Tabella dei contenuti
Una richiesta di accesso arriva di rado annunciata e quasi mai come modulo. Arriva come e-mail, a volte come frase al banco — e da quel momento corre un termine
L'art. 15 del GDPR dà a chiunque il diritto di sapere da te se e quali dati tratti sul suo conto. La richiesta non ha una forma vincolata, non ha bisogno di motivazione e non deve contenere la parola «accesso». Anche «ma che cosa avete salvato su di me?» è una richiesta, se è detta sul serio.
Lo sforzo che ne segue dipende meno dal diritto che dal tuo archivio. L'elenco di ciò che va dentro è gestibile e si compila in un'ora — se sai dove stanno i dati. Se stanno su quattro sistemi, da quell'ora nasce un fine settimana. Questo articolo descrive il procedimento; è un orientamento, e sui casi controversi decidono il Garante per la protezione dei dati personali o una consulenza legale.
1. Che cosa va nella risposta
L'art. 15, par. 1 chiede due cose che vengono spesso confuse. Primo la conferma che un trattamento sia in corso o no. Secondo, in caso affermativo, l'accesso a quei dati e a otto informazioni sul trattamento stesso:
- le finalità del trattamento,
- le categorie di dati trattati,
- i destinatari o le categorie di destinatari, compresi quelli in paesi terzi,
- il periodo di conservazione previsto o, se non è possibile, i criteri per determinarlo,
- l'esistenza dei diritti di rettifica, cancellazione, limitazione e opposizione,
- il diritto di proporre reclamo a un'autorità di controllo,
- l'origine dei dati, se non li hai raccolti presso la persona stessa,
- se esista un processo decisionale automatizzato, compresa la profilazione.
In una piccola attività le prime sette sono uguali per tutte le richieste: si scrivono una volta e si riutilizzano. Solo i dati veri e propri cambiano da persona a persona. Proprio per questo conviene un modello: la parte fissa è quella più grande.
Si aggiunge l'art. 15, par. 3: fornisci una copia dei dati oggetto di trattamento. Se la richiesta arriva per via elettronica, le informazioni si forniscono in un formato elettronico di uso comune, salvo indicazione diversa. Per ulteriori copie puoi chiedere un contributo ragionevole basato sui costi amministrativi — per la prima no.
Dare accesso non è un compito giuridico, è una questione di archivio.
2. L'orologio: un mese, prorogabile di due
L'art. 12, par. 3 fissa il termine: senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta. Il mese corre dal ricevimento, non dal giorno in cui hai riconosciuto la richiesta come tale — una ragione in più per non lasciare le e-mail all'indirizzo generico ferme per settimane.
Il termine si può prorogare di altri due mesi, se necessario tenuto conto della complessità e del numero delle richieste. La proroga però non avviene da sola: devi informarne entro il primo mese e indicare i motivi del ritardo. Chi comunica la proroga solo al terzo mese non ha prorogato il termine, l'ha mancato.
Se su una richiesta non intendi attivarti, la cosa non finisce nel silenzio. L'art. 12, par. 4 chiede che tu comunichi i motivi senza ritardo e al più tardi entro un mese, indicando due strade: il reclamo a un'autorità di controllo e il ricorso giurisdizionale. Una risposta c'è quindi sempre, anche quella negativa.
L'accesso è gratuito ai sensi dell'art. 12, par. 5. Solo per richieste manifestamente infondate o eccessive — in particolare per il loro carattere ripetitivo — puoi chiedere un contributo ragionevole o rifiutare di agire, e l'onere della prova è tuo. La seconda richiesta della stessa persona dopo sei mesi non è ancora eccessiva.
3. Ma chi sta chiedendo?
L'accesso va all'interessato — e a nessun altro. Un accesso dato alla persona sbagliata è a sua volta una violazione dei dati personali, e per giunta causata da te. Per questo la verifica dell'identità viene prima della risposta.
L'art. 12, par. 6 ti permette, in caso di dubbi ragionevoli, di chiedere ulteriori informazioni per confermare l'identità. Il considerando 64 aggiunge che vanno usati tutti i mezzi ragionevoli, in particolare nei servizi online. Due limiti sono importanti:
- I dubbi devono essere fondati. Se la richiesta arriva dall'indirizzo e-mail che da anni sta nel tuo schedario, di regola non hai motivo di chiedere un documento.
