I diritti dell'interessato: cosa puoi chiedere sui tuoi dati personali

Dati usati senza consenso, richieste di cancellazione ignorate, marketing mai autorizzato: quando c'è violazione della privacy, quali diritti riconosce il GDPR e come farli valere — dall'istanza al titolare fino al reclamo al Garante e al risarcimento.

In breve — Il GDPR riconosce a ogni persona una serie di diritti sui propri dati personali — sapere quali dati un’azienda conserva, farli correggere o cancellare, opporsi al loro uso — esercitabili in qualsiasi momento, gratuitamente, con una semplice richiesta scritta al titolare, che deve rispondere entro un mese. Non serve che ci sia stata una violazione. Ma è quando la violazione c’è — dati usati senza diritto, richieste ignorate, marketing mai autorizzato — che questi diritti diventano la prima linea di difesa: se il titolare non risponde, la strada prosegue con il reclamo al Garante o davanti al giudice, l’unica sede in cui ottenere anche il risarcimento del danno.

1. I diritti dell’interessato: cosa puoi chiedere in ogni momento

Gli artt. 15-22 del GDPR riconoscono all’interessato — la persona a cui i dati si riferiscono — una serie di diritti che si azionano con una semplice richiesta, senza avvocati e senza costi. Un punto va chiarito subito: questi diritti prescindono da una violazione. Non serve che qualcuno abbia usato male i tuoi dati per esercitarli: puoi chiedere in qualsiasi momento a un’azienda quali dati conserva su di te, farli correggere o cancellare, opporti al marketing — anche solo per controllare. Sono prerogative permanenti; la violazione è semmai il momento in cui diventano indispensabili.

Il diritto di accesso (art. 15)

È il primo e più usato: chiedere al titolare se sta trattando dati che ti riguardano e, in caso affermativo, ottenerne copia, insieme alle informazioni su finalità, destinatari e tempi di conservazione. È lo strumento con cui si scopre cosa un’azienda sa davvero di te — e spesso è il primo passo di ogni difesa, perché mette nero su bianco il trattamento.

Il diritto di rettifica (art. 16)

Se i dati sono inesatti o incompleti — l’indirizzo sbagliato, la posizione debitoria mai aggiornata, l’informazione superata che continua a produrre effetti — puoi chiederne la correzione o l’integrazione. Il titolare deve provvedere senza ritardo.

Il diritto di cancellazione (art. 17)

Puoi chiedere che i tuoi dati vengano cancellati quando non servono più rispetto alle finalità per cui erano stati raccolti, quando revochi il consenso su cui il trattamento si fondava, o quando il trattamento è illecito. Non è un diritto assoluto — il titolare può trattenerli se un obbligo di legge o la difesa di un diritto lo richiedono — ma fuori da questi casi la richiesta va eseguita.

Il diritto di limitazione (art. 18)

È il diritto-ponte: congela i dati in attesa che una contestazione si risolva — ad esempio mentre si verifica l’esattezza dei dati che hai contestato, o la fondatezza della tua opposizione. I dati restano conservati, ma non possono essere usati.

Il diritto di opposizione (art. 21)

Puoi opporti al trattamento fondato sul legittimo interesse del titolare per motivi legati alla tua situazione particolare. E per il marketing diretto l’opposizione è incondizionata: basta dire no, senza motivare, e il titolare deve fermarsi.

Il diritto alla portabilità (art. 20)

Il diritto di ricevere i propri dati in un formato strutturato e leggibile da dispositivo automatico, per trasmetterli a un altro titolare: è quello che permette di cambiare fornitore — la banca, l’operatore, la piattaforma — portandosi dietro i propri dati.

Il diritto a non subire decisioni solo automatizzate (art. 22)

Chiude l’elenco il diritto a non essere sottoposti a decisioni basate unicamente su trattamenti automatizzati — compresa la profilazione — che producano effetti giuridici o incidano significativamente sulla persona: il finanziamento rifiutato dall’algoritmo senza che nessun operatore valuti la pratica. Nei casi in cui la decisione automatizzata è ammessa, resta il diritto di ottenere l’intervento umano e di contestare l’esito.

