Por Dan Hansen
1 de julho de 2026
Por muito tempo, uma Data Subject Request (DSR) ou Data Subject Access Request (DSAR) significava uma coisa: alguém queria uma cópia de seus dados pessoais, e você ia lá e extraía isso de um banco de dados. Essa solicitação ainda existe. Ela só deixou de ser a que deveria tirar seu sono.
Passo a maior parte da minha semana dentro de programas corporativos de privacidade, e o mesmo padrão continua aparecendo. O volume está subindo, o mix de solicitações mudou, e a definição de “dentro do escopo” se expandiu silenciosamente para os cantos mais bagunçados da empresa. Se o seu processo de DSR foi construído sobre as premissas antigas, ele já está atrasado. Aqui está o que mudou, e por que isso importa.
Principais Conclusões: Como as Data Subject Requests Mudaram
- As Data Subject Requests estão se tornando mais frequentes, mais complexas e mais difíceis de gerenciar manualmente.
- Solicitações de exclusão, correção e opt-out agora criam mais carga operacional do que as simples solicitações de acesso.
- Os dados pessoais agora se estendem por nuvem, SaaS, plataformas de colaboração, sistemas de IA e conteúdo não estruturado.
- As DSRs de funcionários muitas vezes carregam maior risco legal e operacional do que as solicitações de clientes.
- As equipes de privacidade precisam de descoberta automatizada, workflows de atendimento e trilhas de auditoria defensáveis para acompanhar o ritmo.
Mais Consumidores Estão Registrando Data Subject Requests
Comece pelo lado da demanda. A Consumer Privacy Survey de 2024 da Cisco constatou que 36% dos consumidores haviam exercido seus direitos de acesso a dados, um aumento em relação aos 28% do ano anterior. Isso não é um erro de arredondamento. Isso representa uma mudança estrutural em quantas pessoas de fato irão registrar.
Isso também tende para os mais jovens, o que mostra para onde tudo isso está indo. Nessa mesma pesquisa, 46% dos consumidores com idade entre 25 e 34 anos haviam exercido esses direitos, em comparação com apenas 16% daqueles com 65 anos ou mais. A coorte mais fluente em seus direitos de privacidade é aquela que está envelhecendo rumo ao pico de rendimento e ao pico de geração de dados. Essa tendência provavelmente continuará.
As Solicitações de Exclusão Estão Se Tornando o Novo Padrão
Acesso costumava ser a solicitação em torno da qual você se planejava. Agora é a exclusão. As solicitações de apagamento e de Do Not Sell superaram o simples acesso, e na maioria dos programas a exclusão é agora o tipo de solicitação que impulsiona a carga de trabalho.
Essa mudança importa mais do que a manchete sugere. Uma solicitação de acesso a dados é primariamente uma operação de leitura. Uma exclusão é uma operação de escrita em cada sistema que toca a pessoa, mais a prova de que você a fez, mais uma trilha de auditoria defensável. Uma única exclusão pode se ramificar por dezenas de sistemas. Quando a sua solicitação mais comum é também a mais cara operacionalmente, os workflows manuais rapidamente deixam de escalar, e deixam de escalar rápido. Lembre-se de que o relógio não se importa: o prazo legal tradicional de um mês deixa você com cerca de 20 a 22 “dias úteis” para encontrar tudo e agir sobre isso.
E a própria solicitação de exclusão está sendo industrializada. O Delete Act da Califórnia criou o DROP, o Delete Request and Opt-Out Platform, que entrou em operação para os consumidores em 1º de janeiro de 2026. Um residente da Califórnia agora registra uma única solicitação verificada e ela se ramifica para mais de 500 data brokers registrados de uma só vez. A partir de 1º de agosto de 2026, esses brokers têm que recuperar as solicitações pelo menos a cada 45 dias, concluir as exclusões dentro de 90 dias, suprimir os dados para que eles não voltem, e repassar a solicitação para seus próprios provedores de serviço e contratados. Deixe passar uma e a penalidade chega a US$ 200 por solicitação, por dia. Duas coisas tornam isso maior do que uma história sobre data brokers. O escopo é mais amplo do que o do CCPA, alcançando qualquer informação pessoal vinculada ao consumidor, incluindo inferências. E a definição de “data broker” é ampla o suficiente para que muitas empresas que nunca se consideraram uma agora estejam dentro do escopo. A exclusão centralizada, em cascata e orientada por prazos não é mais teórica. Está em operação.
As Data Subject Requests Agora Vão Além dos Dados Estruturados
Esta é a que quebra programas que, de outra forma, seriam maduros.
A DSR dos primórdios era um exercício de dados estruturados. Puxe o registro do CRM, entregue, pronto. Esse mundo acabou. Os dados pessoais agora vivem em e-mail, Slack, drives compartilhados, aplicações SaaS e ferramentas de IA generativa. Uma solicitação que você antes conseguia responder a partir de um sistema agora exige que você encontre uma pessoa em todo o seu patrimônio de dados não estruturado.
E também não é mais só texto. O Data Use and Access Act do Reino Unido e várias leis estaduais dos EUA agora tratam vídeo, áudio e gravações de tela como dados pessoais que precisam ser localizados, redigidos e divulgados. A IA eleva as apostas mais uma vez. Uma decisão de 2025 do Court of Justice of the European Union sustentou que, quando a tomada de decisão automatizada afeta alguém, você lhe deve uma explicação real da lógica, não um ponteiro para um algoritmo. Seus modelos de profiling e de scoring agora são material responsivo.
Se você não consegue responder a uma pergunta simples, você tem um problema de escopo: quando chega uma solicitação de exclusão, você de fato sabe todos os lugares em que aquela pessoa vive, incluindo os compartilhamentos de arquivos e os sistemas de IA? A maioria das organizações não sabe, e essa lacuna é exatamente onde as solicitações emperram e as multas começam.
