I diritti sui propri dati personali (GDPR): guida completa

Un'azienda continua a scrivere a un indirizzo che non ha mai fornito. Un vecchio profilo compare ancora quando si cerca un nome. Un'informazione personale è sbagliata o non è più aggiornata. In situazioni come queste il GDPR mette a disposizione degli strumenti precisi. Questa guida li passa in rassegna uno per uno, basandosi esclusivamente sulle pagine pubblicate dal Garante per la protezione dei dati personali, l'autorità italiana che si occupa della materia. Dove le pagine del Garante non entrano nel dettaglio, lo diciamo, invece di completare con quello che potrebbe essere vero altrove.

Da dove iniziare

Il Garante indica un ordine semplice. Ogni persona può tutelare i propri dati personali, in primo luogo, esercitando i diritti previsti dagli articoli da 15 a 22 del Regolamento (UE) 2016/679. Il primo passo è quindi una richiesta rivolta a chi tratta i dati, che nel linguaggio del Regolamento si chiama titolare del trattamento.

La sequenza che emerge dalle pagine del Garante è lineare: individuare chi tratta i dati, presentargli un'istanza senza particolari formalità, attendere la risposta e, se questa manca o non soddisfa, rivolgersi all'autorità giudiziaria o al Garante. Le sezioni che seguono approfondiscono ciascun passaggio.

Il diritto alla protezione dei dati personali e le norme che lo tutelano

Un diritto fondamentale

Il Garante ricorda che il diritto alla protezione dei dati personali è un diritto fondamentale dell'individuo ai sensi della Carta dei diritti fondamentali dell'Unione europea, all'articolo 8. Oggi è tutelato in particolare dal Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, cioè il regolamento generale sulla protezione dei dati. A questo si aggiungono vari altri atti normativi italiani e internazionali e il Codice in materia di protezione dei dati personali, il decreto legislativo 30 giugno 2003, n. 196. Il Codice è stato adeguato alle disposizioni del Regolamento tramite il decreto legislativo 10 agosto 2018, n. 101.

A chi si applica il Regolamento

La scheda del Garante spiega che il Regolamento disciplina il trattamento dei dati personali indipendentemente dal fatto che questo sia effettuato o meno nell'Unione europea. Vale in due situazioni principali.

La prima riguarda i titolari o i responsabili stabiliti nell'Unione europea, oppure in un luogo soggetto al diritto di uno Stato membro in virtù del diritto internazionale pubblico. L'esempio fornito dal Garante è l'ambasciata o la rappresentanza consolare di uno Stato membro.

La seconda riguarda i titolari o i responsabili non stabiliti nell'Unione europea, quando le attività di trattamento riguardano:

• l'offerta di beni o la prestazione di servizi a interessati nell'Unione europea, indipendentemente dall'obbligatorietà di un pagamento;
• il monitoraggio del comportamento degli interessati, nella misura in cui tale comportamento ha luogo all'interno dell'Unione europea.

Diritti più incisivi

Il Garante sottolinea anche che il Regolamento ha ampliato i diritti riconosciuti all'interessato rispetto ai dati che lo riguardano, rendendoli maggiormente incisivi in una realtà sempre più attraversata dalle nuove tecnologie e dall'uso della rete. I diritti di cui si parla nelle sezioni successive sono quelli degli articoli da 15 a 22.

Il diritto di accedere ai propri dati personali

Che cosa si può chiedere

L'interessato ha il diritto di chiedere al titolare del trattamento se sia in corso o meno un trattamento di dati personali che lo riguardano. La scheda del Garante precisa che il titolare può essere un soggetto pubblico, un'impresa, un'associazione, un partito, una persona fisica e così via.

Se il trattamento è confermato, l'interessato può ottenere due cose: una copia dei dati e una serie di informazioni.

Le informazioni a cui si ha diritto

Oltre alla copia dei dati, l'interessato può essere informato su:

• le finalità del trattamento, cioè a quale scopo i dati sono usati;
• le categorie di dati personali trattate;
• i destinatari dei dati;
• il periodo di conservazione dei dati personali;
• l'origine dei dati personali trattati, cioè da dove il titolare li ha ottenuti;
• gli estremi identificativi di chi tratta i dati: titolare, responsabile, rappresentante designato nel territorio dello Stato italiano e destinatari;
• l'esistenza di un processo decisionale automatizzato, compresa la profilazione;
• i diritti previsti dal Regolamento.

