GDPR DSAR: automatización end-to-end

La automatización cierra el ciclo DSAR — desde la recepción de la solicitud hasta el envío al solicitante del informe con sus datos personales. En el procesamiento participan sistemas estructurados (CRM, data warehouse) y fuentes no estructuradas (contratos, correspondencia, tickets, documentos escaneados), donde se oculta la mayor parte del PII. El abogado permanece en el circuito de toma de decisiones en los casos controvertidos, pero la búsqueda manual, la copia y el ensamblaje de datos salen de su área de responsabilidad. Ejemplo de aplicación: un cliente de una plataforma e-commerce solicita todos sus datos — la automatización recopila el perfil desde el CRM, el historial de pedidos desde el data warehouse, la correspondencia con soporte desde el sistema de tickets y devuelve un informe unificado en pocas horas en lugar de semanas de trabajo manual.

Pasos del proceso

1. Recepción de la solicitud a través de formulario web, email o portal del cliente con registro automático en el registro DSAR y activación del temporizador de 30 días.
2. Verificación de la identidad del solicitante mediante datos del CRM — email, teléfono, identificador de cliente, número de contrato.
3. Solicitudes paralelas a todos los sistemas con PII: CRM, data warehouse, facturación, sistema de tickets, almacenamiento de archivos, archivo de correo.
4. Búsqueda RAG en el almacenamiento de archivos — contratos, documentos firmados, formularios PDF, adjuntos en tickets, documentos escaneados.
5. Extracción LLM de campos estructurados de documentos no estructurados: nombres, direcciones, fechas de nacimiento, datos de identificación, condiciones contractuales.
6. Redacción automática de las menciones de terceros — otros clientes, empleados de la empresa, contrapartes, servicios externos.
7. Ensamblaje del informe unificado en el formato requerido: PDF para legibilidad humana y JSON/CSV legible por máquina para la portabilidad.
8. Registro de auditoría de todos los pasos de recopilación y redacción para revisiones posteriores del regulador y control interno.
9. Envío del informe al solicitante a través de un canal seguro (portal protegido, email cifrado) con confirmación de recepción.

Lo que la automatización NO hace

• No toma decisiones jurídicas sobre la denegación de datos — los casos controvertidos (secreto comercial, derechos de terceros, excepciones judiciales) se escalan al DPO con el expediente preparado.
• No gestiona otros derechos del interesado: supresión (RTBF), rectificación, portabilidad a sistemas externos, oposición al tratamiento — estos son procesos separados con su propia lógica.
• No reemplaza al DPO ni al abogado. La responsabilidad por la corrección de la respuesta, la interpretación de las excepciones del GDPR y la firma final recae en el ser humano. La automatización es una herramienta de preparación, no de toma de decisiones.

Técnicamente, la automatización DSAR se construye como un orquestador sobre los sistemas existentes de la empresa. El núcleo es un workflow engine (motor de workflow o equivalente) que gestiona las etapas y el estado de cada solicitud, almacena checkpoints entre pasos y reanuda la ejecución tras fallos. En torno al núcleo se conectan conectores a las fuentes de PII y componentes especializados para el trabajo con datos no estructurados. El principio arquitectónico es el de mínimos privilegios para todas las integraciones y un audit-trail completo para la posterior verificación por el regulador.

