Un modello di riscontro a una richiesta di accesso serve a comunicare l’esito di verifiche già svolte. Non può sostituire la ricerca dei dati, la valutazione delle informazioni dovute o la protezione delle altre persone coinvolte. La risposta deve permettere all’interessato di capire se vengono trattati dati che lo riguardano, riceverne una copia e conoscere gli elementi previsti dall’articolo 15 del GDPR. Un semplice rinvio all’informativa generale raramente descrive tutto ciò che occorre.
Questa guida propone un percorso operativo e testi adattabili per accoglimento, proroga e mancato accoglimento ordinario. I campi tra parentesi devono essere compilati sulla base del caso concreto e le alternative non pertinenti eliminate. I modelli non sono pensati per automatizzare limitazioni speciali previste dalla legge: quelle richiedono una valutazione dedicata, anche sui rimedi da indicare e sulle informazioni che possono essere comunicate.
Riconoscere la richiesta e fissare la data di ricezione
La persona non deve necessariamente citare il GDPR o utilizzare il modulo aziendale. Una comunicazione che chiede quali dati personali siano conservati può costituire esercizio del diritto di accesso. Formate quindi chi riceve messaggi nell’assistenza, negli uffici e nei canali normalmente utilizzati. L’inoltro interno al referente privacy deve avvenire tempestivamente: il termine non comincia quando il referente apre il fascicolo o assegna un numero di protocollo.
Registrate la data di ricezione, il contenuto originale, il canale e le eventuali precisazioni. Se una richiesta riguarda più diritti, distinguete le diverse azioni senza costringere la persona a ricominciare. L’accesso non coincide con la portabilità dei dati, che ha condizioni proprie; non coincide neppure con il diritto alla cancellazione. Una domanda di copia non autorizza a cancellare i dati subito dopo l’invio.
Individuate il titolare competente. Se il destinatario opera soltanto come responsabile per conto di un cliente, deve assistere il titolare secondo gli obblighi applicabili e le istruzioni ricevute, evitando di decidere autonomamente l’esito. All’interno del titolare, definite chi coordina le ricerche, chi valuta eventuali limiti e chi approva il riscontro. Il DPO o RPD può fornire consulenza, ma non assorbe tutte le responsabilità operative.
Verificare l’identità senza raccogliere documenti inutili
Una verifica adeguata evita di consegnare dati alla persona sbagliata. Non significa chiedere automaticamente una copia integrale del documento a ogni richiedente. L’articolo 12, paragrafo 6, consente informazioni aggiuntive quando esistono ragionevoli dubbi sull’identità e nella misura necessaria a confermarla. Un account autenticato o elementi già conosciuti possono essere sufficienti, a seconda delle circostanze e della sensibilità dei dati richiesti.
Se è necessaria un’integrazione, spiegate quale dubbio va risolto e proponete un mezzo proporzionato. Non chiedete un nuovo dato sensibile soltanto perché il modello interno contiene quel campo. Quando interviene un rappresentante, verificate anche il potere di agire e il perimetro della delega. La verifica dell’identità del rappresentante, da sola, non dimostra che possa ricevere tutti i dati dell’interessato.
Le Linee guida EDPB 01/2022 sull’accesso, nella versione finale, ammettono la sospensione del termine mentre si attendono informazioni aggiuntive necessarie per l’identificazione. Non è una pausa automatica a ogni richiesta né un modo per rinviare indefinitamente il riscontro. Chiedete l’integrazione senza ritardi evitabili, documentate il periodo e riprendete il conteggio correttamente; intanto svolgete le attività che non dipendono dall’identificazione.
Calcolare il termine e motivare una proroga reale
Il riscontro va fornito senza ingiustificato ritardo e, ordinariamente, entro un mese dalla ricezione. Un mese non equivale sempre a trenta giorni: impostate lo scadenziario sul termine di calendario applicabile. L’articolo 12 permette una proroga fino a due ulteriori mesi quando necessaria, considerando complessità e numero delle richieste. Non attribuisce un termine ordinario di tre mesi a tutte le organizzazioni o a tutte le domande.
La proroga deve essere comunicata entro il primo mese con le ragioni del ritardo. Descrivete la difficoltà concreta, per esempio la necessità di coordinare fonti numerose e valutare documenti che coinvolgono altri interessati. Una formula generica sul carico di lavoro non spiega perché quella specifica richiesta richieda più tempo. Indicate una data coerente con la proroga effettivamente necessaria e organizzate le attività per rispettarla.