Un documento di approfondimento

La pagina del Garante rimanda alle Linee guida EDPB 01/2022 sul diritto di accesso. La pagina elenca il documento senza riassumerne il contenuto.

Rettifica, cancellazione e limitazione del trattamento

Gli articoli da 15 a 22 del Regolamento, ricorda il Garante, riconoscono all'interessato anche altri diritti. L'interessato può richiedere a chi sta trattando i suoi dati personali che questi siano rettificati, cancellati o limitati nel trattamento. Ciascuno ha le proprie condizioni.

Rettifica

I dati possono essere rettificati perché inesatti o non aggiornati. La rettifica può anche consistere nell'integrare informazioni incomplete. È il diritto da far valere quando un dato è sbagliato, superato o parziale.

Cancellazione

L'interessato può chiedere la cancellazione dei dati in questi casi:

• i dati non sono più necessari ai fini del perseguimento delle finalità per le quali sono stati raccolti o trattati;
• l'interessato revoca il consenso o si oppone al trattamento;
• i dati sono trattati illecitamente;
• i dati devono essere cancellati per adempiere a un obbligo legale.

Il Garante aggiunge una condizione importante: la cancellazione è possibile se non vi sono altri trattamenti per i quali i dati sono considerati necessari. Gli esempi indicati sono la libertà di espressione e informazione, lo svolgimento di compiti nel pubblico interesse, i trattamenti connessi alla sanità pubblica e simili. In altre parole, il diritto di cancellazione non è assoluto, e la pagina lo dice chiaramente.

Una nota della stessa scheda riguarda i dati resi pubblici. Il titolare che ha reso pubblici dati personali ed è obbligato a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione, adotta le misure ragionevoli, anche tecniche, per informare i titolari che stanno trattando quei dati della richiesta dell'interessato di cancellare qualsiasi link, copia o riproduzione. Questo punto è ripreso nella sezione dedicata al diritto all'oblio.

Limitazione del trattamento

I dati possono essere limitati nel relativo trattamento in due situazioni:

• i dati non sono esatti o sono trattati illecitamente e l'interessato si oppone alla loro cancellazione;
• nonostante il titolare non ne abbia più bisogno ai fini del trattamento, i dati sono necessari all'interessato per fare valere un diritto in sede giudiziaria.

Nella seconda ipotesi i dati servono ancora all'interessato per far valere un diritto in sede giudiziaria, anche se il titolare non ne ha più bisogno. La scheda del Garante non descrive nel dettaglio gli effetti pratici della limitazione, quindi non possiamo spiegarli oltre.

Il diritto di opposizione

Il Garante descrive due modi di opporsi al trattamento dei propri dati personali.

Opposizione per motivi legati alla situazione particolare

È possibile opporsi per motivi connessi alla situazione particolare dell'interessato. In questo caso i motivi devono essere specificati nella richiesta.

Opposizione al marketing diretto

Quando i dati sono trattati per finalità di marketing diretto, l'opposizione è possibile senza necessità di motivarla. È la differenza più netta tra i due casi: chi riceve comunicazioni promozionali non deve giustificare la propria scelta.

Le pagine consultate non aggiungono altre ipotesi di opposizione oltre a queste due. Le modalità di esercizio sono quelle descritte più avanti.

Il diritto all'oblio e la deindicizzazione

Che cos'è, secondo il Garante

La pagina del Garante sul tema dice che il cosiddetto diritto all'oblio si configura come un diritto alla cancellazione dei propri dati personali in forma rafforzata. Il riferimento è all'articolo 17 del Regolamento, intitolato diritto di cancellazione.

La forma rafforzata consiste in un obbligo ulteriore per i titolari che hanno reso pubblici i dati personali dell'interessato, per esempio pubblicandoli su un sito web: devono informare della richiesta di cancellazione gli altri titolari che trattano i dati cancellati, compresi qualsiasi link, copia o riproduzione. Il riferimento è all'articolo 17, paragrafo 2.