2. Come esercitarli: la richiesta al titolare

Non servono formule sacramentali: una richiesta scritta — email, PEC o raccomandata — al titolare del trattamento, in cui si dice quale diritto si esercita e su quali dati. I contatti si trovano nell’informativa privacy o sul sito del titolare, insieme — dove esiste — a quelli del DPO.

C’è però una condizione importante, che vale in entrambe le direzioni: chi esercita il diritto deve dimostrare di essere davvero l’interessato, allegando un documento di identità o comunque un elemento che provi chi è. Non è burocrazia: se il titolare consegnasse i dati a chi si spaccia per un altro, commetterebbe a sua volta una violazione della privacy — sta rivelando informazioni personali alla persona sbagliata. Per questo un titolare diligente, davanti a una richiesta non verificabile, deve chiedere conferma dell’identità prima di rispondere nel merito.

Quanto ai tempi: il titolare deve rispondere entro un mese dal ricevimento della richiesta. Se il caso è complesso — o le richieste sono molte — il termine può essere prorogato di altri due mesi, ma la proroga non può essere silenziosa: entro il primo mese il titolare deve comunque farsi vivo, spiegando il motivo del ritardo. La risposta è gratuita, salvo richieste manifestamente infondate o ripetitive.

E qui il punto che molti sottovalutano: il silenzio o il rifiuto ingiustificato sono essi stessi una violazione, autonomamente sanzionabile. Documentare di aver chiesto invano — conservare la richiesta e l’assenza di risposta — è ciò che rende solido ogni passo successivo.

3. Il diritto all’oblio

Un caso particolare di cancellazione merita un cenno a parte: il diritto all’oblio (art. 17, par. 2). È il diritto di chi non vuole restare per sempre incatenato a una vicenda passata: la notizia di cronaca di anni prima che ancora compare cercando il proprio nome, il contenuto ormai privo di interesse pubblico che continua a danneggiare reputazione e vita professionale.

Si esercita in due direzioni: verso il sito che ospita il contenuto (chiedendone la rimozione o l’aggiornamento) e verso i motori di ricerca (chiedendo la deindicizzazione, cioè che il risultato non compaia più cercando il nome — Google ha un modulo dedicato). Non è un diritto assoluto: va bilanciato con la libertà di informazione, e per i fatti gravi o recenti l’interesse pubblico di regola prevale. Ma per le vicende risalenti e ormai prive di attualità, la giurisprudenza — italiana ed europea — lo riconosce con crescente ampiezza.

4. Se il titolare non risponde: il reclamo al Garante

Se la richiesta al titolare non ottiene risposta, o la risposta non risolve il problema, ci si può rivolgere al Garante per la protezione dei dati personali presentando un reclamo (art. 77 GDPR). È lo strumento formale con cui si chiede all’Autorità di accertare la violazione: presentarlo è gratuito, non serve un avvocato e il Garante è tenuto a pronunciarsi. Se all’esito dell’istruttoria la violazione risulta effettiva, l’Autorità può ordinare al titolare di rimediare, limitare o vietare il trattamento e applicare sanzioni. A come si presenta il reclamo, ai tempi e alla differenza con la segnalazione abbiamo dedicato una guida specifica.

In alternativa al reclamo, ci si può rivolgere direttamente al giudice ordinario (art. 79 GDPR). Le due strade, però, non si possono percorrere insieme: per la stessa questione, chi ha presentato reclamo al Garante non può rivolgersi anche al giudice, e viceversa (art. 140-bis del Codice privacy). Conviene quindi scegliere in partenza la via più adatta al proprio caso — e la scelta dipende soprattutto da ciò che si vuole ottenere, come si vede al capitolo che segue.

5. Il risarcimento del danno

C’è un motivo preciso per cui la via giudiziale resta indispensabile: è l’unica sede dove ottenere il risarcimento. L’art. 82 del GDPR riconosce a chi subisce un danno — materiale o immateriale — da violazione delle regole il diritto a essere risarcito dal titolare o dal responsabile. Il Garante sanziona, ma la sanzione va allo Stato: nemmeno un euro arriva all’interessato. Chi vuole i danni deve passare dal giudice.

Un avvertimento realistico, però: il danno va provato. La giurisprudenza — italiana ed europea (Corte di giustizia, causa C-300/21) — è chiara nel dire che la mera violazione non basta: serve dimostrare un pregiudizio concreto, anche solo morale (ansia, turbamento, esposizione), ma effettivo e documentabile. Le cause impostate sul solo “hanno violato la mia privacy, quindi mi devono dei soldi” finiscono respinte.