As Data Subject Requests de Funcionários Carregam Maior Risco Legal
Aqui está a dimensão que fica soterrada quando as pessoas se concentram nos consumidores. As DSRs de maior risco muitas vezes não vêm dos seus clientes. Elas vêm da sua força de trabalho.
A pesquisa da EY Law com líderes de proteção de dados constatou que, embora os clientes fossem a maior fonte individual de DSARs, quase um terço vinha de funcionários, com solicitações desencadeadas por questões de RH como demissão, reclamações de demissão injusta e mudança organizacional. A intenção por trás dessas é diferente. A DSAR se tornou uma ferramenta pré-litígio. Um funcionário em uma disputa registra uma solicitação ampla, e de repente você está pesquisando a caixa de correio de cada gestor sob um relógio de um mês enquanto o departamento jurídico trabalhista observa por cima do seu ombro. A divulgação em litígio não o livra da responsabilidade, e “esta solicitação é onerosa” não é motivo para recusa.
A mesma pesquisa colocou números concretos sobre a tensão: 60% das organizações relataram um aumento nas DSARs ano a ano, 33% haviam recebido solicitações em massa, e 51% haviam lidado com reclamações sobre como uma solicitação foi tratada. Esta última importa, porque as reclamações são o que coloca você diante de um regulador. Somente o Information Commissioner’s Office do Reino Unido registrou mais de 15.000 reclamações de acesso a dados em um único ano.
A janela de retroatividade também cresceu. Sob a CPRA, os funcionários podem solicitar todas as informações pessoais retidas desde 1º de janeiro de 2022, não apenas os 12 meses anteriores. Histórico mais profundo, espalhado por sistemas de RH fragmentados, sob um prazo apertado. Isso é um problema de descoberta, não um problema de formulários.
Um contrapeso que vale a pena notar por uma questão de honestidade: o Data Use and Access Act do Reino Unido codificou que os empregadores só precisam realizar uma busca “razoável e proporcional”. Isso oferece algum alívio. Não ajuda se, para começar, você não faz ideia de onde os dados estão.
O Que os Programas Modernos de Data Subject Request Exigem
Retire as tendências individuais e todas elas apontam para a mesma causa raiz. A parte difícil de uma DSR não é mais “temos que responder”. É “conseguimos encontrar e agir sobre tudo, em todos os lugares, rápido o suficiente para ser defensável”. Isso é um problema de dados antes de ser um problema de processo de privacidade.
É aqui que o trabalho tem que começar, e onde o BigID foi construído para operar:
Descoberta e Classificação Cientes de Identidade
Encontre os dados de uma pessoa em sistemas estruturados, não estruturados e semiestruturados, on-prem, nuvem, SaaS e dados de IA. Você não pode atender o que não consegue ver.
Atendimento Automatizado de Direitos
Receba, verifique e execute solicitações de acesso, exclusão e opt-out com uma trilha de auditoria completa, para que a 800ª exclusão custe a você o que custou a primeira.
Tratamento Centralizado de Consentimento e Opt-out
Capture e aplique sinais como o GPC em todos os canais, em vez de descobrir durante uma varredura de regulador que você os estava ignorando.
Portais de Privacidade Que Realmente Executam
Um mecanismo de solicitação que aplica a escolha em cada ponto de contato, não um botão que leva a lugar nenhum.
Conclusão
A DSR não se tornou opcional. Ela se tornou operacionalmente mais difícil. Concentrada em exclusão, em cascata por meio de plataformas como o DROP, com escopo se espalhando por sistemas não estruturados e de IA, e cada vez mais transformada em arma por funcionários em disputas. Programas construídos sobre esforço manual e premissas de dados estruturados estão silenciosamente acumulando um risco que não conseguem enxergar.
As equipes que lidarão com o que está por vir não serão as que trabalharão mais duro. Serão as que resolveram o problema de dados por baixo da solicitação.
Perguntas Frequentes sobre a DSR Moderna
O que é uma Data Subject Request (DSR)?
Uma Data Subject Request (DSR) é uma solicitação de um indivíduo para exercer seus direitos de privacidade, incluindo acesso, exclusão, correção ou opt-out do uso ou da venda de seus dados pessoais.
Por que as Data Subject Requests estão se tornando mais difíceis?
As DSRs agora se estendem para além dos bancos de dados estruturados, alcançando e-mail, plataformas de colaboração, armazenamento em nuvem, sistemas de IA, áudio, vídeo e outras fontes de dados não estruturados, tornando-as muito mais difíceis de localizar e atender.
Por que as solicitações de exclusão são mais complexas do que as solicitações de acesso?
As solicitações de exclusão exigem que as organizações localizem os dados pessoais em múltiplos sistemas, os removam onde apropriado, mantenham uma trilha de auditoria e, muitas vezes, notifiquem os provedores de serviço downstream, tornando-as muito mais complexas operacionalmente do que simplesmente fornecer acesso.
Como a IA está mudando as Data Subject Requests?
Os sistemas de IA podem armazenar, processar e gerar informações pessoais em prompts, saídas, modelos e workflows. As organizações precisam cada vez mais determinar se os dados relacionados à IA se enquadram no escopo de uma DSR.
Como o BigID automatiza as Data Subject Requests?
O BigID descobre dados pessoais em ambientes estruturados e não estruturados, automatiza os workflows de atendimento de DSR, aplica solicitações de exclusão e opt-out, e fornece uma trilha de auditoria completa para conformidade.
Para saber mais sobre como transformar o problema de dados por trás das DSRs em um processo defensável e automatizado, acesse cybergate.solutions.