Chiudere un account non significa automaticamente che i tuoi dati spariscano. Molti servizi si limitano a disattivare il profilo, conservando per anni nome, email, storico degli acquisti e preferenze. L'articolo 17 del Regolamento (UE) 2016/679 ti dà il diritto di ottenere la cancellazione dei dati personali che ti riguardano, ma solo in presenza di determinate condizioni. Conoscerle ti permette di formulare una richiesta che il titolare non possa respingere con una formula generica.
I motivi che giustificano la cancellazione
Il titolare è obbligato a cancellare i dati senza ingiustificato ritardo se ricorre almeno uno di questi motivi.
- I dati non sono più necessari rispetto alle finalità per cui erano stati raccolti. Esempio: hai partecipato a un concorso a premi concluso da tempo.
- Hai revocato il consenso su cui si basava il trattamento e non esiste un'altra base giuridica. Esempio: la newsletter a cui ti eri iscritto.
- Ti sei opposto al trattamento ai sensi dell'articolo 21 e non prevalgono motivi legittimi del titolare, oppure ti sei opposto al marketing diretto.
- I dati sono stati trattati illecitamente, per esempio raccolti senza alcuna base giuridica.
- La cancellazione è imposta da un obbligo di legge a cui il titolare è soggetto.
- I dati sono stati raccolti quando eri minorenne nell'ambito dei servizi della società dell'informazione, come social network e app, offerti direttamente ai minori.
Quest'ultimo punto è particolarmente utile per chi vuole eliminare contenuti e profili creati da adolescente: la norma riconosce che a quell'età non si era pienamente consapevoli dei rischi.
Le eccezioni: quando il titolare può rifiutare
Il diritto alla cancellazione non è assoluto. Il paragrafo 3 dell'articolo 17 elenca i casi in cui il titolare può conservare i dati nonostante la tua richiesta:
- per l'esercizio della libertà di espressione e di informazione;
- per adempiere un obbligo legale o eseguire un compito di interesse pubblico;
- per motivi di interesse pubblico nel settore della sanità pubblica;
- a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, se la cancellazione rischia di compromettere tali finalità;
- per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.
L'eccezione più frequente: gli obblighi fiscali
Nella pratica, il motivo di rifiuto che incontrerai più spesso è l'obbligo di conservazione dei documenti contabili. Un negozio online deve conservare le fatture per il periodo previsto dalla normativa fiscale e civilistica. Questo, però, non lo autorizza a tenere tutto il resto: può conservare i dati necessari alle fatture, ma deve cancellare le preferenze di navigazione, la lista dei desideri, le iscrizioni promozionali e i dati del profilo non collegati agli obblighi contabili.
Una risposta corretta, quindi, è spesso una cancellazione parziale: il titolare elimina ciò che non serve più e ti spiega quali dati conserva, per quale obbligo e fino a quando.
Come scrivere una richiesta efficace
Una richiesta ben costruita riduce il rischio di risposte evasive.
- Identifica l'account con l'email o il numero cliente.
- Indica il motivo tra quelli previsti dall'articolo 17: per esempio la revoca del consenso o il fatto che il servizio non viene più utilizzato.
- Chiedi una conferma scritta della cancellazione e, per i dati eventualmente conservati, l'indicazione della base giuridica e del periodo di conservazione.
- Chiedi l'applicazione dell'articolo 19, cioè la comunicazione della cancellazione ai destinatari a cui i dati erano stati trasmessi, e l'elenco di tali destinatari.
Il termine di risposta è quello generale dell'articolo 12: un mese, prorogabile di due mesi nei casi complessi con comunicazione motivata.
Dati resi pubblici dal titolare
Se il titolare ha reso pubblici i tuoi dati, per esempio pubblicandoli sul proprio sito, l'articolo 17 paragrafo 2 aggiunge un ulteriore obbligo: tenendo conto della tecnologia disponibile e dei costi, deve adottare misure ragionevoli per informare gli altri titolari che stanno trattando quei dati della tua richiesta di cancellare link, copie o riproduzioni.
Disattivare, anonimizzare, cancellare
Le aziende usano parole diverse che non hanno lo stesso significato.
| Termine | Cosa succede ai dati |
|---|---|
| Disattivazione | Il profilo non è visibile, ma i dati restano integri |
| Sospensione | Il servizio è bloccato temporaneamente, i dati restano |
| Anonimizzazione | I dati non sono più riconducibili a te; se è reale, equivale a uscire dal GDPR |
| Cancellazione | I dati vengono eliminati dai sistemi attivi |
Se nella risposta leggi "abbiamo disattivato il tuo account", la richiesta di cancellazione non è stata soddisfatta. Vale la pena replicare chiedendo esplicitamente l'eliminazione dei dati.
E i backup?
Le copie di sicurezza vengono di norma sovrascritte secondo cicli programmati. È accettabile che i dati sopravvivano per un periodo limitato nei backup, purché non vengano ripristinati e usati. Puoi chiedere al titolare di indicarti questo periodo.
In sintesi
- L'art. 17 GDPR obbliga a cancellare i dati quando non servono più, quando revochi il consenso, quando ti opponi o quando il trattamento è illecito.
- I dati raccolti da minorenne tramite app e social godono di una tutela rafforzata.
- Le eccezioni, come gli obblighi fiscali, giustificano solo la conservazione dei dati strettamente necessari.
- "Disattivare" un account non equivale a cancellarne i dati.
- Chiedi sempre conferma scritta e la comunicazione della cancellazione ai destinatari.