La pagina sottolinea inoltre che l'interessato ha il diritto di chiedere la cancellazione dei propri dati anche dopo la revoca del consenso al trattamento, ai sensi dell'articolo 17, paragrafo 1.

Che cosa contiene davvero la pagina

La pagina del Garante sull'oblio è in gran parte un elenco di documenti. Il Garante stesso la descrive come una pagina che contiene link alla normativa e a documenti interpretativi, schede informative e pagine tematiche, in continuo aggiornamento. Non è una guida passo dopo passo, e qui non aggiungiamo procedure che la pagina non descrive.

Le Linee guida 5/2019 sui motori di ricerca

Tra i documenti figurano le Linee guida 5/2019 sui criteri per l'esercizio del diritto all'oblio nel caso dei motori di ricerca, definite in base alle previsioni del Regolamento (UE) 2016/679 (parte I). La versione indicata è quella adottata dopo consultazione pubblica, il 7 luglio 2020. La pagina rimanda anche a una sintesi delle stesse linee guida.

Le sentenze della Corte di giustizia elencate

Tra i documenti, la pagina riporta anche alcune sentenze della Corte di giustizia dell'Unione europea, ciascuna con una breve indicazione di ciò che afferma. Questo è tutto quello che le pagine consultate dicono su di esse:

• Sentenza della Corte del 13 maggio 2014, causa C-131/12 (Google Spain contro Agencia Española de Protección de Datos e Mario Costeja González): il gestore di un motore di ricerca su Internet è responsabile del trattamento che effettua sui dati personali presenti su pagine web pubblicate da terzi. Se, dopo una ricerca a partire dal nome di una persona, l'elenco dei risultati mostra un link verso una pagina con informazioni su di lei, la persona può rivolgersi direttamente al gestore oppure, se questi non dà seguito alla domanda, adire le autorità competenti.
• Sentenza del 24 settembre 2019, causa C-136/17: il divieto di trattare determinate categorie di dati personali sensibili si applica anche ai gestori di motori di ricerca. In una domanda di deindicizzazione deve essere effettuato un bilanciamento tra i diritti fondamentali del richiedente e quelli degli utenti di Internet potenzialmente interessati alle informazioni.
• Sentenza del 24 settembre 2019, causa C-507/17: il gestore di un motore di ricerca non è tenuto a effettuare la deindicizzazione in tutte le versioni del suo motore. È tuttavia tenuto a effettuarla nelle versioni corrispondenti a tutti gli Stati membri e ad attuare misure che scoraggino gli utenti di Internet dall'accedere, a partire da uno degli Stati membri, ai link contenuti nelle versioni extra UE.
• Sentenza dell'8 dicembre 2022, causa C-460/20 (deindicizzazione di contenuti asseritamente inesatti): il gestore di un motore di ricerca deve deindicizzare le informazioni incluse nel contenuto indicizzato quando il richiedente dimostra che sono manifestamente inesatte.

Compare infine nell'elenco il documento del Gruppo di lavoro Articolo 29 con le linee guida sull'attuazione della sentenza Google Spain, del 26 novembre 2014, disponibile anche in versione inglese.

Il diritto alla portabilità dei dati

Quando si applica

Nella scheda sui diritti, il Garante descrive la portabilità come la possibilità che i dati siano trasferiti a un altro titolare. La condizione è che il trattamento si basi sul consenso o su un contratto stipulato con l'interessato e che venga effettuato con mezzi automatizzati.

Che cosa dice la pagina dedicata

La pagina specifica sulla portabilità è, come quella sull'oblio, un insieme di rimandi. Il Garante la presenta come una pagina con link alla normativa e a documenti interpretativi, schede informative e pagine tematiche, in continuo aggiornamento. Contiene:

• le Linee guida sul diritto alla portabilità dei dati, WP242 del Gruppo di lavoro Articolo 29, adottate il 13 dicembre 2016 e nella versione emendata e adottata il 5 aprile 2017;
• le risposte alle domande più frequenti, allegate alle stesse linee guida;
• la scheda informativa del Garante;
• come approfondimento, la Guida all'applicazione del Regolamento europeo in materia di protezione dei dati personali;
• un video sul cambiamento di principi e diritti degli interessati, tratto da un intervento tenuto a Bari il 15 gennaio 2018 nel corso di un incontro del Garante con la pubblica amministrazione.

