Sono passati dieci anni ormai dall’entrata in vigore del GDPR (Reg. (UE) n. 2016/679). Dieci anni in cui la sensibilizzazione alle tematiche privacy delle aziende – pubbliche e private – e delle persone si è notevolmente ridimensionata. Si potrebbe dire in meglio.
In questi anni si sta assistendo a cambiamenti epocali: l’avvento dell’intelligenza artificiale ha contribuito alla recente attenzione legislativa sulla materia[1] e, nelle organizzazioni, alla revisione di interi processi aziendali, con stanziamento di specifici budget sul tema.
La sensibilizzazione su tali tematiche è aumentata notevolmente, anche grazie al lavoro delle istituzioni, in primis del legislatore e dell’Autorità Garante per la protezione dei dati personali (anche per brevità il “Garante”), coinvolte nel presidiarne l’applicazione. Ciò è dimostrato anche da una maggiore consapevolezza da parte di utenti, consumatori e lavoratori (e chi ne ha più ne metta), più attenti alle “invasioni” della loro sfera personale che sempre più spesso avvengono attraverso l’utilizzo massivo di nuove tecnologie, app o sistemi di raccolta, elaborazione e trattamento, che conservano moli di informazioni sempre più rilevanti.
Indice degli argomenti
Tecnologia e consapevolezza nell’esercizio dei diritti privacy
La strada più semplice – e allo stesso tempo la più complicata nel mondo in cui viviamo – potrebbe essere quella di non “accogliere” l’avvento della tecnologia, estraniandosi quindi dalla realtà. Ciò implicherebbe rendere impossibile, o comunque molto complesso, svolgere attività che oramai sono alla base della nostra vita quotidiana: prenotare un viaggio, un concerto, una visita medica o registrarsi ad un evento. Se invece si accettano i cambiamenti a cui stiamo assistendo e, quindi, si accetta di modificare l’approccio rispetto al passato, allora occorre, prima di tutto, avere una maggiore sensibilità sul tema. In sostanza l’alternativa all’evitare qualcosa che può spaventare è cercare di conoscerla.
Conoscere le tutele del GDPR
Ed è qui che entra in scena la normativa privacy, già con il Codice Privacy (D. Lgs. 2003/196) e con il GDPR, che ci ricorda come l’interessato dal trattamento, ossia la persona fisica cui si riferiscono i dati personali trattati dal Titolare o dal Responsabile del trattamento, abbia dei diritti sui propri dati e che li può esercitare. Infatti, è altrettanto innegabile, soprattutto per gli addetti ai lavori, che proprio la consapevolezza di far valere un proprio diritto in ambito privacy ha aumentato nel corso degli anni l’esercizio da parte degli interessati dei diritti riconosciuti dalla normativa di settore.
I diritti degli interessati riconosciuti dal GDPR
Quando si parla di esercizio dei diritti applicabili in ambito privacy, il primo riferimento normativo da prendere in considerazione è l’art. 12 del GDPR che sostanzialmente fornisce le indicazioni da seguire per la gestione di una richiesta di esercizio dei diritti degli interessati.
In primis, tale articolo ricorda come il Titolare del trattamento debba adottare “[…] misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all’articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, […]”.
Infatti, lo scopo dell’informativa privacy, presente ad esempio su un form, un sito web o un documento cartaceo e fornita al momento, inter alia, dell’assunzione, di una candidatura o di una registrazione, è proprio quello di informare l’interessato del trattamento effettuato nei suoi confronti e di far conoscere al medesimo l’esistenza dei diritti in ambito privacy e della facoltà di esercitarli nei confronti del Titolare del trattamento.
L’informativa sulla privacy non è solo un “pezzo di carta” che bisogna prevedere in un form ma è un documento che, in primis, può tornare utile alla persona – i cui i dati personali sono stati raccolti – per ricordarsi che quelle informazioni la riguardano e che il Titolare non può farne ciò che vuole. Essere informato, dunque, è un vero e proprio diritto dell’interessato.
