Diritto di accesso ai dati (art. 15 GDPR): cosa puoi chiedere, e il fac-simile pronto
Come chiedere a un'azienda quali dati ha su di te ai sensi dell'art. 15 GDPR: cosa puoi ottenere, i tempi, i costi e un modello di istanza pronto da compilare.
Hai il sospetto che un’azienda abbia raccolto dei dati su di te, ma non sai quali, perché, e con chi li condivide. Capita con un ex datore di lavoro, una piattaforma da cui non compri più, una società che ti manda email senza che tu ricordi di esserti iscritto. Per chiarire la situazione esiste uno strumento preciso, gratuito e azionabile da chiunque: il diritto di accesso previsto dall’articolo 15 del GDPR.
Cos’è il diritto di accesso
È il diritto di sapere se un soggetto tratta i tuoi dati personali e, in caso affermativo, di vederli e di capire come li usa. Non serve un avvocato e non serve motivare la richiesta: basta essere la persona a cui i dati si riferiscono. Si esercita verso il titolare del trattamento, cioè il soggetto (azienda, ente, professionista) che decide finalità e modalità del trattamento.
Cosa puoi chiedere
L’art. 15 ti permette di ottenere due cose. La prima è la conferma che un trattamento sia o meno in corso. La seconda, se la risposta è positiva, è una copia dei dati (art. 15, par. 3) insieme a un elenco di informazioni che il titolare è tenuto a fornire:
- le finalità del trattamento (lett. a);
- le categorie di dati trattati (lett. b);
- i destinatari a cui i dati sono stati o saranno comunicati, anche in paesi terzi (lett. c);
- il periodo di conservazione previsto, o i criteri per determinarlo (lett. d);
- l’esistenza del diritto di rettifica, cancellazione, limitazione e opposizione (lett. e);
- il diritto di reclamo a un’autorità di controllo (lett. f);
- l’origine dei dati, se non li hai forniti tu (lett. g);
- l’esistenza di decisioni automatizzate o profilazione ai sensi dell’art. 22, con informazioni sulla logica usata e sulle conseguenze per te (lett. h);
- le garanzie applicate in caso di trasferimento dei dati fuori dall’Unione europea (par. 2).
A chi va inviata
La richiesta va rivolta al titolare del trattamento. Se l’organizzazione ha nominato un Responsabile della protezione dei dati (DPO), conviene inviare la richiesta per conoscenza anche a lui. I recapiti (spesso una PEC o un indirizzo email dedicato) si trovano nell’informativa privacy, di solito in fondo al sito o nel modulo con cui hai lasciato i dati.
Tempi e costi
Il titolare deve rispondere senza ingiustificato ritardo e comunque entro un mese dal ricevimento (art. 12, par. 3). Il termine può essere prorogato di due mesi per richieste complesse o numerose, ma solo avvisandoti entro il primo mese e spiegando il perché.
Il riscontro è gratuito (art. 12, par. 5). Il titolare può chiedere un contributo o rifiutare solo davanti a richieste manifestamente infondate o eccessive, ad esempio ripetute in modo pretestuoso, e comunque deve motivare. Per evitare che i dati finiscano alla persona sbagliata, il titolare può chiederti di identificarti (art. 12, par. 6): per questo conviene allegare da subito un documento.
Come farla bene
Pochi accorgimenti rendono la richiesta più efficace e più facile da far valere:
- inviala per iscritto, meglio via PEC o email, e conserva la prova di invio;
- indica il rapporto nell’ambito del quale pensi che ti trattino i dati (un contratto, un acquisto, un’iscrizione), così aiuti il titolare a trovarli;
- tieni distinta la richiesta di accesso da quella di cancellazione: sono diritti diversi;
- allega la copia di un documento di identità.
Se non rispondono
Se il mese passa senza riscontro, o se la risposta è incompleta, hai due vie. Puoi proporre reclamo al Garante per la protezione dei dati personali (art. 77 GDPR e art. 140-bis del Codice Privacy), che è gratuito e non richiede un avvocato. In alternativa, per lo stesso oggetto, puoi rivolgerti all’autorità giudiziaria (art. 79 GDPR e art. 152 del Codice Privacy). La scelta dipende da cosa cerchi: un intervento dell’autorità o una decisione del giudice.
