Un Formulario de Solicitud de Acceso del Sujeto de Datos (DSAR) permite a tus usuarios solicitar acceso a la información personal almacenada sobre ellos o solicitar que se tomen ciertas acciones con su información personal. Bajo algunas leyes de protección de privacidad de datos — como el Reglamento General de Protección de Datos (GDPR) — debes asegurarte de que tus usuarios puedan enviar solicitudes para acceder, editar, transferir o eliminar sus datos personales.
Termly ofrece un formulario DSAR embebible que se puede encontrar en tu panel de control.
Preparándose para recibir DSARs
Aquí hay algunos pasos que debes seguir mientras te preparas para comenzar a recibir DSARs:
Proporciona a los usuarios una forma de enviar DSARs — puede que desees incrustar un formulario o proporcionar detalles de contacto específicos para la presentación de DSARs.
Crea y documenta un proceso estándar de respuesta a DSARs.
-
Mantén una lista detallada de todos los lugares donde tu organización puede almacenar datos personales. Estos pueden incluir:
Archivos de clientes/miembros del equipo
Cuentas de correo electrónico
Datos almacenados en servidores pertenecientes a proveedores de servicios
Grabaciones de audio
Y más — revisa cuidadosamente tu situación específica para encontrar todos los lugares donde almacenas datos personales
Respondiendo a una DSAR
Aquí hay algunos pasos que aconsejamos a las organizaciones implementar al responder a DSARs:
Determina qué ley de privacidad de datos se aplica al sujeto de datos. Diferentes leyes tienen diferentes requisitos sobre el plazo para atender la solicitud, la responsabilidad de la empresa que procesa los datos y más. Puedes determinar qué ley aplica verificando la ubicación del sujeto de datos. Si usas el formulario DSAR de Termly, el solicitante podrá seleccionar qué ley es aplicable al enviar su solicitud.
Verifica la identidad del solicitante. Personas con intenciones maliciosas podrían estar usando tu formulario DSAR para recopilar información sobre tus usuarios. Notifica al solicitante que la DSAR fue recibida, pero siempre verifica la identidad del solicitante antes de enviar datos personales. Por ejemplo, puedes verificar la identidad del solicitante requiriendo que envíe su solicitud usando la misma información de contacto con la que se registró en tu servicio, o pidiéndole que confirme la información que tienes para su cuenta.
Aclara la solicitud. ¿El solicitante está pidiendo acceso a los datos, eliminación u otra cosa? Obtén información adicional del solicitante si es necesario.
Determina la validez de la solicitud. Establece si la solicitud es válida y puede completarse dentro de un plazo legal. Si no, puedes tomar medidas adicionales para solicitar una extensión de hasta 60 días.
-
Inspecciona los datos. Necesitarás realizar una búsqueda en tus archivos y datos para localizar toda la información personal que pertenece al solicitante. Esto puede incluir copias físicas, archivos digitales, cuentas, datos almacenados en servidores de proveedores de servicios y más.
Asegúrate de proteger la información personal de otros sujetos de datos — no elimines ni compartas información con el solicitante que no le pertenezca.
Si no puedes eliminar los datos solicitados por protección contra fraudes, procesos judiciales pendientes, obligaciones legales u otras razones, notifica al solicitante qué datos no puedes eliminar y por qué. Busca asesoría legal si te encuentras en esta situación.
Elige el formato adecuado para proporcionar la información. Recomendamos crear plantillas de correo electrónico para respuestas a DSAR y solicitudes de eliminación. Parte de la información que recomendamos incluir se detalla en la sección siguiente.
Mantén un registro de auditoría de las solicitudes DSAR. Incluye las fuentes de la información recopilada, el proceso de revisión, decisiones clave tomadas sobre la legitimidad de la solicitud y si se aplicaron exenciones, la respuesta proporcionada y divulgaciones, así como todas las comunicaciones con el individuo y otros terceros. Esto será esencial si el individuo busca una revisión interna de la respuesta o presenta una queja.
Información para incluir en tu respuesta DSAR
Recomendamos incluir la siguiente información en tus respuestas DSAR:
-
Solicitudes de información de datos
Finalidades del procesamiento
Categorías de datos personales involucrados
Los destinatarios o categorías de destinatarios a quienes se ha divulgado o se divulgará la información personal, incluyendo cualquier otro país u organización internacional
Cualquier salvaguarda apropiada para la transferencia de datos
El período de tiempo durante el cual se almacenarán los datos personales o, si no es posible, los criterios usados para determinar dicho período
La fuente de los datos si no se recopilaron directamente del sujeto de datos
La existencia de cualquier toma de decisiones automatizada, incluyendo perfiles y cualquier información significativa sobre la lógica involucrada
-
Solicitudes de eliminación de datos
Confirma que los datos personales fueron eliminados exitosamente de tus sistemas y de los sistemas de terceros
Si el solicitante necesita eliminar manualmente sus datos personales, proporciona instrucciones detalladas sobre cómo hacerlo
Si hay una excepción y no puedes cumplir con la solicitud de eliminación, indica las razones de la denegación
Si algunos datos personales están almacenados en sistemas de respaldo a la espera de eliminación, asegúrate de explicar el calendario de eliminación.
-
Información adicional
-
Antes de enviar tu respuesta DSAR, asegúrate de que el solicitante conozca sus derechos, incluyendo:
El derecho a solicitar la rectificación o eliminación de datos personales o la restricción del procesamiento de sus datos personales
El derecho a presentar una queja ante la autoridad supervisora correspondiente.
-
Seguimiento de DSARs
Termly te notificará por correo electrónico cuando se realice una presentación DSAR para tu sitio web. El correo electrónico contendrá los detalles de la presentación y algunas instrucciones sobre cómo responder.
Recomendamos que mantengas registros de todas las solicitudes recibidas, su estado y cualquier información o comentario adicional.
Al mantener un registro de tus solicitudes DSAR, incluye la siguiente información:
ID de la solicitud
Tipo de solicitud (eliminación, acceso, rectificación, objeción, restricción, portabilidad de datos)
Categoría del sujeto de datos (visitante del sitio web, usuario, cliente, empleado)
Fecha de la solicitud
Fecha límite para la solicitud
Persona responsable de responder
Estado de la solicitud
Comentarios