Una conferma di ricezione è utile, ma non costituisce il riscontro completo. Allo stesso modo, l’invio di una prima parte dei dati non consente di dimenticare ciò che manca. Se organizzate una consegna per fasi, spiegate con chiarezza il contenuto di ciascuna fase e mantenete il controllo sul termine. Non presentate come completa una risposta mentre sono ancora aperte ricerche rilevanti.
Cercare i dati nelle fonti pertinenti
Il registro dei trattamenti aiuta a individuare sistemi, reparti e fornitori, ma non contiene necessariamente i dati da consegnare. Traducete la richiesta in ricerche documentate, usando identificativi affidabili e considerando eventuali cambi di nome, indirizzo o numero cliente. Una sola interrogazione del gestionale principale può non trovare comunicazioni, registrazioni o valutazioni conservate in archivi distinti.
Coinvolgete i responsabili del trattamento quando detengono informazioni per conto del titolare. Chiarite i tempi interni in modo da lasciare spazio alla revisione e alla consegna. Non chiedete ai reparti di inoltrare indiscriminatamente intere caselle di posta: definite ricerche pertinenti e una selezione controllata. Il lavoro deve essere sufficientemente ampio da soddisfare la richiesta senza creare una nuova diffusione non necessaria di dati.
La persona non deve motivare perché desidera accedere ai propri dati. Una possibile controversia non rende automaticamente abusiva la richiesta. Anche valutazioni e opinioni possono essere dati personali quando riguardano l’interessato. Distinguete questo aspetto dall’eventuale presenza di limiti specifici, che vanno provati e applicati al contenuto effettivo, non all’atteggiamento che l’organizzazione attribuisce al richiedente.
Preparare una copia intelligibile e informazioni individualizzate
La risposta positiva deve contenere i dati personali, non soltanto un elenco delle loro categorie. Aggiungete le finalità, i destinatari, la conservazione prevista o i criteri usati, i diritti pertinenti e la possibilità di reclamo. Se i dati non sono stati raccolti presso l’interessato, fornite le informazioni disponibili sull’origine. Trattate anche l’eventuale processo decisionale automatizzato nei casi previsti dall’articolo 15, con informazioni significative su logica, importanza e conseguenze previste.
Per i destinatari, la Corte di giustizia nella causa C-154/21 ha chiarito il diritto a conoscere i destinatari effettivi, salvo le condizioni che consentono di indicare soltanto categorie. Non scegliete categorie vaghe per comodità se i soggetti sono identificabili. Per trasferimenti a paesi terzi o organizzazioni internazionali, l’articolo 15, paragrafo 2, richiede informazioni sulle garanzie adeguate previste dall’articolo 46. La risposta deve descrivere ciò che riguarda il caso, non ogni scenario teoricamente possibile.
La sentenza C-487/21 sulla copia dei dati chiarisce che la copia deve riprodurre i dati in modo fedele e intelligibile. Estratti o documenti interi possono essere necessari quando il contesto è essenziale per comprendere i dati ed esercitare i diritti. Non ne deriva un diritto incondizionato a ogni documento aziendale, ma nemmeno la possibilità di sostituire sempre la copia con un riepilogo privo di contesto.
Spiegate codici, abbreviazioni e campi tecnici che altrimenti renderebbero l’esportazione incomprensibile. Se la richiesta è elettronica, salvo diversa indicazione dell’interessato, il GDPR prevede un formato elettronico di uso comune. Un’area riservata può essere una modalità utile, purché realmente accessibile e idonea a fornire il contenuto dovuto. Non obbligate la persona ad acquistare un software o ad aprire un nuovo rapporto commerciale per leggere la risposta.
Proteggere terzi senza negare l’intero accesso
Il diritto alla copia non deve ledere diritti e libertà altrui. Questa regola richiede una valutazione, non un oscuramento automatico di qualsiasi nome diverso da quello del richiedente. In un messaggio condiviso, identificate quale parte riguarda la persona e quale informazione potrebbe arrecare un pregiudizio concreto a un terzo. Valutate estrazione, oscuramento mirato o spiegazione del contesto prima di rifiutare integralmente il contenuto.
Un riferimento generico a riservatezza aziendale non dimostra che tutti i dati siano sottratti all’accesso. Quando una parte viene esclusa, registrate internamente il motivo, la norma e le alternative considerate. La risposta deve restare comprensibile dopo gli oscuramenti. Un file quasi completamente nero, senza spiegazione utile, può impedire di verificare se la limitazione sia stata applicata correttamente.
