Tra i diritti del GDPR, la limitazione del trattamento è il meno conosciuto. Eppure risolve un problema molto concreto: che cosa succede ai tuoi dati nel periodo in cui una contestazione è aperta? Senza questo strumento, un'azienda potrebbe continuare a usare un dato che ritieni sbagliato mentre lo "verifica", oppure cancellare un'informazione che a te serve conservare. L'articolo 18 del Regolamento (UE) 2016/679 permette di mettere i dati in una sorta di stato di sospensione.
Che cosa significa "limitare"
Limitare il trattamento vuol dire che il titolare può continuare a conservare i dati, ma non può usarli se non in casi ristretti. È come mettere una pratica in un cassetto chiuso: esiste, ma nessuno la consulta per prendere decisioni o per inviarti comunicazioni.
Durante la limitazione il titolare può trattare i dati, oltre che per conservarli, solo:
- con il tuo consenso;
- per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria;
- per tutelare i diritti di un'altra persona fisica o giuridica;
- per motivi di interesse pubblico rilevante dell'Unione o di uno Stato membro.
I quattro casi in cui puoi chiederla
L'articolo 18 prevede ipotesi precise.
1. Contesti l'esattezza dei dati
Hai chiesto una rettifica e il titolare deve verificare. Per tutto il tempo della verifica puoi chiedere che il dato contestato non venga usato.
Esempio: una società finanziaria ti attribuisce un ritardo di pagamento che non hai commesso. Mentre controlla, non dovrebbe utilizzare quell'informazione per valutare una tua nuova richiesta.
2. Il trattamento è illecito ma non vuoi la cancellazione
A volte la cancellazione non è la soluzione migliore. Se un'azienda ha raccolto i tuoi dati senza base giuridica, potresti preferire che li conservi, senza usarli, perché ti servono come prova.
3. I dati non servono più al titolare, ma servono a te
Il titolare starebbe per cancellare i dati perché ha esaurito le sue finalità, ma tu ne hai bisogno per far valere un diritto in giudizio.
Esempio: un'azienda di videosorveglianza conserva le registrazioni per un periodo breve e poi le sovrascrive. Se in quelle immagini c'è la prova di un danno subito, puoi chiedere che non vengano eliminate.
4. Ti sei opposto e la decisione è in sospeso
Hai esercitato il diritto di opposizione dell'articolo 21 e il titolare deve valutare se i suoi motivi legittimi prevalgano sui tuoi. In attesa della valutazione, i dati restano limitati.
Come viene applicata in pratica
Il GDPR, al considerando 67, indica alcune modalità tecniche: trasferire temporaneamente i dati in un altro sistema, renderli inaccessibili agli utenti, rimuoverli temporaneamente da un sito web. Nei sistemi informatici la limitazione dovrebbe essere segnalata in modo chiaro, così che chiunque acceda alla scheda sappia che quei dati non possono essere usati.
Quando la limitazione viene revocata, per esempio perché la verifica sull'esattezza si è conclusa, il titolare deve informarti prima di revocarla. Non può quindi riprendere a usare i dati senza avvisarti.
Come presentare la richiesta
| Elemento | Cosa scrivere |
|---|---|
| Riferimento normativo | "Chiedo la limitazione del trattamento ai sensi dell'art. 18 GDPR" |
| Dati interessati | Quali dati vuoi bloccare, con riferimenti precisi |
| Motivo | Quale dei quattro casi ricorre |
| Collegamento | Eventuale richiesta di rettifica o opposizione già inviata |
| Richiesta finale | Conferma scritta dell'avvenuta limitazione |
Spesso la limitazione si chiede nella stessa lettera con cui si esercita un altro diritto: "chiedo la rettifica del dato X e, nelle more della verifica, la limitazione del trattamento".
I tempi di risposta sono quelli generali dell'articolo 12: un mese, prorogabile di due mesi nei casi complessi con comunicazione motivata. Data la natura della richiesta, però, un titolare diligente dovrebbe applicare il blocco subito, soprattutto quando c'è il rischio che i dati vengano cancellati.
L'obbligo di avvisare i destinatari
Come per la rettifica e la cancellazione, anche la limitazione va comunicata dal titolare a tutti i destinatari a cui i dati sono stati trasmessi, salvo che sia impossibile o richieda uno sforzo sproporzionato, secondo l'articolo 19. Se lo chiedi, il titolare deve dirti chi sono questi destinatari.
Quando non è lo strumento giusto
La limitazione è uno strumento temporaneo e di garanzia. Se vuoi che i dati spariscano, il diritto da esercitare è la cancellazione; se vuoi semplicemente non ricevere più pubblicità, è più diretta l'opposizione al marketing. Usare la limitazione al posto di questi diritti rischia di lasciare la situazione in sospeso più del necessario.
In sintesi
- L'art. 18 GDPR consente di congelare i dati: il titolare li conserva ma non li usa.
- Si chiede quando contesti l'esattezza, quando il trattamento è illecito ma vuoi conservare i dati, quando ti servono per un giudizio o mentre è pendente un'opposizione.
- Il titolare deve informarti prima di revocare la limitazione.
- La limitazione va comunicata ai destinatari dei dati, come prevede l'art. 19.
- Conviene chiederla insieme alla rettifica o all'opposizione, nella stessa comunicazione.