Diritti degli interessati: come deve rispondere l’impresa

In sintesi

• Quali sono: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione (artt. 15-22 GDPR).
• Termine: l’impresa deve rispondere senza ritardo e comunque entro un mese.
• Gratuità: l’esercizio dei diritti è di regola gratuito.
• Procedura: serve un processo interno per ricevere, verificare ed evadere le richieste.

I diritti previsti dal GDPR

Gli interessati (clienti, dipendenti, utenti) hanno una serie di diritti che il titolare deve garantire: diritto di accesso ai propri dati (art. 15), di rettifica (art. 16), di cancellazione o “oblio” (art. 17), di limitazione del trattamento (art. 18), alla portabilità dei dati (art. 20), di opposizione (art. 21) e di non essere sottoposti a decisioni automatizzate, compresa la profilazione, con effetti significativi (art. 22).

Il punto di vista dell’impresa

Per l’impresa questi diritti si traducono in un obbligo: ricevere le richieste, verificarle e dare seguito. Non è sufficiente conoscerli in astratto; serve un processo concreto. Per questo le informative devono indicare come esercitare i diritti e fornire un contatto dedicato (email o modulo), e il personale deve sapere come gestire le richieste.

I termini di risposta

Il titolare deve fornire riscontro senza ingiustificato ritardo e comunque entro un mese dalla richiesta (art. 12 GDPR). Il termine può essere prorogato di due mesi per richieste complesse o numerose, informando l’interessato. Se non dà seguito, deve comunque informare l’interessato delle ragioni e della possibilità di reclamo al Garante.

Verifica dell’identità e gratuità

Prima di rispondere, il titolare deve accertarsi ragionevolmente dell’identità del richiedente, per non comunicare dati alla persona sbagliata. L’esercizio dei diritti è in linea di principio gratuito; solo per richieste manifestamente infondate o eccessive (ripetitive) si può chiedere un contributo o rifiutare, motivando.

Limiti ai diritti

I diritti non sono assoluti: ad esempio la cancellazione può essere rifiutata se i dati servono per adempiere a un obbligo legale (come la conservazione delle fatture) o per accertare/esercitare un diritto in giudizio. È importante saper distinguere quando il diritto va soddisfatto e quando, motivatamente, prevale un’altra esigenza.

Esempio pratico

Un ex cliente chiede a una SRL la cancellazione dei suoi dati. La SRL verifica l’identità, cancella i dati di marketing, ma conserva i dati fiscali e contabili che la legge le impone di mantenere, spiegando all’interessato il motivo. Risponde entro un mese e, in caso di rifiuto parziale, indica la possibilità di rivolgersi al Garante.