Dall’informativa alle richieste dell’interessato
Quanto detto consente all’interessato, nei modi e nei limiti previsti dalla normativa privacy, di formulare alcune richieste, di attivare i propri diritti e, quindi, di pretendere di avere contezza di ciò che viene fatto sui propri dati personali da parte del Titolare. I diritti che l’interessato può esercitare non sono illimitati, ma sono solo quelli indicati dagli artt. 15 a 22 del GDPR ossia: diritto di accesso ai suoi dati personali (art. 15); diritto di rettifica (art. 16); diritto di cancellazione (diritto all’oblio) (art. 17); diritto di limitazione dei trattamento (art. 18); diritto alla portabilità dei dati (art. 20); diritto di opposizione (art. 21); diritto di opporsi a una decisione basata unicamente sul trattamento automatizzato (art. 22); e il diritto di revocare, in qualsiasi momento, il consenso rilasciato, senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca.
Diritti privacy tra richieste semplici e casi complessi
Da tale elenco si può subito notare che i diritti che l’interessato può far valere sono molto diversi l’uno dall’altro, tutti semplici da richiedere (anche con una semplice e-mail) ma non tutti facili da elaborare o da gestire dal Titolare. Basti pensare alla differenza tra la richiesta di revoca di un consenso prestato, ad esempio per il marketing, rispetto ad una richiesta di accesso ai propri dati personali.
La revoca del consenso e la facilità dell’azione
Infatti, alle volte, l’evasione della richiesta da parte del Titolare richiede tempo poiché il reperimento, la raccolta e l’elaborazione delle informazioni richieste non è semplice mentre invece, in altri casi, l’evasione delle istanze è attuabile anche con un semplice azione: si pensi all’esempio della revoca di un consenso che, una volta presa in carico da parte dell’azienda, non dovrebbe essere particolarmente complessa da evadere. Anzi, è proprio l’art. 7, paragrafo 3 del GDPR che impone come “Il consenso è revocato con la stessa facilità con cui è accordato” ossia il Titolare del trattamento deve assicurare che l’interessato possa in qualsiasi momento revocare il consenso, con una semplice azione, senza che indebite barriere ne ostacolino la richiesta o accoglimento.
Ma cosa intendiamo quando affermiamo che la revoca del consenso deve avvenire “con una semplice azione”? A venirci incontro sono le stesse “Linee Guida 5/2020 sul consenso ai sensi del regolamento (UE) 2016/679”[2] dell’EDPB (European Data Protection Board) che spiegano come “114. Tuttavia, quando il consenso viene prestato per via elettronica con un solo clic di mouse, un solo scorrimento o premendo un tasto, l’interessato deve, in pratica, poterlo revocare con altrettanta facilità. Se il consenso è espresso attraverso un’interfaccia utente specifica di servizio (ad esempio un sito web, un’applicazione, un account protetto, l’interfaccia di un dispositivo IoT oppure posta elettronica), è indubbio che l’interessato deve poterlo revocare tramite la medesima interfaccia elettronica, poiché il passaggio a un’altra interfaccia per la sola revoca richiederebbe uno sforzo eccessivo. Inoltre, l’interessato dovrebbe poter revocare il consenso senza subire pregiudizio. […]”.
Tempi e procedure per l’esercizio dei diritti GDPR
Inoltre, in questo scenario costituito da diritti privacy più “facili” da gestire, contro altri più “complessi”, il paragrafo 3 dell’art. 12 del GDPR ricorda come il Titolare debba fornire “le informazioni relative all’azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. […]”. È dunque la normativa privacy che impone al Titolare un termine entro il quale deve essere gestita una richiesta di esercizio dei diritti. Rigore normativo, questo, che può essere rispettato solo se il Titolare ha adottato misure appropriate per assicurarne la corretta evasione.
