Hai usato per anni un'app per registrare gli allenamenti, un servizio di musica con playlist costruite con cura, un gestore di foto con migliaia di immagini organizzate in album. Il giorno in cui vuoi cambiare fornitore, il timore è di dover ricominciare da zero. Il diritto alla portabilità, introdotto dall'articolo 20 del Regolamento (UE) 2016/679, nasce per evitare che i tuoi dati diventino una catena che ti lega a un servizio.
In che cosa consiste
L'articolo 20 ti riconosce due facoltà:
- ricevere i dati personali che hai fornito a un titolare in un formato strutturato, di uso comune e leggibile da dispositivo automatico;
- trasmettere tali dati a un altro titolare senza impedimenti da parte del primo e, se tecnicamente fattibile, ottenere che la trasmissione avvenga direttamente da un titolare all'altro.
Formati come CSV, JSON o XML soddisfano normalmente il requisito. Un PDF con le schermate del profilo, invece, è leggibile da una persona ma non da un programma, e quindi non è adeguato allo scopo della norma.
Quando si applica
La portabilità non copre ogni trattamento. Le condizioni sono tre e devono ricorrere insieme.
- Il trattamento si basa sul tuo consenso oppure su un contratto di cui sei parte.
- Il trattamento è effettuato con mezzi automatizzati: gli archivi cartacei sono esclusi.
- Si tratta di dati che hai fornito tu.
Restano fuori, per esempio, i trattamenti basati su un obbligo di legge o sul legittimo interesse del titolare, e i trattamenti svolti nell'esercizio di pubblici poteri.
Quali dati sono "forniti da te"
Questa espressione è più ampia di quanto sembri. Comprende:
- i dati che hai inserito consapevolmente, come nome, indirizzo, contenuti caricati, messaggi, foto;
- i dati osservati attraverso l'uso del servizio, come la cronologia delle ricerche, i brani ascoltati, i percorsi registrati da un'app sportiva, le letture di un dispositivo collegato.
Non comprende invece i dati dedotti o elaborati dal titolare, come un punteggio di affidabilità o un profilo di interessi calcolato da un algoritmo. Su questi puoi comunque esercitare il diritto di accesso dell'articolo 15.
Portabilità e accesso: le differenze
| Accesso (art. 15) | Portabilità (art. 20) | |
|---|---|---|
| Scopo | Conoscere i dati e come vengono usati | Riutilizzare i dati altrove |
| Dati coperti | Tutti quelli trattati, inclusi i dedotti | Solo quelli forniti, inclusi gli osservati |
| Basi giuridiche | Tutte | Solo consenso e contratto |
| Formato | Anche non strutturato | Strutturato e leggibile da macchina |
| Trasmissione diretta a terzi | No | Sì, se tecnicamente fattibile |
Come esercitarla in pratica
Molti grandi servizi offrono già strumenti di esportazione nelle impostazioni dell'account: cerca voci come "Scarica i tuoi dati", "Esporta" o "Download dell'archivio". Sono il modo più rapido, ma non sempre includono tutto.
Se lo strumento automatico manca o è incompleto:
- scrivi al titolare o al responsabile della protezione dei dati indicati nell'informativa;
- dichiara di esercitare il diritto alla portabilità ai sensi dell'articolo 20;
- specifica il formato desiderato o, almeno, chiedi un formato strutturato e leggibile da macchina;
- se vuoi la trasmissione diretta, indica il nuovo fornitore.
Il termine di risposta è di un mese, prorogabile di due mesi nei casi complessi. La consegna è di regola gratuita.
Limiti da conoscere
I diritti degli altri. Se i dati comprendono informazioni su terzi, come i contatti della rubrica o le conversazioni con altre persone, il nuovo titolare dovrà trattarli solo per l'uso personale che ne fai e non, per esempio, per inviare pubblicità a quei contatti.
La cancellazione non è automatica. Esercitare la portabilità non implica che il primo servizio cancelli i dati. Se vuoi chiudere il rapporto, aggiungi una richiesta di cancellazione ai sensi dell'articolo 17, una volta verificato che l'esportazione sia completa.
La compatibilità non è garantita. La norma impone un formato interoperabile, non obbliga i titolari ad adottare sistemi compatibili tra loro. Prima di chiudere il vecchio account, controlla che il nuovo servizio riesca a importare i file.
Un esempio concreto
Decidi di passare da un servizio di archiviazione di foto a un altro. Con l'esportazione ottieni le immagini originali e un file con le informazioni degli album, le didascalie e le date. Importi tutto nel nuovo servizio, controlli che le cartelle siano integre e solo dopo chiedi la cancellazione dell'account precedente. Così eviti sia di perdere dati sia di lasciarli dimenticati su un server che non usi più.
In sintesi
- L'art. 20 GDPR ti consente di ricevere i dati forniti in un formato strutturato e leggibile da macchina e di trasferirli a un altro servizio.
- Vale solo per trattamenti automatizzati basati su consenso o contratto.
- Copre i dati inseriti e quelli osservati, non quelli dedotti dal titolare.
- Verifica che l'esportazione sia completa e importabile prima di chiedere la cancellazione.
- La portabilità non autorizza il nuovo servizio a usare i dati di terzi per scopi propri.