Arriva una mail. Poche righe, nessun formalismo: «chiedo la cancellazione dei miei dati». Chi la riceve, in azienda o in un ufficio pubblico, spesso non sa che quella mail ha appena fatto partire un orologio. Il diritto alla cancellazione dei dati previsto dall’articolo 17 del GDPR è uno dei diritti più esercitati e, insieme, uno di quelli su cui le organizzazioni inciampano con maggiore regolarità, non perché rifiutino di cancellare, ma perché gestiscono male la risposta.
Diritto alla cancellazione dei dati: quando spetta e quando no
L’articolo 17 non attribuisce un potere assoluto di far sparire la propria presenza dagli archivi altrui. Elenca invece le ipotesi in cui la cancellazione è dovuta: fra le altre, quando i dati non sono più necessari rispetto alle finalità per cui erano stati raccolti, quando il consenso su cui si fondava il trattamento è stato revocato e non sussiste altro fondamento, quando l’interessato si oppone al trattamento e non prevalgono motivi legittimi cogenti, quando i dati sono stati trattati illecitamente.
Lo stesso articolo prevede però eccezioni rilevanti: il trattamento necessario per l’adempimento di un obbligo legale, per l’esecuzione di un compito di interesse pubblico, per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria. È il motivo per cui un’azienda non può cancellare una fattura perché il cliente lo chiede, e un ente non può eliminare un atto dal proprio archivio documentale su semplice richiesta.
Il diritto alla cancellazione dei dati, in altre parole, richiede una valutazione per ciascun trattamento. Ed è qui che si apre il problema vero.
Che cosa viene contestato: quasi mai il rifiuto, quasi sempre il modo
Nelle istruttorie dell’Autorità la contestazione raramente riguarda il merito della decisione. Riguarda il come.
- Il silenzio. La richiesta non riceve risposta. È la violazione più semplice da accertare e la più difficile da giustificare.
- Il ritardo. Il Regolamento fissa un termine di un mese, prorogabile di due mesi in casi di particolare complessità, ma a condizione che la proroga sia comunicata all’interessato entro il primo mese e motivata. La proroga tacita non esiste.
- La risposta senza motivazione. Un «non è possibile procedere» privo di riferimenti normativi equivale, nella sostanza, a un mancato riscontro.
- La cancellazione parziale. I dati spariscono dal gestionale principale ma restano nei backup consultabili, nelle liste di marketing, nei fogli di calcolo locali, nelle caselle di posta, presso i fornitori.
- La mancata informazione ai terzi. Quando i dati sono stati comunicati ad altri soggetti, il titolare deve informarli della richiesta, salvo che ciò risulti impossibile o comporti uno sforzo sproporzionato.
- L’identificazione usata come ostacolo. Chiedere all’interessato documenti sproporzionati per verificarne l’identità è, in sé, una modalità di riscontro contestabile.
Dinamiche analoghe si osservano sul diritto di accesso, di cui lo studio si è occupato nell’articolo sul riscontro alle richieste ai sensi dell’articolo 15.
Il nodo tecnico: dove sono davvero i dati
La ragione per cui tante risposte risultano incomplete non è la malafede, è la frammentazione. In un’organizzazione di dimensioni anche modeste gli stessi dati vivono contemporaneamente nel CRM, nel sistema di fatturazione, nella piattaforma di email marketing, nel centralino, nel sistema di ticketing, nelle caselle di posta di più persone, nei dispositivi mobili, nei backup e presso una serie di fornitori esterni.
Un’organizzazione che non ha una mappa affidabile dei propri trattamenti non è in grado di dare una risposta completa, e questo spiega perché il registro dei trattamenti – percepito come un adempimento burocratico – sia invece lo strumento che determina la qualità delle risposte. Il tema è approfondito nell’articolo su che cosa il Garante chiede quando esamina il registro dei trattamenti; strettamente collegato è quello dei tempi di conservazione, perché un dato che avrebbe dovuto essere eliminato tempo prima rende ogni richiesta di cancellazione un problema.
Quanto pesa un riscontro sbagliato
Le violazioni dei diritti degli interessati rientrano nella fascia più severa dell’articolo 83, paragrafo 5, del GDPR: fino a venti milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo. La misura concreta dipende da gravità, durata, numero di interessati coinvolti, grado di cooperazione con l’Autorità e carattere doloso o colposo della condotta.
C’è però un aspetto che conta più della cifra. Una richiesta gestita male è il tipico innesco di un’istruttoria che poi si allarga: l’Autorità chiede conto di quel riscontro e, nel farlo, chiede l’informativa, il registro, i contratti con i fornitori, le misure di sicurezza. Una contestazione nata da una mail di tre righe finisce per riguardare l’intero assetto dell’organizzazione.
Le richieste si gestiscono prima che arrivino
La differenza tra un’organizzazione che risponde bene e una che risponde male non si vede nel momento in cui la richiesta arriva: si è decisa molto prima, quando qualcuno ha stabilito chi riceve queste richieste, chi le valuta, entro quanto e con quale documentazione. Chi improvvisa, sbaglia; e lo sbaglio resta scritto.
Lo studio dell’avv. Elio Errichiello assiste aziende ed enti pubblici in materia di protezione dei dati, con sede a Napoli e attività in tutta Italia, e ricopre incarichi di responsabile della protezione dei dati. Il panorama delle contestazioni più frequenti è descritto nell’articolo su contestazioni e sanzioni in materia di privacy, e il servizio è illustrato nella pagina dedicata alla consulenza privacy e protezione dei dati personali. L’attività forense dello studio è presentata su avvocatoelioerrichiello.it.
Avete ricevuto una richiesta di cancellazione e il termine sta per scadere? Scrivete allo studio allegando la richiesta: il primo passaggio è un esame preliminare della documentazione e dei termini ancora disponibili.
Avv. Elio Errichiello