Tra le misure appropriate da adottare non dobbiamo per forza spingerci verso i protocolli della NASA: si pensi semplicemente all’importanza di presidiare giornalmente la casella di posta elettronica aziendale, destinataria delle richieste degli interessati, di avvalersi di personale formato e competente in grado di comprendere la portata e la delicatezza della comunicazione ricevuta, di prevedere sistemi tecnologici in grado di supportare il personale dedicato all’evasione della medesima, o di regolamentare il flusso da seguire per la presa in carico, evasione e risposta alla richiesta.
Questi sono alcuni dei tanti accorgimenti che il Titolare può adottare per evitare che la richiesta di un interessato resti “inascoltata” e giacente per parecchio tempo, violando quindi i tempi dettati dalla normativa.
Questo aspetto è di fondamentale importanza poiché sono numerosi i provvedimenti del Garante in cui la mancata risposta da parte del Titolare nei termini sanciti dalla normativa, ha costituito la violazione dell’art. 15, paragrafo 3 del GDPR, con l’emissione a seconda dei casi di sanzioni pecuniarie o ammonimenti e/o con l’ordine di procedere a soddisfare la richiesta dell’interessato.
Proroga di due mesi e accountability del Titolare
Va detto, inoltre, che il legislatore europeo nell’imporre normativamente un termine stringente per rispondere ad una richiesta dell’interessato “senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta” ha comunque lasciato uno spazio di manovra (ad avviso degli scriventi corretto e di buon senso) al Titolare del trattamento ossia la facoltà di poter richiedere una proroga.
E infatti, sempre il paragrafo 3 dell’art. 12 del GDPR prevede che il termine di un mese può essere esteso “[…] Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. Il titolare del trattamento informa l’interessato di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta. […]”.
La norma, quindi, prevede la possibilità per il titolare di usufruire di una proroga di due mesi per rispondere all’interessato, a condizione che siano rispettate alcune condizioni: sostanzialmente sarebbe poco trasparente nei confronti dell’interessato e soprattutto non ragionevole da parte del Titolare attivare la proroga per ogni richiesta di esercizio dei diritti (estremizzando il concetto, non si può giustificare una proroga perché “il Titolare ha altro da fare”).
Infatti, la proroga può essere attivata quando sussistono dei validi motivi, tra cui ad esempio il caso in cui la richiesta è particolarmente complessa. Ad esempio, l’attivazione della proroga di due mesi per revocare un consenso al marketing sarebbe difficile da giustificare, salvo certamente casi eccezionali (che confermano la regola); inoltre, un grande volume di richieste potrebbe essere un altro valido motivo per attivare la proroga. In ogni caso, laddove si decida di usufruire della proroga, sarà necessario giustificare tale scelta e comunicare i motivi che hanno portato il Titolare a non ritenere sufficiente il termine di un mese.
Il punto fondamentale per il Titolare del trattamento non è tanto quello di avere due mesi in più per rispondere ma di essere in grado motivare le ragioni che lo hanno portato ad utilizzare la proroga, informando l’interessato. In altre parole, in ottica di accountability, il Titolare deve essere in grado di dimostrare le ragioni fondanti la sua decisione (perché non è stata evasa prima? Quali sono state le criticità riscontrate? Etc.).
I limiti all’esercizio dei diritti privacy
Quanto detto sino ad ora però non deve portare alla conclusione che ogni richiesta di esercizio dei diritti debba essere accolta incondizionatamente. Anzi è proprio lo stesso articolo 12 del GDPR a prevedere che il Titolare possa non ottemperare alla richiesta formulata dall’interessato, fornendo comunque un riscontro allo stesso.
Oltre ai casi in cui le richieste siano “manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo” per cui viene attribuita la facoltà al Titolare del trattamento di poter addebitare un contributo spese ragionevole e di poter rifiutare di soddisfare la richiesta (incombendo sullo stesso l’onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta), esistono casi in cui il Titolare può comunque decidere di non ottemperare alla richiesta dell’interessato. Sul punto, infatti, è vero che il GDPR riconosce i diritti in ambito privacy nei confronti degli interessati (i cui dati sono trattati) ma dobbiamo ricordare che gli stessi diritti debbono essere esercitati nei limiti e in conformità a quanto previsto dalla normativa.
