Testo dell'articoloVigente
L’art. 17 del GDPR riconosce il diritto alla cancellazione dei propri dati personali (diritto all’oblio) quando non sono più necessari, è revocato il consenso o il trattamento è illecito. Il titolare deve rispondere, di norma gratuitamente, entro un mese.
Cos’è e quando si usa
Il Regolamento UE 2016/679 (GDPR) riconosce a ogni interessato il diritto alla cancellazione dei propri dati personali (art. 17), spesso chiamato “diritto all’oblio”. Si può esercitare, ad esempio, quando i dati non sono più necessari rispetto alle finalità, quando si revoca il consenso e non esiste altra base giuridica, quando ci si oppone al trattamento o quando i dati sono stati trattati illecitamente.
La richiesta si rivolge al titolare del trattamento (l’azienda, il sito, l’ente) o al suo Responsabile della protezione dei dati (DPO). Il titolare deve dar seguito entro un mese (prorogabile in casi complessi), di regola gratuitamente. La cancellazione non è assoluta: può essere negata se prevale, ad esempio, un obbligo legale di conservazione o la libertà di informazione.
Cosa deve contenere
- Dati identificativi dell’interessato
- Indicazione del titolare del trattamento o del DPO
- Riferimento all’art. 17 GDPR e al diritto esercitato
- Indicazione dei dati di cui si chiede la cancellazione
- Eventuale revoca del consenso e motivazione
- Recapito per la risposta; luogo, data e firma
Fac-simile: richiesta di cancellazione dei dati
[LUOGO], [DATA] Email / PEC Spett.le [NOME TITOLARE DEL TRATTAMENTO / AZIENDA / SITO] Alla c.a. del Titolare del trattamento / Responsabile della Protezione dei Dati (DPO) [EMAIL / PEC] Oggetto: esercizio del diritto alla cancellazione (art. 17 GDPR) Io sottoscritto/a [NOME E COGNOME], nato/a a [LUOGO] il [DATA], in qualità di interessato/a ai sensi del Regolamento UE 2016/679, CHIEDO la cancellazione dei dati personali che mi riguardano, trattati da codesto titolare [es. account/profilo associato all'email ___; dati raccolti tramite ___], ai sensi dell'art. 17 del GDPR, per il seguente motivo: [es. revoca del consenso; dati non più necessari; opposizione al trattamento]. Chiedo conferma scritta dell'avvenuta cancellazione e, se i dati sono stati comunicati a terzi, che questi vengano informati della richiesta. Resto a disposizione per la verifica della mia identità. Attendo riscontro entro un mese, come previsto dall'art. 12 del GDPR. Distinti saluti. [FIRMA] - [RECAPITI / EMAIL]
I campi tra parentesi quadre [COSÌ] vanno sostituiti con i tuoi dati. Verifica sempre date, importi e riferimenti prima dell’invio.
Come inviarlo e conservarlo
Individua il titolare del trattamento e il suo eventuale DPO (i contatti sono di norma nell’informativa privacy o nel sito) e invia la richiesta via email o PEC. Indica con precisione i dati e l’account interessati e tieniti pronto a un controllo d’identità (per evitare che terzi cancellino i tuoi dati).
Il titolare deve rispondere entro un mese. Se non risponde o nega senza valide ragioni, puoi presentare reclamo al Garante per la protezione dei dati personali o ricorrere al giudice. Ricorda che la cancellazione può essere legittimamente rifiutata quando, ad esempio, sussiste un obbligo legale di conservazione dei dati.
Errori da evitare
- Indirizzare la richiesta a un soggetto che non è il titolare del trattamento
- Non specificare quali dati o account vanno cancellati
- Pretendere la cancellazione di dati soggetti a obbligo legale di conservazione
- Non conservare la richiesta e l’eventuale silenzio per il reclamo al Garante
Domande frequenti
Posso sempre ottenere la cancellazione dei miei dati?
Entro quanto deve rispondere l'azienda?
Cosa faccio se ignorano la richiesta?
Questo modello ha finalità divulgativa e va adattato alla tua situazione concreta. Non sostituisce la consulenza di un avvocato o di un professionista qualificato: per controversie di valore o in caso di dubbio, fatti assistere prima di inviare comunicazioni con effetti giuridici.
In sintesi
Indice dei contenuti
Il diritto alla cancellazione dei dati personali, spesso chiamato diritto all'oblio, e uno dei diritti riconosciuti all'interessato dal Regolamento UE 2016/679. Non e pero un diritto incondizionato: esiste solo in presenza di determinati presupposti e incontra limiti precisi. Conoscerne i confini serve sia a esercitarlo in modo efficace, sia a non pretendere cancellazioni che il titolare e legittimato a rifiutare.