Il provvedimento del Garante del 17 luglio 2025 richiama l’obbligo di motivare tempestivamente anche il mancato accoglimento parziale ai sensi dell’articolo 15, paragrafo 4. Nell’ordinario regime dell’articolo 12, paragrafo 4, occorre informare senza ritardo e al più tardi entro un mese dei motivi, della possibilità di reclamo e del ricorso giurisdizionale. Non basta allegare i dati rimanenti lasciando inspiegate omissioni sostanziali.
Distinguere il diniego ordinario dalle limitazioni speciali italiane
L’articolo 12, paragrafo 5, permette un contributo spese ragionevole o il rifiuto in caso di richieste manifestamente infondate o eccessive, in particolare per il carattere ripetitivo. Il titolare deve dimostrare tali condizioni. Una richiesta ampia, scomoda o presentata da una persona in conflitto con l’organizzazione non soddisfa automaticamente la soglia. La prima copia è normalmente gratuita; per ulteriori copie richieste il distinto articolo 15, paragrafo 3, consente un contributo ragionevole basato sui costi amministrativi.
Il Codice privacy italiano prevede inoltre limitazioni specifiche. L’articolo 2-undecies riguarda situazioni nelle quali l’esercizio dei diritti può causare un pregiudizio effettivo e concreto a interessi protetti dalla norma, fra cui, alle condizioni previste, investigazioni difensive o esercizio di un diritto in giudizio. La sola esistenza di una lite non giustifica quindi un blocco generale. Durata e ampiezza della limitazione devono essere necessarie e proporzionate.
In questi casi occorre verificare anche il regime dei rimedi. L’articolo 2-undecies contempla, nei casi previsti, l’esercizio tramite il Garante secondo l’articolo 160, con le informazioni dovute sulle verifiche e sulla tutela giurisdizionale; non va confuso con il normale reclamo diretto dell’articolo 77 per il diritto limitato. La comunicazione motivata senza ritardo conosce una specifica eccezione quando essa stessa può compromettere la finalità della limitazione. Non applicate meccanicamente il modello ordinario sotto riportato a questi casi speciali.
Modello di risposta positiva da adattare
Prima di utilizzare il testo, completate l’allegato con i dati effettivi e verificate ogni voce informativa. Se una voce non ricorre, spiegatelo solo dopo averlo accertato. Il modello non sostituisce la documentazione che consente alla persona di comprendere la risposta. Non lasciate campi vuoti o formule alternative che descrivano contemporaneamente situazioni incompatibili.
Oggetto: Riscontro alla richiesta di accesso ricevuta il [data]
Riferimento: [identificativo]
Gentile [nome],
[denominazione del titolare, recapito] conferma che tratta dati personali
che La riguardano. Alleghiamo [elenco dei file e descrizione del contenuto],
contenenti una copia intelligibile dei dati oggetto della richiesta.
Le finalità del trattamento sono [finalità pertinenti]. Le categorie di dati
sono [categorie]. I destinatari dei dati sono [destinatari effettivi;
se ricorrono le condizioni per sole categorie, categorie e motivazione].
Il periodo di conservazione è [periodi distinti per dati/finalità], oppure
è determinato mediante [criteri specifici, se il periodo non è indicabile].
Per i dati non raccolti presso di Lei, le informazioni disponibili sulla
loro origine sono [informazioni].
[Se applicabile] I dati sono trasferiti a [paese/organizzazione].
Le garanzie adeguate dell'articolo 46 sono [descrizione e informazioni].
[Descrivere l'eventuale processo decisionale automatizzato, inclusa
profilazione, nei casi dell'articolo 22: logica significativa, importanza
e conseguenze previste; oppure indicare l'assenza, se verificata.]
Può chiedere al titolare la rettifica o la cancellazione dei dati, la
limitazione del trattamento oppure opporsi, alle condizioni previste
dal GDPR, utilizzando [contatto]. Può proporre reclamo al Garante per
la protezione dei dati personali (www.garanteprivacy.it), o ad altra
autorità competente ai sensi dell'articolo 77 del GDPR.
[Eventuali esclusioni parziali: descrizione, motivazione specifica e norma;
indicare anche il rimedio giurisdizionale previsto dall'articolo 79.]
Per chiarimenti sui file o sul riscontro può contattare [recapito].
[Data, funzione e sottoscrizione]
Modelli per proroga e mancato accoglimento ordinario
La proroga richiede un motivo effettivo e una nuova scadenza corretta. Il diniego ordinario richiede invece una decisione sul perché non si dà seguito, anche solo in parte, alla domanda. Non mescolate le due comunicazioni: dire che servono verifiche ulteriori non equivale a motivare un rifiuto. Se il contenuto cambia durante l’istruttoria, aggiornate la decisione e la comunicazione in modo coerente.
