Diritti dell'interessato: accesso e richieste, senza perdere la scadenza

Diritti dell'interessato: richieste diverse, stesso orologio

Le richieste degli interessati arrivano da canali diversi (PEC, modulo web, email al servizio clienti, lettera dell'avvocato) e quasi mai citano l'articolo giusto. Un ex dipendente chiede "tutto quello che avete su di me", un cliente vuole essere cancellato dal CRM, un paziente chiede la cartella clinica.

Per il DPO, gestire i diritti degli interessati è un lavoro triplo:

• qualificare la richiesta: accesso (art. 15), rettifica (art. 16), cancellazione (art. 17), limitazione (art. 18), portabilità (art. 20), opposizione (art. 21);
• coordinare le funzioni che detengono i dati, spesso in sistemi diversi;
• rispondere in modo completo entro un mese, oppure motivare il diniego indicando la possibilità di reclamo al Garante e di ricorso giurisdizionale (art. 12, par. 4).

Il GDPR non prevede requisiti formali per presentare la richiesta. Le linee guida EDPB 1/2022 sul diritto di accesso invitano i titolari a non essere formalisti con chi non conosce le norme.

Come gestisci i diritti dell'interessato con Next-OS

Il diritto di accesso GDPR, cioè l'accesso ai dati personali, è il diritto dell'interessato di sapere se un titolare tratta dati che lo riguardano e, in caso affermativo, di riceverne copia con le informazioni elencate dall'art. 15 GDPR. Lo stesso flusso vale per accesso, cancellazione, rettifica o opposizione: cambia il contenuto della risposta, non il metodo.

1. Analizza la richiesta

Carica la lettera o incolla la mail. Next-OS individua i diritti esercitati, il titolare a cui è rivolta e le eventuali richieste che non rientrano nel GDPR (per esempio un accesso agli atti ai sensi della legge 7 agosto 1990, n. 241, che ha presupposti e tutele diversi).

2. Verifica identità e perimetro

Se hai dubbi ragionevoli sull'identità del richiedente puoi chiedere informazioni aggiuntive (art. 12, par. 6), senza trasformare la verifica in un ostacolo. Chiedi a Next-OS quali informazioni sono proporzionate nel caso concreto.

3. Prepara il riscontro ex art. 15 GDPR

Next-OS scrive una bozza di riscontro all'interessato che copre finalità, categorie di dati, destinatari, periodo di conservazione, diritti, reclamo, origine dei dati ed eventuale processo decisionale automatizzato, come chiede l'art. 15, par. 1. La bozza parte dal tuo modello di risposta, se lo hai salvato in Next Drive.

4. Segna il termine di un mese per rispondere

Con le integrazioni del piano Professional, Next-OS crea l'evento in Google Calendar o Outlook con la data di scadenza del mese e quella entro cui comunicare un'eventuale proroga.

Un esempio concreto: l'ex dipendente che chiede tutte le email

Un ex responsabile commerciale, in causa con la società, chiede tramite il suo avvocato "copia di tutti i dati personali, comprese le email inviate e ricevute negli ultimi cinque anni".

Il DPO chiede a Next-OS: "Dobbiamo consegnare tutte le email? Come gestiamo i dati di colleghi e clienti contenuti nella corrispondenza?".

Cosa ottieni:

• il richiamo all'art. 15, par. 3 e 4: l'interessato ha diritto a una copia dei suoi dati personali, ma la copia non deve ledere i diritti e le libertà altrui;
• l'indicazione che la richiesta di accesso non va rifiutata per il solo fatto che il richiedente persegue anche altri scopi, come una causa, con il riferimento alle linee guida EDPB;
• i criteri per selezionare, oscurare o riassumere i contenuti che riguardano terzi;
• la possibilità, se la richiesta è particolarmente complessa, di prorogare il termine di due mesi, informando l'interessato entro il primo mese.

La scelta di cosa consegnare e come motivare eventuali limitazioni è tua: Next-OS ti fa arrivare alla decisione con le fonti in ordine.

Diritti dell'interessato: cosa verificare prima di rispondere

• Gratuità. La prima copia è gratuita (art. 12, par. 5, e art. 15, par. 3). Le richieste manifestamente infondate o eccessive possono comportare un contributo o un rifiuto, ma l'onere della prova è del titolare.
• Copia dei dati o dei documenti. Il Garante, richiamando la sentenza della Corte di giustizia del 26 ottobre 2023 (causa C-307/22), ricorda che il titolare fornisce copia integrale dei documenti quando serve a rendere i dati esatti, completi e comprensibili.
• Formato. Se la richiesta arriva per via elettronica, rispondi in un formato elettronico di uso comune, salvo diversa indicazione.
• Reclamo. L'interessato può presentare reclamo al Garante dopo aver esercitato i diritti presso il titolare e decorsi i termini dell'art. 12, par. 3 (art. 142 del Codice privacy).
• Fornitori. Se i dati sono presso un responsabile, l'accordo deve prevedere che ti assista (art. 28, par. 3, lett. e). Controllalo con la pagina sull'art. 28 GDPR.

Una richiesta di accesso è anche un buon test del registro: se non sai dove sono i dati, la pagina sul registro delle attività di trattamento ti aiuta a ripartire. Per il quadro generale torna alla pagina sul software per DPO.