Come per l'oblio, la pagina non contiene una procedura illustrata. Non indica, per esempio, in quale formato i dati debbano essere forniti.

Come esercitare i propri diritti

Un'istanza senza particolari formalità

Secondo il Garante, l'interessato può presentare un'istanza al titolare senza particolari formalità. Gli esempi citati sono la lettera raccomandata, il fax, la posta elettronica. Sul sito del Garante è disponibile anche un modulo che si può utilizzare per esercitare i diritti degli articoli da 15 a 22.

Che cosa può riguardare la richiesta

L'istanza può essere riferita, a seconda delle esigenze dell'interessato, a specifici dati personali, a categorie di dati o a un particolare trattamento, oppure a tutti i dati personali che lo riguardano, comunque trattati. Si può quindi chiedere un singolo dato, una categoria o tutto.

I tempi della risposta

Il titolare deve fornire idoneo riscontro all'istanza. Per il Garante questo significa:

• senza ingiustificato ritardo e al più tardi entro 1 mese dal ricevimento della richiesta;
• il termine può essere prorogato di 2 mesi, qualora si renda necessario tenuto conto della complessità e del numero di richieste. In tal caso il titolare deve comunque darne comunicazione all'interessato entro 1 mese dal ricevimento.

Se la risposta non arriva o non soddisfa

Le due strade

Il Garante spiega che l'interessato può rivolgersi all'autorità giudiziaria o al Garante in due situazioni: se ritiene che il trattamento dei dati che lo riguardano non sia conforme alle disposizioni vigenti, oppure se la risposta a un'istanza per l'esercizio dei diritti degli articoli 15 a 22 non perviene nei tempi indicati o non è soddisfacente. Per il Garante la strada è il reclamo, ai sensi dell'articolo 77 del Regolamento.

Una precisazione della pagina riguarda il vecchio ricorso: il Regolamento europeo non prevede più l'istituto del ricorso per far valere i diritti di accesso ai dati personali, che non è più esperibile davanti al Garante a partire dal 25 maggio 2018.

Il reclamo

Il Garante lo definisce un atto circostanziato con cui si rappresenta una violazione della disciplina in materia di protezione dei dati personali. I riferimenti sono l'articolo 77 del Regolamento e gli articoli da 140-bis a 143 del Codice. Il reclamo serve a lamentare la violazione e a richiedere una verifica dell'Autorità.

Che cosa succede dopo? Al reclamo segue un'istruttoria preliminare e un eventuale successivo procedimento amministrativo formale, che può portare all'adozione dei provvedimenti di cui all'articolo 58 del Regolamento. Contro la decisione del Garante è ammesso il ricorso giurisdizionale ai sensi degli articoli 143 e 152 del Codice e dell'articolo 78 del Regolamento. La presentazione del reclamo è gratuita.

Chi può firmarlo

Il reclamo può essere sottoscritto direttamente dall'interessato oppure, per suo conto, da un avvocato, un procuratore, un organismo, un'organizzazione o un'associazione senza scopo di lucro. In questi casi è necessario conferire una procura, da depositare presso il Garante insieme a tutta la documentazione utile alla valutazione.

Come inviarlo

Il Garante indica tre modalità, a scelta di chi presenta il reclamo:

• un messaggio di posta elettronica certificata a protocollo@pec.gpdp.it, indirizzo configurato per ricevere soltanto comunicazioni provenienti da posta elettronica certificata;
• una raccomandata A/R indirizzata al Garante per la protezione dei dati personali, Piazza Venezia, 11, 00187 Roma;
• la consegna a mano presso gli uffici del Garante, nella stessa sede di Piazza Venezia, a Roma.

Il reclamo e l'eventuale procura devono essere sottoscritti con firma autenticata, con firma digitale oppure con firma autografa. In quest'ultimo caso va allegata la copia di un documento di riconoscimento dell'interessato in corso di validità.

