Un dato sbagliato può sembrare un problema di poco conto finché non produce conseguenze: una bolletta recapitata al vecchio indirizzo, un pacco che non arriva, una pratica bloccata perché il codice fiscale riporta un errore, un'assicurazione che calcola il premio su informazioni non aggiornate. Il GDPR considera l'esattezza un principio fondamentale e ti dà uno strumento diretto per farla rispettare: il diritto di rettifica.
Che cosa dice la norma
L'articolo 16 del Regolamento (UE) 2016/679 prevede due facoltà:
- ottenere la rettifica dei dati personali inesatti che ti riguardano, senza ingiustificato ritardo;
- ottenere l'integrazione dei dati incompleti, anche fornendo una dichiarazione integrativa, tenendo conto delle finalità del trattamento.
Questo diritto è il rovescio di un obbligo che grava sul titolare. L'articolo 5 del GDPR stabilisce infatti che i dati devono essere "esatti e, se necessario, aggiornati" e che vanno adottate misure ragionevoli per cancellare o rettificare tempestivamente quelli inesatti rispetto alle finalità.
Esatto rispetto a che cosa
Il concetto di esattezza va letto alla luce dello scopo per cui il dato è trattato. Qualche esempio aiuta a capire.
- Un indirizzo di residenza cambiato è inesatto per un fornitore che deve spedirti documenti: hai diritto a sostituirlo.
- Uno storico degli ordini che riporta un vecchio indirizzo non è inesatto, perché documenta un fatto avvenuto: lì non si tratta di correggere ma, eventualmente, di aggiungere l'indirizzo nuovo per i prossimi invii.
- Un nome scritto male o privo di un secondo nome che ti identifica nei documenti ufficiali è un errore che va corretto, soprattutto se crea problemi di identificazione.
- Un'annotazione incompleta, per esempio un debito segnato come aperto quando è stato saldato, può essere integrata con l'informazione mancante.
La rettifica riguarda i dati oggettivi. Le valutazioni e le opinioni, come il giudizio di un selezionatore su un colloquio, non si "correggono" nel merito: puoi però chiedere che vengano corretti i fatti su cui si basano o che venga aggiunta la tua posizione.
Come presentare la richiesta
La procedura è semplice e segue le regole generali dell'articolo 12 del GDPR.
- Individua il titolare. Nell'informativa privacy trovi il contatto del titolare e, se presente, del responsabile della protezione dei dati.
- Indica il dato errato e quello corretto. Più sei preciso, più è rapida la correzione: "nel mio profilo cliente n. 12345 la data di nascita risulta 03/07 anziché 07/03".
- Allega una prova, se serve. Per dati verificabili, come un cambio di residenza o un nome, può bastare un documento. Invia solo ciò che è necessario, non l'intero fascicolo personale.
- Chiedi conferma dell'avvenuta modifica. Il titolare deve comunicarti l'esito.
Il termine per rispondere è di un mese, prorogabile di due mesi nei casi complessi con comunicazione motivata. La norma, però, parla di rettifica "senza ingiustificato ritardo": per un errore banale un mese di attesa è difficilmente giustificabile.
Durante la verifica
Se l'azienda ha bisogno di tempo per verificare se il dato contestato sia davvero inesatto, puoi chiedere la limitazione del trattamento ai sensi dell'articolo 18. In pratica il dato resta conservato ma non viene usato, per esempio per decisioni che ti riguardano, finché la verifica non si conclude.
L'obbligo di avvisare gli altri
Un aspetto poco conosciuto è l'articolo 19 del GDPR. Quando il titolare rettifica un dato, deve comunicare la correzione a ciascuno dei destinatari a cui lo aveva trasmesso, salvo che ciò si riveli impossibile o richieda uno sforzo sproporzionato. Se lo chiedi, deve anche dirti chi sono questi destinatari.
Questo è importante perché un errore raramente resta in un solo archivio. Un indirizzo email sbagliato inserito da un operatore può essere passato al gestore delle spedizioni, al servizio di assistenza esterno e alla piattaforma di fatturazione. Chiedere l'applicazione dell'articolo 19 evita di dover inseguire l'errore azienda per azienda.
Quando la rettifica non basta
| Problema | Diritto più adatto |
|---|---|
| Il dato è sbagliato | Rettifica (art. 16) |
| Il dato è incompleto | Integrazione (art. 16) |
| Il dato è esatto ma non dovrebbe essere trattato | Cancellazione (art. 17) o opposizione (art. 21) |
| L'esattezza è contestata e serve tempo | Limitazione (art. 18) |
| Non sai quali dati esistono | Accesso (art. 15) |
Spesso conviene combinare i diritti: prima un accesso per vedere che cosa c'è, poi una rettifica mirata sui punti errati.
Se la richiesta viene ignorata
Se il titolare non risponde o si rifiuta senza una motivazione plausibile, puoi inviare un sollecito che richiami gli articoli 12 e 16, e successivamente proporre reclamo al Garante per la protezione dei dati personali secondo l'articolo 77. Se un dato inesatto ti ha causato un danno concreto, per esempio una pratica respinta, l'articolo 82 del GDPR riconosce il diritto al risarcimento del danno materiale o immateriale.
In sintesi
- L'art. 16 GDPR ti consente di far correggere i dati inesatti e completare quelli incompleti, senza ingiustificato ritardo.
- L'esattezza si valuta rispetto alla finalità: uno storico corretto non va riscritto, un indirizzo superato sì.
- Durante la verifica puoi chiedere la limitazione del trattamento.
- L'art. 19 obbliga il titolare a propagare la correzione ai destinatari dei dati.
- In caso di inerzia puoi rivolgerti al Garante e, se hai subito un danno, chiedere il risarcimento.