PROROGA
Oggetto: Richiesta di accesso ricevuta il [data] — proroga del termine
La richiesta presenta [ragioni concrete relative a complessità/numero].
È necessario svolgere [attività pertinenti]. Ai sensi dell'articolo 12,
paragrafo 3, del GDPR, il termine è prorogato di [periodo necessario,
non superiore a due ulteriori mesi]. Forniremo riscontro entro [data].
Per comunicazioni sulla richiesta: [contatto].
[Data e funzione]
MANCATO ACCOGLIMENTO ORDINARIO, TOTALE O PARZIALE
Oggetto: Riscontro alla richiesta ricevuta il [data]
Non diamo seguito a [parte precisa della richiesta] per [fatti e ragioni
specifiche], ai sensi di [norma applicabile]. Abbiamo valutato [alternative]
e [spiegazione del perché non consentono di soddisfare questa parte].
[Eventuale parte accolta e relativi allegati.]
Può proporre reclamo al Garante per la protezione dei dati personali,
secondo le indicazioni su www.garanteprivacy.it, o ad altra autorità
competente ai sensi dell'articolo 77 del GDPR. Può inoltre proporre
ricorso giurisdizionale ai sensi dell'articolo 79 del GDPR.
Per chiarimenti: [contatto del titolare].
[Data e funzione]
Esempio operativo: richiesta di un ex cliente
Immaginate che un ex cliente chieda la copia dei dati relativi al proprio abbonamento. Il gestionale contiene anagrafica e pagamenti, mentre l’assistenza conserva messaggi e una valutazione interna su un reclamo. Il referente coordina entrambe le fonti e verifica se i fornitori detengono ulteriori dati per conto del titolare. Non esclude la valutazione solo perché è interna: ne esamina il contenuto e l’eventuale necessità di proteggere informazioni di terzi.
Prima dell’invio, il referente confronta i dati raccolti con la descrizione nella lettera. Se il messaggio afferma che non esistono destinatari esterni ma il servizio ha comunicato dati a un fornitore, la risposta va corretta. Se una registrazione non è più conservata, non bisogna inventarne il contenuto: si descrive l’esito delle verifiche pertinente alla richiesta. Il caso mostra perché il controllo finale deve riguardare insieme dati, informazioni e motivazioni, non soltanto la presenza di una firma sul modello.
Controllare consegna e chiusura del fascicolo
Prima dell’invio, fate controllare destinatario, allegati, oscuramenti e corrispondenza tra lettera e contenuto. Una risposta giuridicamente accurata inviata a un indirizzo errato può creare un ulteriore problema di protezione dei dati. Scegliete una modalità di consegna adeguata al rischio, senza imporre ostacoli sproporzionati. Se usate un collegamento temporaneo, date un tempo ragionevole e una procedura per segnalare difficoltà di accesso.
Conservate prova della risposta e delle verifiche in un fascicolo con accessi limitati e durata motivata. Non serve duplicare per sempre tutti i dati consegnati se altri elementi consentono di dimostrare l’adempimento. Nella valutazione di strumenti per la conformità, controllate gestione delle scadenze, tracciabilità e possibilità di revisione umana, senza presumere che l’automazione renda corretta ogni decisione.
Domande frequenti
Possiamo rispondere soltanto con il collegamento all’informativa?
L’informativa può accompagnare il riscontro, ma non sostituisce la conferma individuale, la copia dei dati e le informazioni pertinenti dell’articolo 15. Verificate ciò che la persona può effettivamente ottenere dal collegamento. Se sono disponibili soltanto descrizioni generali delle categorie trattate, la richiesta di accesso non è stata soddisfatta integralmente.
Se non troviamo dati, dobbiamo comunque rispondere?
Sì. Dopo ricerche adeguate, comunicate che non risulta in corso un trattamento di dati personali riferibili al richiedente nell’ambito verificato. Non usate questa formula quando la ricerca è ancora incompleta o quando manca soltanto un identificativo necessario. Spiegate eventuali precisazioni utili senza invitare a trasmettere informazioni eccedenti rispetto a ciò che serve.
Possiamo chiedere sempre il documento e fermare il termine?
No. Servono ragionevoli dubbi e informazioni aggiuntive necessarie, richieste tempestivamente e in modo proporzionato. La sospensione ammessa dalle linee guida non costituisce una fase obbligatoria per ogni domanda. La guida al Garante e ai diritti aiuta a distinguere la gestione interna della richiesta dagli eventuali rimedi successivi davanti all’autorità.