Implementando o Fluxo de Trabalho para Solicitações de Acesso de Titulares de Dados (DSAR) da GDPR

Quando Usar

• Ao construir pipelines automatizados de processamento de DSAR para conformidade com GDPR/UK GDPR
• Ao implementar a descoberta de PII (Informações Pessoais Identificáveis) em fontes de dados estruturadas e não estruturadas
• Ao criar modelos de resposta que atendam aos requisitos de divulgação do Artigo 15
• Ao auditar o tratamento existente de DSAR para lacunas de conformidade regulatória
• Ao escalar o processamento de DSAR de fluxos de trabalho manuais para automatizados

Pré-requisitos

• Python 3.8+ com as dependências necessárias (spacy, presidio-analyzer, jinja2)
• Acesso às fontes de dados onde residem dados pessoais (bancos de dados, compartilhamentos de arquivos, logs)
• Compreensão dos requisitos do Artigo 15 da GDPR e das orientações da ICO/EDPB
• Autorização apropriada e aprovação do Encarregado de Proteção de Dados (DPO)
• Ambiente de teste com dados sintéticos ou anonimizados para validação

Contexto

Artigo 15 da GDPR - Direito de Acesso

Sob o Artigo 15 da GDPR, os titulares dos dados têm o direito de obter do controlador:

1. Confirmação de que seus dados pessoais estão sendo processados
2. Uma cópia de todos os dados pessoais mantidos sobre eles
3. Informações suplementares, incluindo:
   • Finalidades do processamento
   • Categorias de dados pessoais
   • Destinatários ou categorias de destinatários
   • Períodos de retenção ou critérios para determiná-los
   • Direito de retificação, apagamento, restrição ou objeção
   • Direito de apresentar uma reclamação a uma autoridade supervisora
   • Fonte dos dados (se não coletados diretamente do titular)
   • Existência de tomada de decisão automatizada, incluindo a elaboração de perfis

Requisitos de Prazo

• Prazo padrão: 1 mês civil a partir do recebimento da solicitação válida
• Extensão complexa: Até 2 meses adicionais (deve notificar dentro do primeiro mês)
• Pausa no prazo: Permitida quando a verificação de identidade ou esclarecimento é necessária
• Formato: Forma eletrônica se a solicitação for feita eletronicamente (a menos que solicitado de outra forma)
• Custo: Gratuito (a menos que manifestamente infundado/excessivo)

Pontos Chave das Orientações da ICO/EDPB

• Nenhum formato formal é necessário para DSARs - verbal, escrita, mídias sociais são válidas
• A solicitação não precisa mencionar "solicitação de acesso de titular" ou citar o Artigo 15
• A verificação de identidade deve ser proporcional ao risco
• Existem isenções para privilégio legal, dados de terceiros, segredos comerciais
• Ações coordenadas de fiscalização da EDPB cobrem a conformidade com o direito de acesso

Instruções

Etapa 1: Recebimento e Verificação de DSAR

Implemente um sistema de recebimento de solicitações que capture a solicitação por qualquer canal, verifique a identidade do solicitante e inicie a contagem do prazo de conformidade.

from agent import DSARWorkflowEngine

engine = DSARWorkflowEngine(config_path="dsar_config.json")

# Register a new DSAR
request = engine.register_dsar(
    requester_name="Jane Smith",
    requester_email="jane.smith@example.com",
    request_channel="email",
    request_text="I would like a copy of all personal data you hold about me.",
    identity_docs=["passport_verified"],
)
print(f"DSAR ID: {request['dsar_id']}, Deadline: {request['deadline']}")

Etapa 2: Descoberta de PII em Fontes de Dados

Analise bancos de dados, arquivos e logs usando padrões regex e NER para encontrar todos os dados pessoais associados ao titular dos dados.

from agent import PIIDiscoveryEngine

pii_engine = PIIDiscoveryEngine()

# Scan structured data (database)
db_results = pii_engine.scan_database(
    connection_string="postgresql://user:pass@localhost/appdb",
    search_identifiers={"email": "jane.smith@example.com", "name": "Jane Smith"},
)

# Scan unstructured data (files, logs)
file_results = pii_engine.scan_files(
    directories=["/var/log/app", "/data/exports", "/data/documents"],
    search_identifiers={"email": "jane.smith@example.com", "name": "Jane Smith"},
)

# Scan with NER for contextual PII detection
ner_results = pii_engine.scan_with_ner(
    text_corpus=file_results["raw_text_matches"],
    entity_types=["PERSON", "EMAIL", "PHONE_NUMBER", "LOCATION", "DATE_OF_BIRTH"],
)

all_pii = pii_engine.consolidate_results(db_results, file_results, ner_results)
print(f"Found {all_pii['total_records']} PII records across {all_pii['source_count']} sources")

Etapa 3: Mapeamento e Classificação de Dados

Mapeie PII descobertas para finalidades de processamento, bases legais e períodos de retenção conforme exigido pelo Artigo 15.

from agent import DataMapper

mapper = DataMapper(data_inventory_path="data_inventory.json")

# Mapear PII para categorias do Artigo 15
dados_mapeados = mapper.map_to_article15(

…