Categoria: Adempimenti GDPR

Il diritto di accesso ai dati personali è il più usato fra i diritti riconosciuti dal Regolamento, e anche il più sottovalutato da chi lo riceve. Arriva una email, spesso da un ex dipendente o da un cliente scontento, che chiede copia dei dati che lo riguardano. Finisce in fondo a una casella, qualcuno la gira a qualcun altro, e passano le settimane.

Quelle settimane sono il problema. Perché il termine è fissato dal Regolamento, e chi non lo rispetta consegna all’interessato un reclamo già pronto.

Il diritto di accesso ai dati personali: che cosa può chiedere l’interessato

L’articolo 15 del GDPR riconosce all’interessato il diritto di ottenere la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso, di accedere ai dati e a una serie di informazioni: le finalità, le categorie di dati, i destinatari o le categorie di destinatari, il periodo di conservazione previsto o i criteri per determinarlo, l’esistenza degli altri diritti, il diritto di proporre reclamo all’autorità di controllo, l’origine dei dati quando non raccolti presso l’interessato, l’esistenza di un processo decisionale automatizzato. È previsto inoltre il diritto di ottenere una copia dei dati.

Non è dunque una richiesta di documenti in senso proprio: è una richiesta sui dati e sul trattamento. Distinzione che, in concreto, ha conseguenze precise sul modo in cui si costruisce il riscontro.

Un mese, e la proroga va comunicata

L’articolo 12, paragrafo 3, stabilisce che il titolare fornisce all’interessato le informazioni relative all’azione intrapresa senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta.

Il termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. Ma la proroga non è automatica: il titolare deve informarne l’interessato entro un mese dal ricevimento della richiesta, motivando il ritardo.

Qui si consuma l’errore più diffuso. Si pensa di avere tre mesi, e si scopre che si avevano trenta giorni per dire che ne sarebbero serviti di più. Chi non comunica nulla non ha prorogato: è semplicemente in ritardo.

Il caso che vale la pena leggere

Con il provvedimento n. 413 del 10 luglio 2025 il Garante ha irrogato una sanzione di centomila euro a un istituto di credito per violazione degli articoli 12, paragrafi 3 e 4, e 15 del Regolamento: l’interessato aveva chiesto l’accesso a registrazioni telefoniche e non aveva ottenuto un riscontro tempestivo; i dati sono stati forniti soltanto dopo che era stato proposto reclamo all’Autorità.

Merita notare che cosa non c’era in quella vicenda. Non c’era una violazione di sicurezza, non c’era un trattamento illecito di dati sanitari, non c’era un uso improprio per finalità promozionali. C’era una richiesta rimasta senza risposta nei tempi dovuti. È bastato.

Perché il ritardo costa più di quanto sembri

Tre ragioni.

La prima è che la violazione è facilissima da provare: l’interessato ha la data della propria richiesta e la data — o l’assenza — del riscontro. Non serve una consulenza tecnica, serve un calendario.

La seconda è che l’articolo 15 rientra fra le disposizioni presidiate dallo scaglione più alto dell’articolo 83, paragrafo 5, che copre in particolare i diritti degli interessati di cui agli articoli da 12 a 22: fino a venti milioni di euro o al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.

La terza è che il riscontro, una volta finalmente preparato, espone tutto il resto. Per rispondere occorre dire quali dati si trattano, per quali finalità, per quanto tempo e a chi vengono comunicati: se il registro dei trattamenti non è aggiornato e i contenuti dell’informativa non corrispondono alla realtà, le incongruenze emergono proprio lì.

Come si gestisce una richiesta senza farsi male

Non serve una procedura complicata, serve che qualcuno la governi. I passaggi essenziali sono pochi.

• Registrare la data di ricezione. È da lì che decorre il mese, non da quando la richiesta arriva sulla scrivania giusta.
• Identificare il richiedente quando vi siano dubbi ragionevoli sulla sua identità, senza però trasformare la verifica in un ostacolo dilatorio.
• Circoscrivere l’oggetto, chiedendo all’interessato precisazioni se la richiesta è generica, fermo restando che la richiesta di chiarimenti non azzera il termine.
• Valutare i diritti dei terzi, perché il diritto di ottenere copia non deve ledere i diritti e le libertà altrui: è un bilanciamento che va motivato, non un pretesto per non rispondere.
• Rispondere per iscritto, anche quando la risposta è che non si trattano dati dell’interessato. Il silenzio non è mai un riscontro.

Vale poi una regola di prudenza: se la richiesta arriva da chi è o sta per essere in contenzioso con voi, il riscontro sarà letto da un avvocato. Prepararlo di corsa l’ultimo giorno è il modo migliore per consegnare argomenti alla controparte.

Se la richiesta è già scaduta

Capita, e capita spesso. In quel caso l’obiettivo non è più rispettare il termine, ma contenere le conseguenze: la condotta successiva del titolare, la cooperazione con l’Autorità e le misure adottate per evitare il ripetersi della situazione sono tra i criteri che l’articolo 83, paragrafo 2, impone di considerare nel determinare la sanzione.

Lo studio ha sede a Napoli, assiste aziende ed enti in tutta Italia nella gestione delle istanze degli interessati e nei procedimenti davanti all’Autorità, e svolge incarichi di responsabile della protezione dei dati; il tema della designazione del DPO esterno è trattato in un articolo dedicato. Per il contenzioso amministrativo e le altre materie il riferimento è avvocatoelioerrichiello.it.

Avete ricevuto una richiesta di accesso e non sapete come impostarla? Inviatecela dalla pagina contatti, indicando la data di ricezione: la esamineremo in via preliminare insieme ai termini e vi diremo come va costruito il riscontro.

Avv. Elio Errichiello

I tempi di conservazione dei dati personali sono la riga che quasi nessuno compila davvero. Nelle informative si legge «per il tempo necessario alle finalità indicate»; nel registro dei trattamenti la colonna è vuota, oppure riporta la stessa formula. È una scorciatoia comoda, e ha un difetto: non rispetta il Regolamento.

Il principio è quello dell’articolo 5, paragrafo 1, lettera e, del GDPR: i dati devono essere conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati. È la limitazione della conservazione, e non è un principio decorativo.

Dove il termine deve comparire

Due sono i punti in cui il termine va esplicitato.

Il primo è l’informativa. L’articolo 13, paragrafo 2, lettera a, impone di indicare il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo. Non è una facoltà alternativa a piacere: la seconda opzione vale quando la prima è oggettivamente impraticabile, non quando nessuno ha fatto l’analisi.

Il secondo è il registro delle attività di trattamento. L’articolo 30, paragrafo 1, lettera f, richiede, ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati. Il registro è il primo documento che viene chiesto in caso di verifica, ed è anche quello che rende immediatamente visibile se l’analisi è stata fatta o no.

Le contestazioni: due casi concreti

Che non si tratti di un adempimento formale lo dicono i provvedimenti.

Con provvedimento del 27 novembre 2025 il Garante ha irrogato una sanzione di trecentomila euro a una società di servizi. Tra le violazioni contestate figura la conservazione eccessiva dei dati per finalità di marketing per cinque anni, in violazione dell’articolo 5, paragrafo 1, lettera e. Al quadro si aggiungevano misure di sicurezza inadeguate, valutate alla luce degli articoli 5, 24, 25 e 32, e un consenso promozionale raccolto con caselle già selezionate.

Con il provvedimento n. 637 del 23 ottobre 2025 una società alberghiera è stata sanzionata per seimila euro, tra l’altro, per aver conservato i dati per finalità di marketing per nove anni: di nuovo, articolo 5, paragrafo 1, lettera e.

Due elementi meritano attenzione. Il primo: la conservazione eccessiva viene contestata in via autonoma, non come corollario di altro. Il secondo: in entrambi i casi il contesto era il marketing, cioè l’area in cui l’accumulo di anagrafiche è più facile da giustificare a se stessi e più difficile da giustificare all’Autorità.

Perché «finché serve» non funziona

La formula generica crea tre problemi pratici.

• Non è verificabile. In sede di controllo l’ente non è in grado di dimostrare perché quel dato è ancora lì, e l’onere della prova sulla conformità grava sul titolare.
• Non è attuabile. Un termine che nessuno ha definito non può essere implementato in un sistema informativo: non esiste una cancellazione automatica di ciò che non ha una scadenza.
• Non regge alla richiesta dell’interessato. Quando arriva un’istanza di cancellazione o di accesso, occorre sapere che cosa c’è, dove e da quando.

Quanto pesa sulla sanzione

Chi considera la conservazione un dettaglio dovrebbe guardare dove si colloca nella scala dell’articolo 83. Il paragrafo 5 riserva lo scaglione più alto — fino a venti milioni di euro o al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore — alle violazioni dei principi di cui all’articolo 5, tra i quali la limitazione della conservazione rientra a pieno titolo. Il paragrafo 4, con il tetto di dieci milioni o del 2%, riguarda invece obblighi di natura diversa.

In altre parole: la riga non compilata nell’informativa appartiene alla stessa famiglia di violazioni del trattamento illecito di dati sanitari o dell’assenza di base giuridica. Non è la categoria minore.

Come si stabiliscono i tempi di conservazione dei dati personali

Il lavoro non parte dai dati, parte dalle finalità. Per ciascun trattamento occorre stabilire perché quei dati sono stati raccolti, quale norma o quale esigenza ne impone o ne consente la conservazione, e per quanto tempo.

Alcuni termini sono imposti da altre normative: obblighi civilistici e fiscali, obblighi in materia di lavoro, discipline di settore. In questi casi il termine non lo sceglie il titolare, lo trova. Altri termini vanno invece determinati e motivati, ed è qui che le organizzazioni si fermano.

Un passaggio ulteriore riguarda gli enti pubblici, dove la conservazione dei dati si intreccia con la disciplina documentale: il piano di conservazione e il massimario di scarto non sono documenti alternativi al registro dei trattamenti, ma vanno letti insieme, e le incoerenze tra i due sono uno dei rilievi più facili da muovere.

Il collegamento con il resto

Il termine di conservazione non vive isolato. Se è sbagliato nell’informativa, il problema si riflette sulla correttezza dell’informativa pubblicata sul sito. Se è assente nel registro dei trattamenti, la lacuna emerge al primo controllo. Se i dati conservati oltre il necessario finiscono in una violazione di sicurezza, l’ampiezza della platea coinvolta pesa sulla notifica del data breach e sulla valutazione complessiva della condotta.

Vale anche il contrario: un’organizzazione che ha definito i termini e li applica riduce di molto la superficie esposta, perché i dati che non ci sono più non possono essere né violati né contestati.

Una verifica che si fa in poco tempo

Aprite la vostra informativa e cercate la riga sulla conservazione. Poi aprite il registro dei trattamenti e cercate la colonna corrispondente. Se le due cose non coincidono, o se entrambe contengono la stessa formula generica, il lavoro è ancora da fare.

Lo studio ha sede a Napoli, assiste aziende ed enti in tutta Italia e svolge incarichi di responsabile della protezione dei dati. Per il contenzioso amministrativo e le altre materie il riferimento è il sito avvocatoelioerrichiello.it.

Se volete capire quanto siete esposti, inviateci dalla pagina contatti l’informativa e il registro attualmente in uso: ne faremo un esame preliminare e vi indicheremo i trattamenti per i quali il termine è indifendibile.

Avv. Elio Errichiello

La valutazione d’impatto privacy — la DPIA dell’art. 35 del Regolamento — è probabilmente l’adempimento che viene rinviato più a lungo. Non perché sia poco importante, ma perché non ha una scadenza propria: nessuno la chiede finché non succede qualcosa. E quando succede qualcosa, la sua assenza non è un’omissione fra le altre. È la prova documentale che il titolare ha attivato un trattamento ad alto rischio senza averne misurato il rischio.

Che cosa dice l’art. 35 e perché la soglia è più bassa di quanto sembri

La valutazione d’impatto è dovuta quando un tipo di trattamento, considerati la natura, l’oggetto, il contesto e le finalità, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. Il paragrafo 3 indica poi tre casi in cui è richiesta in ogni caso: la valutazione sistematica e globale di aspetti personali basata su un trattamento automatizzato, compresa la profilazione, da cui derivino decisioni che producono effetti giuridici o incidono in modo analogo significativamente sulla persona; il trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati; la sorveglianza sistematica su larga scala di una zona accessibile al pubblico.

A questi si aggiunge l’elenco delle tipologie di trattamento soggette al requisito della valutazione d’impatto adottato dal Garante nel 2018 ai sensi dell’art. 35, paragrafo 4. È un documento che vale la pena avere presente, perché comprende situazioni molto comuni: trattamenti valutativi o di scoring, trattamenti effettuati mediante dispositivi indossabili o dell’internet delle cose, trattamenti su larga scala di dati sanitari, trattamenti effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici da cui derivi un controllo a distanza dell’attività, trattamenti che comportano l’interconnessione di banche dati.

Il punto che sfugge più spesso è questo: «larga scala» non significa «multinazionale». Un poliambulatorio con qualche migliaio di pazienti, un ordine professionale che gestisce gli iscritti di una provincia, un comune di media dimensione trattano dati su larga scala nel senso del Regolamento. La soglia si supera molto prima di quanto la maggior parte delle organizzazioni immagini.

La valutazione d’impatto è un atto del titolare

C’è un equivoco che vale la pena sciogliere subito, perché produce documenti inutilizzabili. La DPIA non è un atto del Responsabile della protezione dei dati. È un atto del titolare del trattamento, che la effettua «quando necessario, sentito il responsabile della protezione dei dati»: l’art. 35, paragrafo 2, assegna al DPO il compito di fornire un parere, non quello di redigere il documento al posto del titolare né di firmarlo.

Quando il DPO si sostituisce al titolare accade una cosa doppiamente dannosa: il titolare non assume la decisione che la legge gli impone di assumere, e il DPO perde l’indipendenza che dovrebbe consentirgli di valutare quella decisione. È una variante del conflitto di interessi di cui abbiamo parlato a proposito della nomina obbligatoria del DPO e del DPO esterno.

Che cosa viene contestato

• DPIA mancante per un trattamento che rientrava nei casi obbligatori. È l’ipotesi più netta, perché l’accertamento è documentale e non ammette repliche.
• DPIA effettuata a posteriori, dopo l’avvio del trattamento. Il Regolamento la vuole «prima di procedere al trattamento»: una valutazione redatta a impianto già in funzione non sana il periodo precedente e, anzi, documenta la data in cui il titolare si è accorto del problema.
• DPO non consultato o consultato quando la decisione era già presa. Emerge sempre dalle date dei documenti.
• Valutazione puramente descrittiva, che elenca il trattamento senza misurare la necessità e la proporzionalità e senza individuare le misure previste per affrontare i rischi. È il formato più diffuso ed è quello che regge meno.
• Consultazione preventiva omessa. Se la valutazione indica un rischio elevato che il titolare non riesce ad attenuare, l’art. 36 impone di consultare l’Autorità prima di procedere. Saltare questo passaggio è una violazione autonoma.
• DPIA mai riesaminata dopo modifiche rilevanti del trattamento, nonostante l’obbligo di riesame previsto dall’art. 35, paragrafo 11.

Le sanzioni, e il danno che arriva prima

Le violazioni degli obblighi di cui agli artt. 35 e 36 rientrano nell’art. 83, paragrafo 4, del GDPR: fino a dieci milioni di euro oppure, per le imprese, fino al due per cento del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Per gli enti pubblici si applica inoltre l’art. 166 del Codice. Sui criteri di determinazione abbiamo scritto parlando di quanto costa una violazione del GDPR.

Ma la conseguenza più pesante, nella pratica, è un’altra. Il potere correttivo dell’art. 58 consente all’Autorità di imporre una limitazione provvisoria o definitiva del trattamento, fino al divieto. Per un’organizzazione che ha appena investito in un sistema di videosorveglianza intelligente, in una piattaforma di gestione delle presenze o in un applicativo sanitario, l’ordine di sospendere il trattamento in attesa di conformarsi vale molto più di una sanzione pecuniaria. E quell’ordine arriva proprio quando la valutazione che avrebbe dovuto precedere l’investimento non è mai stata fatta.

Si aggiunge il profilo del contenzioso civile: l’art. 82 riconosce all’interessato il diritto al risarcimento del danno, e l’assenza di una valutazione d’impatto rende molto più difficile per il titolare dimostrare di avere adottato misure adeguate ai sensi dell’art. 24.

Perché i modelli in circolazione non risolvono

Esistono moduli di DPIA scaricabili in quantità. Il problema è che una valutazione d’impatto non è un questionario: è un giudizio sulla necessità e sulla proporzionalità di uno specifico trattamento, in una specifica organizzazione, con specifiche alternative disponibili. Un modello può suggerire le domande; le risposte, e soprattutto la decisione che ne consegue, restano in capo al titolare. Vale lo stesso ragionamento fatto per il registro delle attività di trattamento.

Il lavoro dello studio

Lo studio dell’avv. Elio Errichiello svolge incarichi di Responsabile della protezione dei dati per ordini professionali, comuni, enti pubblici non economici e strutture sanitarie private, predispone lo schema della valutazione d’impatto e rende il parere previsto dall’art. 35, paragrafo 2, lasciando al titolare la decisione che la legge gli assegna. Ha sede a Napoli e assiste in tutta Italia. Le modalità sono descritte nella pagina del servizio di consulenza privacy e protezione dei dati personali; per il diritto amministrativo è disponibile il sito dell’avv. Elio Errichiello.

Se state per avviare un trattamento che vi sembra rientrare nei casi dell’art. 35, o se ne avete già avviato uno senza valutazione, il primo passo è un esame preliminare della documentazione e dei termini eventualmente in corso. Scrivete allo studio descrivendo il trattamento e gli strumenti impiegati.

Fra gli adempimenti del Regolamento europeo ce n’è uno che le organizzazioni scoprono di aver saltato solo quando qualcosa è già andato storto: la nomina del responsabile del trattamento prevista dall’art. 28. È l’atto con cui il titolare disciplina il rapporto con chi tratta dati personali per suo conto — il fornitore del gestionale, la società di paghe e contributi, il servizio di posta elettronica, l’agenzia che gestisce le campagne, il manutentore che accede da remoto ai sistemi. In assenza di quell’atto il rapporto esiste comunque nei fatti, ma resta privo della cornice che il Regolamento impone.

Il primo equivoco da sciogliere è terminologico, e produce più danni di quanto sembri. Il responsabile del trattamento dell’art. 28 non è il responsabile della protezione dei dati dell’art. 37: il primo è un soggetto esterno che tratta dati per conto del titolare, il secondo è la figura di controllo e consulenza che vigila sull’osservanza del Regolamento. Sono ruoli diversi, con presupposti diversi e incompatibili tra loro nella stessa posizione. La distinzione è stata approfondita esaminando quando la nomina del DPO è obbligatoria.

Che cosa comporta la nomina del responsabile del trattamento

L’art. 28 richiede che il rapporto sia disciplinato da un contratto o da altro atto giuridico che vincoli il responsabile al titolare, e ne indica il contenuto necessario: la materia e la durata del trattamento, la natura e le finalità, il tipo di dati e le categorie di interessati, gli obblighi del responsabile in ordine alle istruzioni ricevute, alla riservatezza, alla sicurezza, al ricorso a eventuali sub-responsabili, all’assistenza al titolare e alla sorte dei dati al termine del rapporto.

Ne discende un criterio pratico. La qualificazione non dipende da come le parti abbiano intitolato il documento, ma da chi decide finalità e mezzi del trattamento. Il fornitore che si limita a eseguire le istruzioni del cliente è responsabile; quello che determina autonomamente le finalità è titolare in proprio, e allora la nomina non solo è inutile, ma descrive una realtà diversa da quella esistente. È un errore che ricorre spesso nei rapporti con le piattaforme e con i grandi fornitori di servizi digitali, dove il modulo predisposto dal fornitore attribuisce a sé stesso una qualificazione che il cliente accetta senza verificarla.

Che cosa viene contestato

La contestazione tipica non è l’assenza in senso assoluto di documentazione, ma la mancata corretta individuazione dei ruoli soggettivi. In un provvedimento del febbraio 2026 il Garante ha definito un procedimento nei confronti di una micro-impresa, nato da due reclami di un interessato relativi a contatti promozionali indesiderati e al mancato riscontro a una richiesta di accesso ai dati. Fra le violazioni contestate figura, accanto a quelle sulla base giuridica e sui diritti dell’interessato, proprio la mancata corretta individuazione dei ruoli con riferimento agli artt. 4, 5, 24 e 28 del Regolamento.

Ebbene, la vicenda mostra il meccanismo con cui questo adempimento entra nei procedimenti. Nessuno viene sanzionato perché un contratto manca: l’istruttoria nasce da un reclamo su altro — una chiamata non gradita, una richiesta rimasta senza risposta, una violazione di dati — e nel ricostruire chi abbia fatto che cosa emerge che i ruoli non erano stati definiti. A quel punto la carenza documentale diventa un addebito autonomo, e insieme un elemento che aggrava gli altri, perché il titolare non è in grado di dimostrare quali istruzioni avesse impartito.

Gli altri profili ricorrenti sono di questo tenore: catene di sub-fornitori non autorizzate né conosciute dal titolare; trasferimenti verso Paesi terzi che si scoprono solo leggendo dove il fornitore ospita i server; atti di nomina generici, riferiti a un trattamento descritto in una riga; e la mancata previsione del destino dei dati alla cessazione del contratto, che si rivela un problema serio quando il rapporto si interrompe in modo conflittuale.

Le sanzioni

La violazione degli obblighi che gravano su titolare e responsabile ai sensi dell’art. 28 rientra nella previsione dell’art. 83, par. 4, del Regolamento, con sanzioni amministrative fino a dieci milioni di euro o, per le imprese, fino al due per cento del fatturato mondiale annuo, se superiore. Il responsabile, va ricordato, risponde direttamente: non è un soggetto schermato dal titolare, ed è destinatario in proprio dei poteri correttivi e sanzionatori dell’Autorità.

Vi è poi una conseguenza che non passa dal provvedimento sanzionatorio ma pesa altrettanto. Quando si verifica una violazione dei dati presso un fornitore, la ricostruzione delle responsabilità e la stessa possibilità di notificare correttamente all’Autorità dipendono da ciò che è stato pattuito: chi rileva l’incidente, entro quanto lo comunica al titolare, quali informazioni fornisce. In assenza di un atto che lo preveda, il titolare si trova a dover notificare senza disporre degli elementi necessari, come si è osservato a proposito della notifica del data breach entro le settantadue ore.

La mappatura dei fornitori

La verifica di questo profilo passa da una ricognizione dei rapporti in essere: quali soggetti esterni accedono ai dati o li trattano per conto dell’organizzazione, a quale titolo, con quale documentazione, con quali sub-fornitori e in quali Paesi. È un’attività che si incrocia con la tenuta del registro delle attività di trattamento, perché i destinatari dei dati vanno indicati proprio lì, e che tocca l’area di rischio più frequentemente sottovalutata dalle imprese, come già rilevato analizzando che cosa viene contestato alle aziende in materia di privacy.

Lo studio svolge questa attività nell’ambito della consulenza e compliance privacy e degli incarichi di responsabile della protezione dei dati per aziende, enti pubblici e strutture sanitarie; l’attività giudiziale è descritta nella pagina dello studio legale dell’avv. Elio Errichiello. Chi voglia verificare la posizione dei propri fornitori, o abbia ricevuto da un cliente la richiesta di sottoscrivere un atto di nomina, può contattare lo studio per un esame preliminare della documentazione contrattuale.