Come esercitare il diritto di accesso ai propri dati personali

Ti chiedi che cosa sappia di te un'azienda, un ente pubblico o un'associazione? Il GDPR prevede uno strumento preciso per saperlo: il diritto di accesso. Questa guida segue le schede informative del Garante per la protezione dei dati personali, l'autorità italiana in materia, e si ferma dove le sue pagine si fermano.

Che cos'è il diritto di accesso

Il diritto alla protezione dei dati personali è un diritto fondamentale dell'individuo ai sensi della Carta dei diritti fondamentali dell'Unione europea (art. 8). Oggi è tutelato in particolare dal Regolamento (UE) 2016/679, il GDPR, oltre che dal Codice in materia di protezione dei dati personali.

Il diritto di accesso è uno dei diritti che il Regolamento riconosce all'interessato. In concreto, l'interessato ha il diritto di chiedere al titolare del trattamento se è in corso o meno un trattamento di dati personali che lo riguardano. Il titolare può essere un soggetto pubblico, un'impresa, un'associazione, un partito o anche una persona fisica.

Che cosa si può ottenere

Se il titolare conferma che i dati sono trattati, hai il diritto di ottenere una copia di tali dati. Hai inoltre il diritto di essere informato su otto punti, che il Garante elenca così:

• le finalità del trattamento;
• le categorie di dati personali trattate;
• i destinatari dei dati;
• il periodo di conservazione dei dati personali;
• l'origine dei dati personali trattati;
• gli estremi identificativi di chi tratta i dati, cioè titolare, responsabile, rappresentante designato nel territorio dello Stato italiano e destinatari;
• l'esistenza di un processo decisionale automatizzato, compresa la profilazione;
• i diritti previsti dal Regolamento.

Questo elenco è utile per preparare la richiesta. Chiedere in modo esplicito la copia dei dati e ciascuna di queste informazioni aiuta a ricevere una risposta completa.

Come presentare l'istanza

Il Garante spiega che ogni persona può tutelare i propri dati esercitando, in primo luogo, i diritti previsti dagli articoli da 15 a 22 del Regolamento. L'accesso è quello dell'articolo 15.

L'interessato può presentare un'istanza al titolare senza particolari formalità. La pagina cita come esempi la lettera raccomandata, il fax e la posta elettronica. Sul sito del Garante è disponibile anche un modulo che si può utilizzare per esercitare questi diritti.

L'istanza può essere riferita, a seconda delle esigenze, a specifici dati personali, a categorie di dati o a un particolare trattamento. Può riguardare anche tutti i dati personali che ti riguardano, comunque trattati. Prima di scrivere conviene quindi decidere quanto vuoi sapere: un singolo servizio, un tipo di dati oppure tutto.

Quali sono i termini di risposta

Secondo il Garante, il titolare deve fornire un idoneo riscontro:

• senza ingiustificato ritardo e al più tardi entro 1 mese dal ricevimento della richiesta;
• con un termine prorogabile di 2 mesi, se ciò è necessario tenuto conto della complessità e del numero di richieste.

In caso di proroga il titolare deve comunque darne comunicazione all'interessato entro 1 mese dal ricevimento della richiesta. Conviene quindi conservare la prova della data di invio, per esempio la ricevuta della raccomandata o il messaggio di posta elettronica inviato.

Se la risposta non arriva o non è soddisfacente

Può succedere che il trattamento dei tuoi dati non ti sembri corretto, oppure che la risposta alla tua istanza non arrivi nei tempi indicati o non sia soddisfacente. In questi casi la scheda del Garante indica due strade: rivolgersi all'autorità giudiziaria oppure al Garante per la protezione dei dati personali.

Per il Garante la via è il reclamo ai sensi dell'articolo 77 del Regolamento. Il reclamo è un atto circostanziato con cui si rappresenta una violazione della disciplina sulla protezione dei dati personali. Segue un'istruttoria preliminare ed eventualmente un procedimento amministrativo formale. La presentazione del reclamo è gratuita.

Il Garante precisa anche che il Regolamento europeo non prevede più il ricorso per far valere il diritto di accesso ai dati personali. Di conseguenza non è più esperibile davanti al Garante a partire dal 25 maggio 2018. Oggi la strada davanti al Garante è il reclamo.

Esiste infine la segnalazione, che chiunque può rivolgere al Garante, senza particolari vincoli di forma e gratuitamente. Il Garante può valutarla anche ai fini dei provvedimenti previsti dal Regolamento.

Che cosa le fonti non precisano

Le pagine del Garante su cui si basa questa guida sono schede di sintesi, redatte a scopo divulgativo. Sul diritto di accesso rimandano alle linee guida EDPB 01/2022, che non sono riportate qui. Le pagine consultate non dicono, per esempio, se il titolare possa chiedere un documento di identità o dei costi, né in quale formato debba essere fornita la copia dei dati. Per questi punti è meglio consultare le linee guida citate dal Garante o l'Urp del Garante, che la scheda indica per dubbi e domande.

Dove cercare prima di scrivere

Per sapere a chi indirizzare una richiesta serve sapere quali organizzazioni trattano i tuoi dati. Remove Me offre un'analisi gratuita, senza bisogno di creare un account: dopo aver inserito i tuoi dati, il servizio cerca nei risultati web visibili pubblicamente, nei data breach noti (Have I Been Pwned) e in un registro di data broker, poi mostra un report. Il report si sblocca con un codice a 6 cifre inviato via e-mail. Remove Me non invia ancora richieste di cancellazione per conto dell'utente.