Chiedere che dati hanno su di te e farli cancellare: come si fa
Un mese per rispondere e la risposta deve contenere cose precise. Che cosa si può chiedere, che cosa possono rifiutare e come si formula la richiesta.
Contenuto verificato sulle fonti ufficiali il
In breve
- Un mese per rispondere, prorogabile di due in caso di richieste complesse o numerose. Il termine non sta negli articoli sui diritti, ma nell'articolo 12.
- Gratis. Informazioni e comunicazioni sono in linea di principio gratuite. Si può chiedere un contributo per copie ulteriori o per richieste manifestamente infondate o eccessive.
- L'accesso non è solo la copia dei dati: comprende finalità, categorie, destinatari, tempi di conservazione e origine dei dati se non raccolti presso di te.
- Cancellazione. Si ottiene quando i dati non servono più allo scopo, quando revochi il consenso e non c'è altra base e negli altri casi previsti.
- Rettifica. I dati inesatti vanno corretti senza ingiustificato ritardo e quelli incompleti integrati.
- Portabilità. Solo se il trattamento si basa su consenso o contratto ed è automatizzato: sono due presupposti che devono ricorrere insieme.
Con questa pagina puoi scrivere da solo. Il servizio che prepara e spedisce la lettera apre a breve.
Iscriviti alla lista d'attesa →Il servizio non è ancora aperto. Chi si iscrive riceve al lancio la prima lettera gratis, spedizione via PEC compresa.
Chiedere a un'azienda che cosa sa di te è un diritto che si esercita con una lettera e le risposte evasive si riconoscono facilmente perché la legge elenca che cosa devono contenere.
Che cosa comprende il diritto di accesso?
Non è solo «mandatemi i miei dati». Si ha diritto a ottenere la conferma che un trattamento sia in corso e, in tal caso, l'accesso ai dati e a queste informazioni:
- le finalità del trattamento;
- le categorie di dati personali trattati;
- i destinatari o le categorie di destinatari, in particolare se di paesi terzi o organizzazioni internazionali. Su richiesta, il titolare deve in linea di principio indicare l'identità concreta dei destinatari, salvo impossibilità o richiesta manifestamente infondata o eccessiva (Corte di giustizia, causa C-154/21);
- quando possibile, il periodo di conservazione previsto o i criteri per determinarlo;
- l'esistenza del diritto di chiedere rettifica, cancellazione o limitazione e di opporsi;
- il diritto di proporre reclamo a un'autorità di controllo;
- l'origine dei dati, se non sono stati raccolti presso di te.
Quest'ultima voce è spesso la più utile: è la domanda che scopre da dove è arrivato il tuo numero.
Quanto tempo hanno per rispondere e quanto costa?
Il termine non è scritto negli articoli sui diritti: sta nell'articolo 12, paragrafo 3. La risposta va data senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta, prorogabile di due mesi tenuto conto della complessità e del numero delle richieste, ma solo se il titolare comunica la proroga e i motivi entro il primo mese.
Informazioni e comunicazioni sono in linea di principio gratuite. Per le copie ulteriori rispetto alla prima il titolare può addebitare un contributo spese ragionevole, basato sui costi amministrativi. Per le richieste manifestamente infondate o eccessive può chiedere un contributo o rifiutare, ma deve dimostrare che lo sono (articolo 12, paragrafo 5, GDPR).
Come si fanno correggere o cancellare i dati?
I dati inesatti vanno corretti senza ingiustificato ritardo e quelli incompleti integrati — anche fornendo una dichiarazione integrativa.
La cancellazione — il cosiddetto diritto all'oblio — si ottiene quando ricorre uno dei motivi previsti: fra questi, che i dati non siano più necessari rispetto alle finalità per cui erano stati raccolti e che tu abbia revocato il consenso su cui si fondava il trattamento senza che sussista un'altra base giuridica.
Non è però un diritto assoluto: resta escluso, fra l'altro, quando il trattamento è necessario per adempiere un obbligo legale o per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria. Un'azienda che conserva i dati di una fattura per obblighi fiscali non sta violando nulla.