Che cosa deve contenere

Il modello pubblicato dal Garante indica gli elementi che devono necessariamente comparire nella parte in cui si espongono i fatti:

1. la dichiarazione che la Repubblica italiana è lo Stato membro in cui l'interessato risiede abitualmente, lavora, oppure in cui si è verificata la presunta violazione;
2. gli estremi identificativi del titolare del trattamento, cioè la persona fisica o giuridica, l'autorità pubblica, il servizio o l'altro organismo che determina le finalità e i mezzi del trattamento e che avrebbe commesso la violazione;
3. gli estremi identificativi del responsabile del trattamento, se conosciuto;
4. un'indicazione, per quanto possibile dettagliata, dei fatti e delle circostanze su cui si fonda il reclamo, comprese le eventuali richieste già rivolte al titolare;
5. le disposizioni del Regolamento e del Codice che si presumono violate, specificando se siano già stati esercitati i diritti degli articoli da 15 a 22, e l'indicazione delle misure richieste.

Il modello prevede inoltre un recapito per le comunicazioni e un elenco dei documenti allegati. È disponibile in formato .docx e in formato .pdf.

Che cosa si può chiedere al Garante

Nella parte finale il modello propone di chiedere al Garante, ritenuto fondato il reclamo, di assumere nei confronti del titolare ogni opportuno provvedimento e in particolare di:

• rivolgere al titolare o al responsabile avvertimenti o ammonimenti sul fatto che i trattamenti possono verosimilmente violare, o hanno violato, le disposizioni vigenti;
• ingiungere al titolare di soddisfare le richieste di esercizio dei diritti degli articoli da 15 a 22 e di conformare i trattamenti alle disposizioni vigenti, anche nei confronti del responsabile, ove previsto;
• imporre una limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento.

Il modello ricorda anche che chi, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze, oppure produce atti o documenti falsi, ne risponde ai sensi dell'articolo 168 del Codice, salvo che il fatto non costituisca più grave reato.

La segnalazione

Accanto al reclamo esiste un secondo strumento. Ai sensi dell'articolo 144 del Codice, chiunque può rivolgere al Garante una segnalazione, che l'Autorità può valutare anche ai fini dei provvedimenti dell'articolo 58 del Regolamento. Non sono previsti particolari vincoli di forma. L'importante, dice il Garante, è fornire tutti gli elementi utili a valutare l'illegittimità o illiceità del trattamento oggetto della segnalazione. Anche la segnalazione è gratuita.

Può essere inviata per posta ordinaria, per posta elettronica ordinaria o per posta elettronica certificata. Gli indirizzi indicati sono protocollo@gpdp.it per la posta elettronica ordinaria, protocollo@pec.gpdp.it per la posta certificata (che accetta solo comunicazioni provenienti da posta certificata) e Piazza Venezia, 11, 00187 Roma per la posta ordinaria.

Procedure specifiche

Per alcune tipologie di segnalazione, data la natura particolare dei temi, il Garante ha previsto una modulistica specifica o procedure telematiche apposite. Le pagine indicano tre ambiti: revenge porn, telemarketing e cyberbullismo, ciascuno con un proprio indirizzo dedicato sul sito del Garante.

Che cosa le pagine del Garante non precisano

Le cinque pagine su cui si basa questa guida sono utili per orientarsi, ma lasciano fuori alcune domande che il lettore potrebbe porsi. Ne indichiamo qualcuna, perché è meglio saperlo prima di cercare risposte altrove.

• Le pagine su oblio e portabilità sono elenchi di documenti. Non spiegano, passo dopo passo, come chiedere la deindicizzazione a un motore di ricerca né come ottenere i propri dati in un formato trasferibile.
• Non propongono un testo già pronto per la richiesta al titolare, ma solo un modulo disponibile sul sito e un modello per il reclamo.
• Non indicano per quanto tempo il Garante tratterà un reclamo né quale sarà l'esito.
• Non entrano nel merito di casi concreti: descrivono i diritti e le procedure in termini generali.

Per quanto riguarda Remove Me, il servizio offre un'analisi gratuita, senza account: la persona inserisce i propri dati e Remove Me cerca i risultati web visibili pubblicamente, le data breach pubbliche note (tramite Have I Been Pwned) e un registro di data broker, poi mostra un report sbloccato con un codice a 6 cifre inviato per e-mail. Remove Me non invia ancora richieste di cancellazione per conto delle persone.