Ogni giorno lasci tracce in decine di archivi: la banca, l'operatore telefonico, il supermercato con la carta fedeltà, l'app di consegne, la palestra. Il diritto di accesso, previsto dall'articolo 15 del Regolamento (UE) 2016/679 (GDPR), è lo strumento che ti permette di sapere che cosa contengono questi archivi su di te. È il punto di partenza di quasi tutti gli altri diritti: non puoi chiedere di correggere o cancellare un dato se non sai che esiste.
Che cosa puoi ottenere
Il diritto di accesso non si limita a un "sì, abbiamo i tuoi dati". L'articolo 15 ti riconosce due cose distinte.
La prima è la conferma che un trattamento di dati che ti riguardano sia o non sia in corso. La seconda, se il trattamento esiste, è l'accesso ai dati stessi insieme a una serie di informazioni:
- le finalità per cui i dati vengono trattati;
- le categorie di dati coinvolte (anagrafici, di contatto, di pagamento, di localizzazione, comportamentali);
- i destinatari o le categorie di destinatari a cui i dati sono stati o saranno comunicati, in particolare se si trovano fuori dall'Unione europea;
- il periodo di conservazione previsto o, se non è possibile indicarlo, i criteri usati per stabilirlo;
- l'esistenza degli altri diritti (rettifica, cancellazione, limitazione, opposizione) e del diritto di proporre reclamo all'autorità di controllo;
- l'origine dei dati, se non sono stati raccolti presso di te;
- l'eventuale esistenza di decisioni automatizzate o profilazione, con informazioni significative sulla logica utilizzata.
Hai inoltre diritto a ricevere una copia dei dati personali oggetto di trattamento. La prima copia è gratuita; per copie ulteriori il titolare può chiedere un contributo spese ragionevole.
Come presentare la richiesta
Non esiste un modulo obbligatorio. Puoi scrivere un'email, una PEC, una raccomandata o usare il modulo che molte aziende mettono a disposizione nella propria area privacy. Conviene comunque seguire alcuni accorgimenti pratici.
- Trova il destinatario giusto. Nell'informativa privacy del servizio trovi i dati di contatto del titolare del trattamento e, se nominato, del responsabile della protezione dei dati (DPO). Scrivere a quell'indirizzo evita che la richiesta si perda nel servizio clienti.
- Identificati in modo sufficiente. Indica nome, cognome e gli elementi che permettono di ritrovarti nei sistemi: email dell'account, numero cliente, numero di telefono. Il titolare può chiederti ulteriori informazioni solo se ha dubbi ragionevoli sulla tua identità.
- Richiama la norma. Una frase come "esercito il diritto di accesso ai sensi dell'art. 15 del Regolamento (UE) 2016/679" rende chiaro che non si tratta di un semplice reclamo commerciale.
- Elenca ciò che vuoi. Chiedi esplicitamente la copia dei dati e tutte le informazioni previste dalla norma: in questo modo la risposta non potrà limitarsi a un riepilogo dell'account.
- Conserva la prova dell'invio. Data e contenuto della richiesta ti serviranno se dovrai insistere.
Un esempio concreto
Supponi di ricevere da mesi offerte personalizzate da un negozio online in cui hai comprato una sola volta. Con una richiesta di accesso puoi scoprire se il negozio conserva lo storico delle pagine visitate, se ha ricevuto i tuoi dati da un partner commerciale e a quali società li ha comunicati. Spesso è proprio la risposta all'accesso a rivelare l'origine di contatti indesiderati.
Entro quando deve risponderti
L'articolo 12 del GDPR stabilisce che il titolare deve rispondere senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta. Il termine può essere prorogato di altri due mesi se la richiesta è particolarmente complessa o se le richieste sono numerose, ma in questo caso il titolare deve informarti della proroga e dei motivi entro il primo mese.
Se la richiesta è stata fatta per via elettronica, le informazioni vanno fornite di regola in formato elettronico, salvo tua diversa indicazione.
Quando il titolare può limitare la risposta
Il diritto di accesso non è assoluto. La copia dei dati non deve ledere i diritti e le libertà altrui: se un documento contiene anche dati di altre persone, il titolare può oscurarli. Inoltre, richieste manifestamente infondate o eccessive, in particolare se ripetitive, possono essere respinte o soggette a un contributo, ma l'onere di dimostrarne il carattere eccessivo spetta al titolare.
Non è invece una giustificazione valida sostenere che i dati sono "troppi" o "sparsi in sistemi diversi": organizzarli è un compito del titolare.
Se non ricevi risposta
Trascorso il termine senza riscontro, o con una risposta incompleta, hai alcune possibilità.
| Situazione | Cosa puoi fare |
|---|---|
| Nessuna risposta entro un mese | Inviare un sollecito che richiama il termine dell'art. 12 |
| Risposta parziale | Indicare con precisione le informazioni mancanti |
| Rifiuto senza motivazione | Proporre reclamo al Garante per la protezione dei dati personali |
| Danno subito dal trattamento | Valutare la tutela davanti al giudice |
Il reclamo al Garante, previsto dall'articolo 77 del GDPR, può essere presentato direttamente dall'interessato, senza bisogno di un avvocato. Allegare la richiesta originale e la prova dell'invio rende il reclamo molto più efficace.
In sintesi
- L'art. 15 GDPR ti dà diritto a sapere se un'organizzazione tratta i tuoi dati e a riceverne una copia, con finalità, destinatari, tempi di conservazione e origine.
- La richiesta non richiede formalità: basta indirizzarla al titolare o al DPO, identificarsi e richiamare la norma.
- Il titolare deve rispondere entro un mese, prorogabile di due mesi solo con motivazione.
- I dati di terzi possono essere oscurati, ma la complessità interna non giustifica un rifiuto.
- In caso di silenzio o rifiuto puoi sollecitare e poi rivolgerti al Garante.