I presupposti dell'art. 17 GDPR
La cancellazione puo essere chiesta, tra l'altro, quando i dati non sono piu necessari rispetto alle finalita per cui erano stati raccolti, quando si revoca il consenso e non esiste altra base giuridica, quando ci si oppone con successo al trattamento o quando i dati sono stati trattati illecitamente. Individuare il presupposto concreto e il primo passo: la richiesta va motivata indicando perche ricorre uno di questi casi.
A chi indirizzare la richiesta
La richiesta va rivolta al titolare del trattamento - l'azienda, il sito o l'ente che determina finalita e mezzi - o, se nominato, al suo Responsabile della protezione dei dati (DPO). I contatti si trovano di norma nell'informativa privacy. Indirizzare la richiesta a un soggetto che non e il titolare e un errore frequente che ne ritarda l'esame.
I tempi e la gratuita
L'art. 12 del GDPR impone al titolare di rispondere senza ingiustificato ritardo e comunque entro un mese dalla richiesta. Il termine puo essere prorogato di due mesi per richieste particolarmente complesse o numerose, dandone comunicazione motivata all'interessato. L'esercizio del diritto e di regola gratuito; solo richieste manifestamente infondate o eccessive possono comportare un contributo spese o il rifiuto.
I limiti del diritto all'oblio
La cancellazione puo essere legittimamente negata quando il trattamento e necessario per adempiere a un obbligo legale di conservazione, per l'esercizio del diritto alla liberta di informazione, per l'accertamento, l'esercizio o la difesa di un diritto in giudizio. E tipico il caso dei documenti che la legge fiscale o civilistica impone di conservare per un certo numero di anni: in quel periodo il titolare non puo cancellarli anche a fronte di una richiesta dell'interessato.
La verifica dell'identita
Prima di dar seguito alla richiesta il titolare deve accertare l'identita di chi la presenta, per evitare che un terzo ottenga la cancellazione dei dati altrui. E quindi normale che venga richiesto un riscontro identitario: conviene indicare con precisione l'account o i dati interessati e tenersi pronti a fornire gli elementi necessari.
I rimedi in caso di inerzia
Se il titolare non risponde nei termini o nega la cancellazione senza valide ragioni, l'interessato puo presentare reclamo al Garante per la protezione dei dati personali oppure agire davanti all'autorita giudiziaria. Conservare copia della richiesta inviata e dell'eventuale silenzio o diniego e essenziale per fondare il reclamo o il ricorso.
Casi pratici
Caso 1: Tizio revoca il consenso
Tizio si era iscritto a una newsletter prestando il consenso al trattamento del suo indirizzo. Decide di revocarlo e chiede la cancellazione dei dati ex art. 17 GDPR. Poiche il trattamento si fondava sul solo consenso e non esiste altra base giuridica, il titolare deve dar seguito alla richiesta entro un mese, confermando per iscritto l'avvenuta cancellazione. Tizio conserva la richiesta inviata per potersi tutelare in caso di inerzia.
Caso 2: Caio e l'obbligo di conservazione
Caio chiede a un ex fornitore di cancellare tutti i suoi dati, comprese le fatture emesse. Il titolare cancella i dati non piu necessari ma rifiuta legittimamente la cancellazione dei documenti fiscali, soggetti per legge a un obbligo di conservazione pluriennale. Il diniego e fondato: il diritto all'oblio cede di fronte all'obbligo legale di conservazione, fino allo scadere del relativo termine.
Domande frequenti
Posso sempre ottenere la cancellazione dei miei dati?
No, il diritto non e assoluto. Cede quando il trattamento e necessario per un obbligo legale di conservazione, per l'esercizio del diritto di informazione o per l'accertamento di un diritto in giudizio.
Entro quanto deve rispondere il titolare?
Entro un mese dalla richiesta (art. 12 GDPR), prorogabile di due mesi per richieste particolarmente complesse, dandone comunicazione motivata all'interessato.
A chi va indirizzata la richiesta?
Al titolare del trattamento o, se nominato, al suo Responsabile della protezione dei dati (DPO). I contatti si trovano di norma nell'informativa privacy. Indirizzarla ad altri ne ritarda l'esame.
Devo provare la mia identita?
Si. Il titolare deve accertare l'identita di chi presenta la richiesta per evitare che terzi ottengano la cancellazione di dati altrui. Conviene indicare con precisione account e dati interessati.
Cosa faccio se ignorano la richiesta?
Si puo presentare reclamo al Garante per la protezione dei dati personali o agire davanti all'autorita giudiziaria. Conservare la richiesta e l'eventuale silenzio o diniego e fondamentale.