Il diritto di accesso ai dati personali è il più usato fra i diritti riconosciuti dal Regolamento, e anche il più sottovalutato da chi lo riceve. Arriva una email, spesso da un ex dipendente o da un cliente scontento, che chiede copia dei dati che lo riguardano. Finisce in fondo a una casella, qualcuno la gira a qualcun altro, e passano le settimane.
Quelle settimane sono il problema. Perché il termine è fissato dal Regolamento, e chi non lo rispetta consegna all’interessato un reclamo già pronto.
Il diritto di accesso ai dati personali: che cosa può chiedere l’interessato
L’articolo 15 del GDPR riconosce all’interessato il diritto di ottenere la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso, di accedere ai dati e a una serie di informazioni: le finalità, le categorie di dati, i destinatari o le categorie di destinatari, il periodo di conservazione previsto o i criteri per determinarlo, l’esistenza degli altri diritti, il diritto di proporre reclamo all’autorità di controllo, l’origine dei dati quando non raccolti presso l’interessato, l’esistenza di un processo decisionale automatizzato. È previsto inoltre il diritto di ottenere una copia dei dati.
Non è dunque una richiesta di documenti in senso proprio: è una richiesta sui dati e sul trattamento. Distinzione che, in concreto, ha conseguenze precise sul modo in cui si costruisce il riscontro.
Un mese, e la proroga va comunicata
L’articolo 12, paragrafo 3, stabilisce che il titolare fornisce all’interessato le informazioni relative all’azione intrapresa senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta.
Il termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. Ma la proroga non è automatica: il titolare deve informarne l’interessato entro un mese dal ricevimento della richiesta, motivando il ritardo.
Qui si consuma l’errore più diffuso. Si pensa di avere tre mesi, e si scopre che si avevano trenta giorni per dire che ne sarebbero serviti di più. Chi non comunica nulla non ha prorogato: è semplicemente in ritardo.
Il caso che vale la pena leggere
Con il provvedimento n. 413 del 10 luglio 2025 il Garante ha irrogato una sanzione di centomila euro a un istituto di credito per violazione degli articoli 12, paragrafi 3 e 4, e 15 del Regolamento: l’interessato aveva chiesto l’accesso a registrazioni telefoniche e non aveva ottenuto un riscontro tempestivo; i dati sono stati forniti soltanto dopo che era stato proposto reclamo all’Autorità.
Merita notare che cosa non c’era in quella vicenda. Non c’era una violazione di sicurezza, non c’era un trattamento illecito di dati sanitari, non c’era un uso improprio per finalità promozionali. C’era una richiesta rimasta senza risposta nei tempi dovuti. È bastato.
Perché il ritardo costa più di quanto sembri
Tre ragioni.
La prima è che la violazione è facilissima da provare: l’interessato ha la data della propria richiesta e la data — o l’assenza — del riscontro. Non serve una consulenza tecnica, serve un calendario.
La seconda è che l’articolo 15 rientra fra le disposizioni presidiate dallo scaglione più alto dell’articolo 83, paragrafo 5, che copre in particolare i diritti degli interessati di cui agli articoli da 12 a 22: fino a venti milioni di euro o al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.
La terza è che il riscontro, una volta finalmente preparato, espone tutto il resto. Per rispondere occorre dire quali dati si trattano, per quali finalità, per quanto tempo e a chi vengono comunicati: se il registro dei trattamenti non è aggiornato e i contenuti dell’informativa non corrispondono alla realtà, le incongruenze emergono proprio lì.
Come si gestisce una richiesta senza farsi male
Non serve una procedura complicata, serve che qualcuno la governi. I passaggi essenziali sono pochi.
- Registrare la data di ricezione. È da lì che decorre il mese, non da quando la richiesta arriva sulla scrivania giusta.
- Identificare il richiedente quando vi siano dubbi ragionevoli sulla sua identità, senza però trasformare la verifica in un ostacolo dilatorio.
- Circoscrivere l’oggetto, chiedendo all’interessato precisazioni se la richiesta è generica, fermo restando che la richiesta di chiarimenti non azzera il termine.
- Valutare i diritti dei terzi, perché il diritto di ottenere copia non deve ledere i diritti e le libertà altrui: è un bilanciamento che va motivato, non un pretesto per non rispondere.
- Rispondere per iscritto, anche quando la risposta è che non si trattano dati dell’interessato. Il silenzio non è mai un riscontro.
Vale poi una regola di prudenza: se la richiesta arriva da chi è o sta per essere in contenzioso con voi, il riscontro sarà letto da un avvocato. Prepararlo di corsa l’ultimo giorno è il modo migliore per consegnare argomenti alla controparte.
Se la richiesta è già scaduta
Capita, e capita spesso. In quel caso l’obiettivo non è più rispettare il termine, ma contenere le conseguenze: la condotta successiva del titolare, la cooperazione con l’Autorità e le misure adottate per evitare il ripetersi della situazione sono tra i criteri che l’articolo 83, paragrafo 2, impone di considerare nel determinare la sanzione.
Lo studio ha sede a Napoli, assiste aziende ed enti in tutta Italia nella gestione delle istanze degli interessati e nei procedimenti davanti all’Autorità, e svolge incarichi di responsabile della protezione dei dati; il tema della designazione del DPO esterno è trattato in un articolo dedicato. Per il contenzioso amministrativo e le altre materie il riferimento è avvocatoelioerrichiello.it.
Avete ricevuto una richiesta di accesso e non sapete come impostarla? Inviatecela dalla pagina contatti, indicando la data di ricezione: la esamineremo in via preliminare insieme ai termini e vi diremo come va costruito il riscontro.
Avv. Elio Errichiello