Arquitectura del flujo

1. El canal de entrada recibe la solicitud (formulario web en el sitio, buzón de email dedicado, portal del cliente) y la normaliza en un objeto estructurado: identificador del solicitante, tipo de solicitud, documentos adjuntos, canal de contacto.
2. La identity verification contrasta los datos proporcionados con el CRM e inicia una verificación adicional en caso de discrepancia: un código de un solo uso enviado al teléfono o al email.
3. El orquestador envía solicitudes paralelas a los sistemas estructurados — SQL al data warehouse, REST al CRM, consulta al sistema de facturación — y recopila las respuestas en un búfer intermedio.
4. La capa RAG procesa el almacenamiento de archivos: el índice vectorial sobre los documentos permite encontrar archivos relevantes, incluso si no contienen un identificador explícito del solicitante (el nombre se menciona en el texto del contrato, el email — en el adjunto del ticket).
5. El LLM-extractor analiza cada documento encontrado y extrae campos estructurados: nombres, fechas, direcciones, datos de identificación, objeto del contrato. Se utiliza un modelo de IA o un modelo comparable con function calling para un estricto esquema JSON de salida.
6. La redaction layer aplica reglas de enmascaramiento: las menciones de otros clientes, empleados y contrapartes se reemplazan por [THIRD PARTY]. Las reglas se describen de forma declarativa y pasan por revisión legal antes del despliegue.
7. El report builder genera un documento único en dos formatos: PDF para legibilidad humana y JSON/CSV legible por máquina para la portabilidad según el GDPR Article 20.
8. El audit log registra cada paso con marca de tiempo, fuente de datos y reglas de redacción aplicadas — material para el regulador en caso de inspección.

Componentes de la solución

Etapas de implementación

1. Discovery — inventario de todos los sistemas que contienen PII, clasificación por sensibilidad, mapa de flujos de datos entre sistemas.
2. Data mapping — para cada fuente se describe qué campos de qué entidades se incluyen en el informe DSAR, cómo se localizan por el identificador del solicitante y qué campos corresponden a terceros.
3. Configuración de conectores y service accounts con acceso read-only según el principio de mínimos privilegios. Se aplican integraciones estándar (SQL, REST, GraphQL) y, cuando es necesario, conectores personalizados para sistemas legacy.
4. Construcción del RAG-índice sobre el almacenamiento de archivos: extracción de texto (OCR para escaneos), chunking, embeddings, actualización incremental al añadir nuevos archivos.
5. Desarrollo de extraction-prompts con un estricto esquema JSON de salida y validación sobre una muestra de documentos reales — métricas de precision y recall de los campos extraídos respecto al human-ground-truth.
6. Definición de las redaction-rules junto con el DPO y los abogados: lista de categorías de terceros, whitelist de identificadores del solicitante, política para edge-cases (familia del cliente, empleado de la empresa).
7. Plantilla del informe en dos formatos y política de notificaciones al solicitante en cada etapa.
8. Ejecución piloto sobre 3-5 DSAR históricos y contraste con el resultado manual: verificación de la exhaustividad de los datos recopilados, la corrección de la redacción y el cumplimiento del formato.
9. Lanzamiento a producción con monitorización del SLA de 30 días, alertas sobre fallos de conectores y verificaciones periódicas del audit-trail.

Antes de iniciar la implementación, la empresa recopila un conjunto de datos de entrada y acuerda los roles. Sin estos requisitos previos, el proyecto se prolonga o produce un resultado de baja calidad.

Datos y accesos

• Inventario de todos los sistemas con datos personales: CRM, data warehouse, facturación, sistema de tickets, almacenamiento de archivos, archivo de correo, bases legacy.
• Service accounts con acceso read-only a cada sistema y whitelist de IP del orquestador.
• Política de identificación del solicitante — qué campos se consideran suficientes para la verificación y cuándo se requiere una comprobación adicional.
• Políticas de retención por cada fuente de datos para contabilizar correctamente los registros ya eliminados.
• Plantilla del informe DSAR y requisitos de formato: branding en PDF, estructura de secciones, idioma de respuesta.

Equipo y roles

• DPO o abogado sénior como owner del proceso y receptor de casos controvertidos.
• Arquitecto IT para la aprobación de accesos y la arquitectura de integraciones.
• Data engineer para la configuración de conectores y el índice RAG.
• Sponsor a nivel de COO o CTO para desbloquear accesos entre departamentos.

Cronograma

La implementación requiere 6-10 semanas en casos de complejidad media:

1. Discovery y data mapping — 2 semanas.
2. Configuración de conectores, índice RAG y lógica de extracción — 3-4 semanas.
3. Reglas de Redaction y plantilla de informe — 1-2 semanas.
4. Ejecución piloto y ajustes — 1-2 semanas.

Con un gran número de fuentes legacy o requisitos multilingüe complejos, el plazo se desplaza hacia el límite superior.