solicitação que aplica a escolha em todos os pontos de contato, não um botão que não leva a lugar nenhum.
Saiba mais sobre Portais de Privacidade.
O Resultado Final
O DSR não se tornou opcional. Tornou-se operacionalmente mais difícil. Com grande volume de exclusões, propagação em cascata por plataformas como o DROP, o escopo se expandiu para dados não estruturados e Sistemas de IA, e cada vez mais utilizadas como arma por funcionários em conflitos. Programas construídos com base em esforço manual e suposições de dados estruturados estão silenciosamente acumulando riscos que não conseguem enxergar.
As equipes que lidarão com o que está por vir não serão as que trabalharem mais arduamente. Serão as que resolveram o problema de dados subjacente à solicitação.
Perguntas frequentes sobre DSR moderno
O que é uma Solicitação do Titular dos Dados (DSR)?
Uma Solicitação do Titular dos Dados (DSR, na sigla em inglês) é uma solicitação feita por um indivíduo para exercer seus direitos de privacidade, incluindo acesso, exclusão, correção ou recusa em permitir o uso ou a venda de seus dados pessoais.
Por que as solicitações de titulares de dados estão se tornando mais difíceis?
As exigências de recursos digitais (DSRs, na sigla em inglês) agora vão além de bancos de dados estruturados, abrangendo e-mails, plataformas de colaboração, armazenamento em nuvem, sistemas de IA, áudio, vídeo e outras fontes de dados não estruturados, o que torna muito mais difícil localizá-las e atendê-las.
Por que as solicitações de exclusão são mais complexas do que as solicitações de acesso?
Os pedidos de eliminação exigem que as organizações localizem dados pessoais em vários sistemas, os removam quando apropriado, mantenham um registo de auditoria e, muitas vezes, notifiquem os prestadores de serviços subsequentes, tornando-os muito mais complexos operacionalmente do que simplesmente conceder acesso.
Como a IA está mudando as solicitações de titulares de dados?
Os sistemas de IA podem armazenar, processar e gerar informações pessoais em prompts, saídas, modelos e fluxos de trabalho. As organizações precisam, cada vez mais, determinar se os dados relacionados à IA se enquadram no escopo de uma Revisão de Segurança de Dados (DSR).
Como a BigID automatiza as solicitações de titulares de dados?
A BigID descobre dados pessoais em ambientes estruturados e não estruturados, automatiza fluxos de trabalho de cumprimento de requisitos de dados pessoais (DSR), aplica solicitações de exclusão e de recusa de acesso e fornece um registro de auditoria completo para fins de conformidade.
Automatize solicitações de titulares de dados em escala empresarial
As soluções modernas de DSR exigem mais do que fluxos de trabalho manuais. Descubra, localize, atenda e documente solicitações de acesso, exclusão, correção e recusa em dados estruturados, conteúdo não estruturado, nuvem, SaaS e ambientes de IA a partir de uma única plataforma.