Il fac-simile pronto da usare
Qui sotto trovi un modello di istanza. Copia il testo, sostituisci le parti tra parentesi quadre con i tuoi dati e quelli del destinatario, e invialo. È pensato come base di partenza, da adattare al caso concreto.
[Nome e Cognome dell'interessato]
[Codice fiscale]
[Indirizzo di residenza/domicilio]
[Indirizzo e-mail / PEC – per la risposta]
Spett.le
[Denominazione del Titolare del trattamento]
[Sede legale]
[Indirizzo PEC / e-mail]
e, p.c. [Responsabile della protezione dei dati – DPO, ove nominato]
[Indirizzo e-mail del DPO]
Oggetto: Istanza di esercizio del diritto di accesso ai dati personali ai sensi
dell'art. 15 del Regolamento (UE) 2016/679 (GDPR).
Il/La sottoscritto/a [nome e cognome], nato/a a [luogo] il [data], C.F. [codice
fiscale], in qualità di interessato/a ai sensi dell'art. 4, n. 1, del Regolamento
(UE) 2016/679,
PREMESSO CHE
- il Titolare del trattamento in indirizzo tratta dati personali riferibili al
sottoscritto nell'ambito di [indicare il rapporto: es. contratto, rapporto di
lavoro, iscrizione a newsletter, ecc.];
- ai sensi degli artt. 12 e 15 GDPR l'interessato ha diritto di ottenere dal
Titolare la conferma che sia o meno in corso un trattamento di dati personali
che lo riguardano e, in tal caso, di ottenervi accesso unitamente alle
informazioni di seguito specificate;
CHIEDE
al Titolare del trattamento, ai sensi dell'art. 15 del Regolamento (UE) 2016/679,
di confermare se sia o meno in corso un trattamento di dati personali che lo/la
riguardano e, in caso affermativo, di fornire copia dei dati personali oggetto di
trattamento, unitamente alle seguenti informazioni:
- le finalità del trattamento (art. 15, par. 1, lett. a);
- le categorie di dati personali in questione (art. 15, par. 1, lett. b);
- i destinatari o le categorie di destinatari a cui i dati sono stati o saranno
comunicati, in particolare se destinatari di paesi terzi o organizzazioni
internazionali (art. 15, par. 1, lett. c);
- quando possibile, il periodo di conservazione dei dati personali previsto
oppure, se non è possibile, i criteri utilizzati per determinare tale periodo
(art. 15, par. 1, lett. d);
- l'esistenza del diritto di chiedere la rettifica o la cancellazione dei dati
personali o la limitazione del trattamento o di opporsi al loro trattamento
(art. 15, par. 1, lett. e);
- l'esistenza del diritto di proporre reclamo a un'autorità di controllo
(art. 15, par. 1, lett. f);
- qualora i dati non siano raccolti presso l'interessato, tutte le informazioni
disponibili sulla loro origine (art. 15, par. 1, lett. g);
- l'esistenza di un processo decisionale automatizzato, compresa la profilazione
di cui all'art. 22, parr. 1 e 4, e, in tali casi, informazioni significative
sulla logica utilizzata, nonché l'importanza e le conseguenze previste di tale
trattamento per l'interessato (art. 15, par. 1, lett. h);
- qualora i dati personali siano trasferiti verso un paese terzo o
un'organizzazione internazionale, le garanzie adeguate ai sensi dell'art. 46
GDPR relative al trasferimento (art. 15, par. 2).
Chiede, altresì, ai sensi dell'art. 15, par. 3, GDPR, che gli/le venga fornita
copia dei dati personali oggetto di trattamento. La copia è richiesta in formato
[cartaceo / elettronico di uso comune]. Ove la presente richiesta sia inoltrata
mediante mezzi elettronici, le informazioni sono fornite in un formato elettronico
di uso comune, salvo diversa indicazione dell'interessato.