- La verifica non può diventare una raccolta di dati. Il considerando 64 dice espressamente che i dati non vanno conservati al solo scopo di poter rispondere a eventuali richieste. Una copia del documento che poi tieni rovescia la finalità della norma.
In pratica funziona una strada semplice: rispondi sul canale attraverso cui quella persona ti è nota. Se la richiesta arriva da un indirizzo sconosciuto, ricontatta il numero o l'indirizzo che hai in archivio. Non è una vessazione e si spiega in una frase.
Se qualcuno chiede per conto di un'altra persona — familiari, uno studio legale, un amministratore di sostegno — ti serve la prova della delega. Senza, non rispondi negando: rispondi chiedendo, e il termine continua a correre.
Articoli correlati
4. Che cosa non va nella risposta
L'errore più frequente non è l'accesso troppo scarno, ma quello troppo generoso. L'art. 15, par. 4 dice che il diritto di ottenere una copia non deve ledere i diritti e le libertà altrui. Ne discende una lista di eccezioni da ripassare prima di inviare.
| Caso | Che cosa fai |
|---|---|
| Appuntamento insieme a una seconda persona | consegni i dati propri e oscuri il nome della seconda persona |
| Nota interna su una persona del personale | il contenuto riferito a chi chiede sì, la valutazione del personale no |
| Scambio di e-mail con terzi in copia | rimuovi gli indirizzi dei terzi |
| Segnalazione arrivata da un'altra persona | indichi l'origine per quanto possibile e annoti il bilanciamento |
Conta la direzione dell'eccezione: non ti permette di rifiutare l'accesso nel suo insieme perché da qualche parte compare un nome altrui. Ti permette di trattenere il punto che tocca diritti di terzi. Il resto esce.
E c'è un'altra cosa che non ci va: la giustificazione. L'art. 12, par. 1 chiede una forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro. Una risposta che si apre con tre capoversi sul perché quella conservazione sia necessaria soddisfa quel requisito peggio di un semplice prospetto.
5. Quattro sistemi, una risposta
Veniamo allo sforzo vero. L'accesso comprende tutti i dati che tratti su quella persona, non quelli di un sistema. In una piccola attività tipica stanno in almeno quattro posti: nell'agenda, nello schedario clienti, nelle fatture e nella comunicazione, cioè in e-mail e messaggi.
Si aggiungono i posti silenziosi: il foglio di calcolo della newsletter, il modulo sul sito, lo strumento di prenotazione, il gestionale di chi tiene la contabilità, il quaderno alla reception. Ognuno di questi posti, da solo, è innocuo. Insieme producono la domanda che rende faticoso un accesso: hai la certezza di non averne dimenticato nessuno?
Qui sta la ragione più onesta per tenere appuntamenti, schedario e fatture in un solo sistema — non il tempo risparmiato ogni giorno, ma la possibilità di rispondere a quella domanda. Dove tutto sta in un posto, l'accesso è un export. Dove sta sparso, è una ricerca dall'esito incerto. Per un salone lo mostra il software per saloni, per un'autofficina il software per autofficine.
A prescindere dallo strumento aiuta un elenco che scrivi prima: una riga per ogni posto in cui stanno dati dei clienti, con una parola su come ci si cerca. Lo stesso elenco risponde poi alla domanda su che cosa passa davvero quando cambi software. Ed è comunque quasi identico al registro dell'art. 30 del GDPR — quindi non lo scrivi due volte.
Il procedimento è corto: riconoscere la richiesta, annotare il ricevimento, verificare l'identità, passare in rassegna tutti i posti, togliere i dati altrui, rispondere in linguaggio chiaro — entro un mese, all'occorrenza con proroga motivata di due. La preparazione che fa la differenza è l'elenco dei posti. Quali dati possano starci sta in Quali dati dei clienti puoi conservare; che cosa ne succede dopo, nel piano di cancellazione in una pagina.
Dati dei clienti in un posto solo, non in quattro elenchi
Con tutto in un sistema una richiesta di accesso richiede minuti e la cancellazione avviene davvero. Hosting in Germania.