Quando si può chiedere la portabilità dei dati?
Il diritto di ricevere i propri dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico — e di trasmetterli a un altro titolare — è più stretto di quanto si creda. Riguarda i dati che hai fornito tu al titolare e richiede due condizioni cumulative:
- il trattamento deve basarsi sul consenso oppure su un contratto;
- deve essere effettuato con mezzi automatizzati.
Restano quindi fuori i trattamenti fondati sull'obbligo legale, sull'interesse vitale, sul compito di interesse pubblico o sul legittimo interesse. È il motivo per cui una richiesta di portabilità fondata su una base giuridica diversa viene respinta legittimamente.
Come si scrive la richiesta?
Conviene indicare con precisione quale diritto si esercita — accesso, rettifica, cancellazione, portabilità — perché i presupposti sono diversi e una richiesta generica invita a una risposta generica. Utile allegare un documento d'identità solo se il titolare ha ragionevoli dubbi sull'identità di chi chiede.
Puoi scriverla anche senza aiuto. Se preferisci, il servizio che prepara e spedisce la lettera apre a breve: iscriviti alla lista d'attesa.
E se non rispondono?
Si può proporre reclamo al Garante per la protezione dei dati personali. Il silenzio oltre il mese o una risposta che non contiene gli elementi elencati sopra è di per sé una violazione contestabile, salvo che il titolare abbia comunicato una proroga. Anche il rifiuto va motivato entro il mese, indicando la possibilità di reclamo e di ricorso. Attenzione: per lo stesso oggetto il reclamo al Garante e il ricorso al giudice sono alternativi (articolo 140-bis del Codice privacy), quindi conviene scegliere prima di agire.
Domande frequenti
Entro quanto devono rispondere a una richiesta di accesso ai dati?
Senza ingiustificato ritardo e comunque entro un mese dal ricevimento, prorogabile di due mesi tenuto conto della complessità e del numero delle richieste, se il titolare lo comunica con i motivi entro il primo mese. Il termine non è previsto dagli articoli sui singoli diritti ma dall'articolo 12, paragrafo 3 del GDPR.
Chiedere i propri dati costa qualcosa?
Di regola no. Informazioni e comunicazioni sono in linea di principio gratuite. Il titolare può chiedere un contributo spese ragionevole per le copie ulteriori e, se dimostra che la richiesta è manifestamente infondata o eccessiva, può chiedere un contributo o rifiutare.
Posso sapere da dove hanno preso i miei dati?
Sì. Fra le informazioni che il diritto di accesso comprende c'è l'origine dei dati, quando non sono stati raccolti presso l'interessato. È spesso la voce più utile della richiesta.
Possono rifiutare di cancellare i miei dati?
Sì, in alcuni casi. La cancellazione non opera quando il trattamento è necessario, fra l'altro, per adempiere un obbligo legale o per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria. La conservazione di dati fiscali per il periodo previsto dalla legge, per esempio, è legittima.
Quando si può chiedere la portabilità dei dati?
Solo per i dati che hai fornito tu e quando ricorrono due presupposti insieme: il trattamento si basa sul consenso o su un contratto ed è effettuato con mezzi automatizzati. Restano esclusi i trattamenti fondati su obbligo legale, interesse vitale, compito di interesse pubblico o legittimo interesse.
Sapere che cosa prevedono le regole è il primo passo. Il secondo è la lettera: scritta in forma corretta, con le norme citate per esteso e una data che si può dimostrare. Il servizio che la prepara e la spedisce apre a breve.
Iscriviti alla lista d'attesa →Il servizio non è ancora aperto. Chi si iscrive riceve al lancio la prima lettera gratis, spedizione via PEC compresa.
Questa pagina spiega che cosa prevedono le regole in situazioni di questo tipo. Non è un parere sul caso singolo e non anticipa l'esito, che dipende dai fatti del caso concreto. Per sapere quando basta una lettera e quando serve un avvocato, leggi quando serve un avvocato.
Fonti ufficiali