L’articolo 12 GDPR stabilisce come rendere comprensibili le informazioni e come facilitare l’esercizio dei diritti. Per un’organizzazione, questo significa predisporre canali riconoscibili, personale capace di individuare una richiesta, verifica proporzionata dell’identità, scadenze controllate e risposte che spieghino davvero l’esito. Pubblicare un indirizzo email senza organizzare ciò che succede dopo non basta.
La regola generale del GDPR è fornire riscontro senza ingiustificato ritardo e comunque entro un mese dalla ricezione delle richieste previste dagli articoli da 15 a 22. Nei casi necessari, considerando complessità e numero delle richieste, il termine può essere prorogato di due mesi, informando l’interessato entro il primo mese e spiegando il motivo. Una proroga automatica per ogni pratica non corrisponde alla norma.
Riconoscere il diritto anche senza il nome dell’articolo
Una persona può scrivere «quali informazioni conservate su di me?», «il mio indirizzo è sbagliato» oppure «non chiamatemi più». Il personale non deve pretendere che citi il GDPR o compili un modulo speciale per riconoscere la richiesta. La classificazione interna serve a instradare il lavoro, non a creare una barriera.
Un messaggio può contenere più richieste: copia dei dati, rettifica e opposizione al marketing. Registrarle separatamente quando richiedono azioni diverse, mantenendo una vista unica della comunicazione. La guida al diritto di rettifica descrive la correzione e l’avviso ai destinatari; quella sull’opposizione al marketing aiuta a eseguire lo stop promozionale senza attendere inutilmente la chiusura di tutto il fascicolo.
Formare anche reception, assistenza e commerciale. Una richiesta inviata al referente abituale non dovrebbe rimanere ferma perché non è arrivata alla casella privacy. Definire un inoltro interno rapido e conservare la data di ricezione originaria.
Rendere accessibili informazioni e canali
L’articolo 12 richiede forma concisa, trasparente, intelligibile e facilmente accessibile, con linguaggio semplice e chiaro. La presentazione deve essere adeguata ai destinatari, con particolare attenzione alle informazioni rivolte ai minori. Un testo formalmente completo può fallire se è nascosto, incomprensibile o inutilizzabile sul dispositivo impiegato dalla persona.
Le linee guida sulla trasparenza WP260 rev.01 aiutano a costruire una presentazione a livelli. Il primo livello deve mostrare gli elementi essenziali e condurre facilmente alle informazioni complete. Non dovrebbe promettere un uso ristretto mentre il secondo livello introduce trattamenti inattesi e molto più ampi.
Controllare link, allegati, lettura da mobile e accessibilità del modulo. Prevedere assistenza quando il destinatario non può utilizzare il canale digitale. Un campo obbligatorio per il numero cliente non deve impedire una richiesta a chi non ha mai avuto un account ma compare in una lista ottenuta da terzi.
Verificare l’identità in modo proporzionato
Quando esistono ragionevoli dubbi sull’identità, l’articolo 12, paragrafo 6, consente di chiedere ulteriori informazioni necessarie a confermarla. Questo non equivale a imporre una copia del documento a ogni richiedente. Valutare il contesto, il canale già autenticato, i dati da consegnare e il rischio di comunicarli a un’altra persona.
Un cambio di email accompagnato dalla richiesta di un fascicolo sanitario richiede una cautela diversa da un’opposizione proveniente dall’indirizzo che riceve la newsletter. La verifica deve essere sufficiente e mirata. Se si raccoglie un documento, limitarne contenuto, accessi e conservazione secondo la necessità effettiva.
Applicare la minimizzazione anche al procedimento dei diritti. Chiedere nuove informazioni sensibili per rispondere a una richiesta ordinaria può aumentare il rischio invece di ridurlo. Documentare la ragione della verifica e il suo esito, evitando di conservare copie superflue per abitudine.
Aprire un fascicolo con tempi e responsabilità
Nelle amministrazioni pubbliche, qualificate separatamente una richiesta di accesso civico generalizzato: chiedere documenti dell’ente non equivale a esercitare il diritto di accesso ai propri dati. Il procedimento competente determina verifiche e termini.