Diritto di accesso e tutela delle libertà altrui
Per fare alcuni esempi esemplificativi e non esaustivi, si potrebbe menzionare il fatto che in materia di diritto di accesso (art. 15 del GDPR), il diritto dell’interessato di ottenere una copia dei dati personali oggetto di trattamento non deve ledere i diritti e le libertà altrui o ad esempio causare un pregiudizio effettivo e concreto allo svolgimento di indagini difensive o all’esercizio di un diritto in sede giudiziaria (si veda anche artt. 2-undecies e 2-duodecies del D. lgs. n. 196/2003 e s.m.i.).
Sul punto, è utile precisare non solo come il Considerando 63 del GDPR ricomprenda tra i diritti e le libertà altrui (che non devono essere lesi) “il segreto industriale e aziendale e la proprietà intellettuale, segnatamente i diritti d’autore che tutelano il software” ma anche evidenziare come la stessa lesione debba essere concreta così come indicato dall’EDPB nelle Linee guida 1/2022 sui diritti degli interessati – Diritto di accesso[3]: “[…] Il titolare del trattamento dev’essere in grado di dimostrare che i diritti o le libertà altrui sarebbero lesi nella situazione concreta. L’applicazione dell’articolo 15, paragrafo 4, non dovrebbe portare a respingere totalmente la richiesta dell’interessato; dovrebbe portare soltanto a omettere o rendere illeggibili le parti che potrebbero ledere i diritti e le libertà altrui. […]”.
Portabilità e cancellazione tra i diritti previsti dal GDPR
La stessa previsione trova applicazione anche in materia di portabilità dei dati in cui viene sancito come il diritto dell’interessato “di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti a un titolare del trattamento e ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti da parte del titolare del trattamento cui li ha forniti” non deve ledere i diritti e le libertà altrui.
Tra l’altro l’esercizio di tale diritto è subordinato alla sussistenza di due requisiti normativi ossia “a) il trattamento si basi sul consenso ai sensi dell’articolo 6, paragrafo 1, lettera a), o dell’articolo 9, paragrafo 2, lettera a), o su un contratto ai sensi dell’articolo 6, paragrafo 1, lettera b); e b) il trattamento sia effettuato con mezzi automatizzati.”.
Ove non ci fossero tali requisiti di applicazione della norma, il Titolare può rifiutare di soddisfare la richiesta. Per fare un esempio con riferimento al trattamento relativo alla videosorveglianza, non è esercitabile il diritto alla portabilità dei dati di cui all’art. 20 GDPR in quanto il trattamento è effettuato tipicamente in funzione di un legittimo interesse del Titolare o di terzi. Inoltre, per questo trattamento e con riferimento alle immagini registrate, non è in concreto esercitabile altresì il diritto di aggiornamento o integrazione, nonché il diritto di rettifica di cui all’art. 16 del GDPR in considerazione della natura intrinseca dei dati (immagini raccolte in tempo reale riguardanti un fatto obiettivo).
Diritto alla cancellazione e processo decisionale automatizzato
Tra i vari esempi che si possono richiamare sul punto, è bene evidenziare anche il diritto alla cancellazione dei dati personali di cui all’art. 17 del GDPR. Anche in questo caso, tale diritto non è esercitabile a priori ma l’obbligo da parte del Titolare del trattamento sussiste se ricorrono uno dei motivi indicati al paragrafo 1, ossia: “a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati; b) l’interessato revoca il consenso su cui si basa il trattamento conformemente all’articolo 6, paragrafo 1, lettera a), o all’articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;
c) l’interessato si oppone al trattamento ai sensi dell’articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell’articolo 21, paragrafo 2; d) i dati personali sono stati trattati illecitamente; e) i dati personali devono essere cancellati per adempiere un obbligo giuridico previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento; f) i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione di cui all’articolo 8, paragrafo 1.”.