Modalità e termini di riscontro. Si invita codesto Titolare a dare riscontro alla
presente istanza senza ingiustificato ritardo e, comunque, al più tardi entro un
mese dal ricevimento della richiesta, ai sensi dell'art. 12, par. 3, GDPR. Tale
termine può essere prorogato di due mesi, ove necessario, tenuto conto della
complessità e del numero delle richieste, con comunicazione all'interessato entro
un mese dal ricevimento della richiesta e con indicazione dei motivi della proroga.
Si rammenta che, ai sensi dell'art. 12, par. 5, GDPR, il riscontro è fornito
gratuitamente; solo in caso di richieste manifestamente infondate o eccessive, in
particolare per il loro carattere ripetitivo, il Titolare può addebitare un
contributo spese ragionevole oppure rifiutare di soddisfare la richiesta, dandone
motivazione.
Si avverte che, decorso inutilmente il predetto termine ovvero in caso di riscontro
insoddisfacente, il sottoscritto si riserva di proporre reclamo al Garante per la
protezione dei dati personali ai sensi degli artt. 77 GDPR e 140-bis del D.Lgs.
196/2003, nonché di adire la competente Autorità giudiziaria ai sensi dell'art. 79
GDPR e dell'art. 152 del D.Lgs. 196/2003.
Ai fini dell'identificazione del richiedente, ai sensi dell'art. 12, par. 6, GDPR,
si allega copia di un documento di identità in corso di validità.
Si chiede di inviare il riscontro al seguente recapito: [indirizzo e-mail / PEC /
indirizzo postale].
Si allega:
- copia del documento di identità del sottoscritto;
- [eventuale procura/delega, se l'istanza è presentata per conto di altro soggetto].
[Luogo], [data]
Con osservanza.
Firma
[Nome e Cognome dell'interessato]Il testo richiama anche gli artt. 12 e 22 del GDPR perché il diritto di accesso non vive da solo: l’art. 12 fissa tempi, gratuità e modalità, l’art. 22 entra in gioco quando ci sono decisioni automatizzate o profilazione. Citarli rende la richiesta più precisa e più difficile da liquidare con una risposta generica.
Questo articolo ha finalità divulgativa e non sostituisce una valutazione sul caso concreto. Se la tua richiesta riguarda una situazione delicata, ad esempio un rapporto di lavoro o un contenzioso in corso, conviene farla esaminare prima dell’invio.
Domande frequenti
Quanto tempo ha un'azienda per rispondere a una richiesta di accesso ai dati?
Il titolare deve dare riscontro senza ingiustificato ritardo e comunque al più tardi entro un mese dal ricevimento della richiesta, ai sensi dell'art. 12, par. 3, del GDPR. Il termine può essere prorogato di due mesi quando la richiesta è complessa o quando ne arrivano molte, ma in tal caso il titolare deve avvisare l'interessato entro il primo mese e spiegare il motivo della proroga.
Esercitare il diritto di accesso ai dati costa qualcosa?
No. Ai sensi dell'art. 12, par. 5, del GDPR il riscontro è gratuito. Solo se la richiesta è manifestamente infondata o eccessiva, in particolare per il suo carattere ripetitivo, il titolare può chiedere un contributo spese ragionevole oppure rifiutare di darvi seguito, dandone però motivazione.
Cosa posso ottenere con il diritto di accesso previsto dall'art. 15 GDPR?
Puoi ottenere la conferma che sia o meno in corso un trattamento dei tuoi dati e, in caso affermativo, una copia dei dati e una serie di informazioni: le finalità del trattamento, le categorie di dati, i destinatari (anche fuori dall'Unione europea), il periodo di conservazione, l'origine dei dati se non li hai forniti tu, l'eventuale esistenza di decisioni automatizzate o profilazione e le garanzie applicate ai trasferimenti all'estero.
Cosa posso fare se l'azienda non risponde alla richiesta di accesso?
Se il termine scade senza risposta, o se il riscontro è insoddisfacente, puoi proporre reclamo al Garante per la protezione dei dati personali (art. 77 GDPR e art. 140-bis del Codice Privacy) oppure rivolgerti all'autorità giudiziaria (art. 79 GDPR e art. 152 del Codice Privacy). Le due strade riguardano lo stesso oggetto in via alternativa, quindi conviene scegliere quella più adatta al caso.