6. Il rovescio: il titolare deve agevolare l’esercizio dei diritti

Tutto il percorso visto fin qui, letto dall’altra parte, è un obbligo organizzativo — e non solo di risposta. L’art. 12 del GDPR chiede al titolare di agevolare l’esercizio dei diritti: non basta non ostacolarlo, bisogna renderlo semplice. Nella pratica significa predisporre modelli e moduli che aiutino l’interessato a districarsi tra le norme — un modulo di richiesta con i campi già impostati, pubblicato sul sito o allegato all’informativa, con l’indicazione chiara di dove inviarlo e di quali documenti servono per la verifica dell’identità.

È poi prassi delle organizzazioni ben strutturate adottare anche una policy interna sull’esercizio dei diritti: un documento che individua chi riceve le richieste, chi risponde, in che termini e con quali verifiche — così che la richiesta dell’interessato non vaghi tra gli uffici mentre il mese di legge scorre. Ogni richiesta è infatti una pratica con un termine e conseguenze concrete se gestita male: il silenzio è una violazione autonoma, e le richieste ignorate sono tra le cause più frequenti dei reclami al Garante. In un’ispezione, il modulo e la policy fanno la differenza tra un’organizzazione in controllo e una che insegue.

7. Come ti assiste lo Studio Legale Calzoni

Lo Studio Legale Calzoni segue entrambi i lati di questo percorso. Per chi ha subito una violazione: valutiamo il caso, redigiamo l’istanza al titolare e il reclamo al Garante e, quando c’è un danno risarcibile, agiamo in giudizio. Per imprese ed enti: costruiamo la procedura di gestione delle richieste degli interessati, rispondiamo ai reclami e mettiamo in regola ciò che va corretto, dentro un percorso di consulenza privacy e GDPR completo. In entrambi i casi, prima ci si muove, meglio si chiude.

Domande frequenti

Cosa si può fare in caso di violazione della privacy? In ordine: scrivere al titolare del trattamento esercitando i propri diritti (deve rispondere entro un mese); se non basta, presentare reclamo al Garante privacy oppure ricorrere al giudice ordinario; per ottenere un risarcimento, la strada è solo quella giudiziale.

Quali sono i diritti dell’interessato secondo il GDPR? Accesso ai propri dati (art. 15), rettifica (art. 16), cancellazione e oblio (art. 17), limitazione del trattamento (art. 18), portabilità (art. 20), opposizione (art. 21) — che per il marketing è incondizionata — e il diritto a non subire decisioni basate solo su trattamenti automatizzati (art. 22). Si esercitano gratuitamente con una richiesta scritta al titolare.

Come si esercita il diritto di accesso ai dati personali? Con una richiesta scritta (email, PEC o raccomandata) al titolare, usando i contatti indicati nell’informativa. Il titolare deve rispondere entro un mese fornendo copia dei dati e le informazioni su finalità, destinatari e conservazione.

Che differenza c’è tra cancellazione e diritto all’oblio? La cancellazione (art. 17) riguarda i dati che il titolare tratta e non deve più trattare. L’oblio ne è un’applicazione particolare: riguarda contenuti e notizie del passato ancora reperibili online, e si esercita verso il sito che li ospita o verso i motori di ricerca (deindicizzazione).

Entro quanto deve rispondere il titolare a una richiesta privacy? Entro un mese dal ricevimento (art. 12 GDPR), prorogabile di due mesi nei casi complessi con comunicazione motivata. Il silenzio o il rifiuto ingiustificato sono una violazione autonoma, sanzionabile dal Garante.

Si può ottenere un risarcimento per violazione della privacy? Sì, ma solo davanti al giudice ordinario (art. 82 GDPR): il Garante sanziona ma non risarcisce. Serve provare un danno concreto, anche non patrimoniale: la sola violazione, senza un pregiudizio dimostrabile, non basta.

Cosa rischia l’azienda che ignora le richieste degli interessati? Il mancato riscontro è una violazione autonoma dei diritti dell’interessato, tra le più sanzionate dal Garante — e la causa più frequente dei reclami. