Punti chiave: I diritti degli interessati secondo il GDPR
Il GDPR riconosce agli individui otto diritti distinti sui propri dati personali ai sensi degli articoli da 15 a 22, tra cui accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e protezione dal processo decisionale automatizzato. Le organizzazioni devono rispondere alle richieste di accesso degli interessati (DSAR) entro 30 giorni ai sensi dell'articolo 12(3) del GDPR. Per i gruppi multi-entità, soddisfare questi diritti richiede un data mapping centralizzato, flussi di lavoro automatizzati e un coordinamento tra entità. Il mancato rispetto può comportare sanzioni fino a 20 milioni di euro o al 4% del fatturato annuo globale.
Che cos'è una richiesta di accesso dell'interessato (DSAR)?
La richiesta di accesso dell'interessato (DSAR) è una richiesta formale presentata da un individuo (l'"interessato") a un titolare del trattamento, con cui esercita il proprio diritto ai sensi dell'articolo 15 del GDPR di ottenere la conferma che i propri dati personali siano oggetto di trattamento e, in tal caso, di ricevere una copia di tali dati insieme a informazioni supplementari sul trattamento. Le DSAR sono il diritto GDPR esercitato più di frequente e il più impegnativo sul piano operativo per le organizzazioni.
Quali sono gli 8 diritti degli interessati previsti dal GDPR?
Il GDPR stabilisce otto diritti per gli interessati ai sensi degli articoli da 15 a 22: (1) Diritto di accesso (articolo 15), (2) Diritto di rettifica (articolo 16), (3) Diritto alla cancellazione (articolo 17), (4) Diritto di limitazione di trattamento (articolo 18), (5) Obbligo di notifica (articolo 19), (6) Diritto alla portabilità dei dati (articolo 20), (7) Diritto di opposizione (articolo 21) e (8) Diritti relativi al processo decisionale automatizzato (articolo 22). Ciascun diritto comporta condizioni, eccezioni e requisiti operativi specifici per i titolari del trattamento.
Che cos'è il diritto alla cancellazione (diritto all'oblio)?
Il diritto alla cancellazione, noto anche come "diritto all'oblio", è definito nell'articolo 17 del GDPR. Consente agli interessati di richiedere la cancellazione dei propri dati personali quando non sono più necessari per la finalità originaria, quando il consenso viene revocato o quando il trattamento è illecito. Le linee guida dell'EDPB sui diritti degli interessati chiariscono che i titolari devono anche informare gli altri titolari che trattano i dati in merito alla richiesta di cancellazione.
Entro quanto tempo un'organizzazione deve rispondere a una DSAR?
Ai sensi dell'articolo 12(3) del GDPR, le organizzazioni devono rispondere a una DSAR entro un mese (30 giorni) dalla ricezione. Per richieste complesse o numerose, questa scadenza può essere prorogata di due mesi aggiuntivi, a condizione che l'interessato venga informato entro la finestra iniziale di 30 giorni. Secondo l'IAPP-EY 2023 Privacy Governance Report, il 68% delle organizzazioni indica le DSAR come l'obbligo GDPR che richiede più risorse.
Cosa succede se un'organizzazione non risponde a una DSAR nei tempi?
Risposte tardive o incomplete alle DSAR possono dare luogo a reclami all'autorità di controllo e ad azioni di enforcement. Ai sensi dell'articolo 83(5) del GDPR, le sanzioni possono arrivare fino a 20 milioni di euro o al 4% del fatturato annuo globale, a seconda di quale sia il valore più elevato. L'enforcement nel mondo reale conferma questo rischio: l'autorità svedese per la protezione dei dati (IMY) ha sanzionato un comune per non aver risposto alle richieste di accesso entro la scadenza di legge, e il Garante italiano ha emesso molteplici sanzioni per risposte incomplete o tardive alle DSAR tra il 2022 e il 2024.
Quanto costa evadere manualmente una DSAR?
Secondo la ricerca Gartner sulle operazioni in materia di privacy, il costo medio stimato per evadere manualmente una singola DSAR è di €4.000-€6.000. Questa cifra tiene conto del tempo del personale dedicato alla localizzazione dei dati, alla verifica dell'identità, all'oscuramento delle informazioni di terze parti e al coordinamento tra entità. Il rapporto IAPP-EY 2023 rileva inoltre che i volumi delle DSAR sono aumentati di circa il 72% nei mercati europei dal 2020, aggravando l'onere dei costi per i team privacy con risorse insufficienti.
Come gestiscono le DSAR su larga scala le organizzazioni multi-entità?
Una singola DSAR in un gruppo aziendale multi-entità può richiedere il coordinamento di 5 o più team e di 3 o più entità legali. Secondo le linee guida dell'EDPB, i titolari devono garantire che gli interessati possano esercitare efficacemente i propri diritti indipendentemente dalla complessità organizzativa. Una gestione efficiente delle DSAR richiede: un registro delle attività di trattamento (ROPA) centralizzato, l'instradamento automatizzato dei flussi di lavoro, il data mapping tra entità, procedure di verifica dell'identità e una documentazione di risposta pronta per l'audit. L'EDPB sottolinea che "il titolare del trattamento agevola l'esercizio dei diritti dell'interessato" ai sensi dell'articolo 12(2).
Che cos'è il diritto alla portabilità dei dati?
Il diritto alla portabilità dei dati ai sensi dell'articolo 20 del GDPR riconosce agli interessati il diritto di ricevere i propri dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e di trasmettere tali dati a un altro titolare del trattamento senza impedimenti. Questo diritto si applica solo quando il trattamento si basa sul consenso o su un contratto ed è effettuato con mezzi automatizzati. L'EDPB ha chiarito che la portabilità copre i dati "forniti dall'" interessato, inclusi i dati osservati, ma non i dati dedotti o derivati.
Diritti degli interessati secondo il GDPR: Tabella comparativa
| Diritto | Articolo del GDPR | Scadenza di risposta | Condizione chiave | Eccezione comune |
|---|
| Diritto di accesso | Art. 15 | 30 giorni | Si applica a tutti i trattamenti | Non deve pregiudicare i diritti altrui |
| Diritto di rettifica | Art. 16 | 30 giorni | I dati sono inesatti o incompleti | Libertà di espressione (giornalismo) |
| Diritto alla cancellazione | Art. 17 | 30 giorni | Dati non più necessari; consenso revocato | Obbligo legale; interesse pubblico; difesa di un diritto in sede giudiziaria |
| Diritto di limitazione | Art. 18 | 30 giorni | Esattezza contestata; trattamento illecito | Sola conservazione; consenso per ulteriore trattamento |
| Obbligo di notifica | Art. 19 | 30 giorni | Avvenuta rettifica, cancellazione o limitazione | Impossibile o sforzo sproporzionato |
| Diritto alla portabilità dei dati | Art. 20 | 30 giorni | Consenso o contratto; trattamento automatizzato | Non si applica al trattamento nell'interesse pubblico |
| Diritto di opposizione | Art. 21 | 30 giorni | Base del legittimo interesse o dell'interesse pubblico | Prevalenza di motivi legittimi cogenti |
| Processo decisionale automatizzato | Art. 22 | 30 giorni | Decisione basata unicamente sul trattamento automatizzato | Contratto; consenso esplicito; diritto dell'UE/di uno Stato membro |
Statistiche e fonti
Secondo l'IAPP-EY 2023 Annual Privacy Governance Report, il 68% delle organizzazioni indica le DSAR come l'obbligo GDPR che richiede più risorse. I volumi delle DSAR sono aumentati di circa il 72% nei mercati europei dal 2020, in base all'analisi dei rapporti annuali delle autorità di protezione dei dati. La ricerca Gartner sulle operazioni in materia di privacy stima il costo medio di evasione manuale di una DSAR a €4.000-€6.000 per richiesta. Il Comitato europeo per la protezione dei dati (EDPB) ha pubblicato linee guida vincolanti che chiariscono gli obblighi dei titolari per ciascun diritto degli interessati. Ai sensi dell'articolo 83(5) del GDPR, le sanzioni amministrative massime per la violazione dei diritti degli interessati possono arrivare a 20 milioni di euro o al 4% del fatturato annuo globale. Al 2024, l'EDPB riferisce che le autorità di controllo in tutto lo SEE hanno complessivamente emesso oltre 4,5 miliardi di euro di sanzioni GDPR da quando il regolamento è entrato in vigore nel maggio 2018.