Il registro operativo delle richieste dovrebbe indicare ricezione, contenuto, identità verificata quando necessario, responsabile, sistemi da consultare, destinatari esterni coinvolti, scadenza e stato. Non confonderlo con il registro delle attività di trattamento: descrive pratiche individuali e richiede accessi più ristretti.
| Fase | Responsabile dell’esempio | Evidenza utile |
|---|---|---|
| Ricezione | Assistenza | Messaggio originale e data |
| Qualificazione | Referente diritti | Diritti individuati e ambito |
| Ricerca | Responsabili dei sistemi | Fonti consultate e risultati |
| Decisione | Funzione competente del titolare | Esito e motivazione |
| Invio | Referente della pratica | Versione inviata e canale |
| Chiusura | Responsabile della pratica | Azioni completate e questioni residue |
Questa distribuzione va adattata alla struttura. Il DPO può consigliare e sorvegliare, ma la sua indipendenza deve essere compatibile con i compiti assegnati. Non attribuirgli automaticamente ogni decisione operativa soltanto perché conosce la normativa.
Usare correttamente proroga, diniego e contributo spese
La proroga richiede una ragione collegata a complessità o numero delle richieste e una comunicazione tempestiva entro il primo mese. Identificare l’ostacolo concreto: archivi distribuiti, necessità di esaminare diritti di terzi o volume effettivo. «Siamo impegnati» non descrive da solo le condizioni della norma.
Se il titolare non dà seguito alla richiesta, deve informare la persona senza ritardo e al più tardi entro un mese, indicando motivi e possibilità di proporre reclamo all’autorità e ricorso giurisdizionale. Una risposta «non possiamo per privacy» non spiega quale limite si applichi.
Le richieste sono in via ordinaria gratuite. Per quelle manifestamente infondate o eccessive, in particolare per carattere ripetitivo, l’articolo 12, paragrafo 5, consente nei suoi presupposti un contributo ragionevole basato sui costi amministrativi oppure il rifiuto. L’onere di dimostrare quel carattere spetta al titolare. Una persona insistente o critica non è per questo titolare di una richiesta eccessiva. La guida EDPB ai diritti riepiloga queste condizioni.
Un esempio di risposta coordinata
Un cliente ipotetico scrive all’assistenza chiedendo di correggere il recapito, sapere quali dati siano conservati e interrompere le promozioni. L’assistenza registra il messaggio nello stesso giorno. Il referente diritti distingue rettifica, accesso e opposizione e verifica l’identità attraverso il canale già autenticato, senza richiedere automaticamente un documento.
Il blocco promozionale viene applicato nel sistema delle campagne e comunicato al fornitore interessato. Il recapito viene corretto nel sistema principale e la correzione viene propagata secondo la procedura pertinente. La ricerca dei dati prosegue sulle fonti individuate nella mappatura dei flussi.
La risposta finale spiega separatamente le tre azioni, indica la data della correzione e dello stop, consegna le informazioni di accesso richieste e chiarisce eventuali limiti motivati. Non usa la complessità della ricerca per mantenere attive le promozioni nel frattempo. Nel fascicolo restano prove dei passaggi e della consegna.
Non confondere i tempi delle richieste con quelli delle informative
Il mese previsto per rispondere ai diritti non diventa un termine generale per qualsiasi obbligo di trasparenza. Nella raccolta diretta, l’articolo 13 prevede l’informazione al momento della raccolta. Per i dati ottenuti da terzi, l’articolo 14 segue un calendario diverso, con anticipazioni legate alla prima comunicazione e alla comunicazione a un destinatario.
Anche l’avviso relativo a una violazione segue regole proprie. La comunicazione del data breach agli interessati non va messa nella coda mensile delle richieste ordinarie. Il sistema di gestione deve riconoscere questi eventi e assegnare priorità e percorsi adeguati.
Verificare il procedimento con una richiesta simulata
Inviare una richiesta sintetica da un canale ordinario e seguirla fino alla risposta. Verificare che il personale la riconosca, che la data sia corretta, che i sistemi siano individuati e che l’allegato finale appartenga alla persona giusta. Il controllo deve includere assenze, caselle non presidiate e sostituzioni del referente.
L’accountability richiede prove dell’attuazione: un modello di risposta approvato non dimostra che i reparti rispondano in tempo. Registrare gli errori del collaudo, correggere il percorso e riprovare il passaggio che non ha funzionato. Un processo comprensibile al personale rende più probabile una risposta comprensibile anche alla persona che esercita il diritto.