Inoltre, tale diritto non è esercitabile se sussistono i motivi di esclusione previsti al paragrafo 3 del medesimo articolo[4].
Lo stesso discorso per motivi differenti si potrebbe fare con riferimento all’art. 22 del GDPR in materia di “Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione” in cui vi sono casi analoghi di esclusione dell’applicazione del medesimo esercizio da parte dell’interessato.
E-mail aziendali e bilanciamento dei diritti privacy
Ad ogni modo, il bilanciamento degli interessi contrapposti, tra l’esercizio di un diritto in ambito privacy da parte dell’interessato e la valutazione da parte del Titolare di evadere o non ottemperare la richiesta, può risultare alquanto complesso e non sempre scontato. Uno dei casi che meglio spiegano il nocciolo della questione può essere quello delle richieste di esercizio del diritto di accesso da parte del dipendente alle e-mail aziendali: se da un lato le Linee guida del Garante per posta elettronica e internet (doc. web. 1387522) del marzo 2007[5] o la Corte di Cassazione[6], sono dell’avviso che la casella di posta elettronica rappresenta il domicilio informatico del dipendente, dall’altro lato ciò non significa che l’interessato abbia un diritto di accesso “illimitato” e che il Titolare non possa rifiutarsi di evadere la richiesta, laddove ne ricorrano i requisiti di legge.
Presidi organizzativi per gestire le richieste privacy
In conclusione, occorre che il Titolare abbia posto in essere gli opportuni presidi organizzativi, in termini di procedure interne volte a regolamentare l’esercizio dei diritti e di personale qualificato (es. ufficio privacy), coinvolgendo il dpo, al fine di gestire correttamente le richieste pervenute.
Note
[1] Basti pensare al Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024 o, in ambito nazionale, alla LEGGE 23 settembre 2025, n. 132. ↩
[2] https://www.edpb.europa.eu/documents/guideline/guidelines-052020-on-consent-under-regulation-2016679_it ↩
[3] https://www.edpb.europa.eu/system/files/documents/2024-04/edpb_guidelines_202201_data_subject_rights_access_v2_it.pdf ↩
[4] Si riporta il testo del paragrafo 3 dell’art. 17 del GDPR: “3. I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario: a) per l’esercizio del diritto alla libertà di espressione e di informazione; b) per l’adempimento di un obbligo giuridico che richieda il trattamento previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento; c) per motivi di interesse pubblico nel settore della sanità pubblica in conformità dell’articolo 9, paragrafo 2, lettere h) e i), e dell’articolo 9, paragrafo 3; d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all’articolo 89, paragrafo 1, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento; o e) per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.” ↩
[5] Le Linee guida del Garante per posta elettronica e internet (doc. web. 1387522) del marzo 2007, in materia di posta elettronica, prevedono che “Il contenuto dei messaggi di posta elettronica – come pure i dati esteriori delle comunicazioni e i file allegati – riguardano forme di corrispondenza assistite da garanzie di segretezza tutelate anche costituzionalmente, la cui ratio risiede nel proteggere il nucleo essenziale della dignità umana e il pieno sviluppo della personalità nelle formazioni sociali; un´ulteriore protezione deriva dalle norme penali a tutela dell´inviolabilità dei segreti (artt. 2 e 15 Cost.; Corte cost. 17 luglio 1998, n. 281 e 11 marzo 1993, n. 81; art. 616, quarto comma, c.p.; art. 49 Codice dell’amministrazione digitale)” ↩
[6] “([…] si veda in proposito Cass. 31.3.2016, n. 13057, laddove si afferma che qualora “siano attivate caselle di posta elettronica – protette da password personalizzate – a nome di uno specifico dipendente, quelle «caselle» rappresentano il domicilio informatico proprio del dipendente […]. La casella rappresenta uno «spazio» a disposizione – in via esclusiva – della persona, sicché la sua invasione costituisce, al contempo, lesione della riservatezza”). […].” ↩
Partecipa alla community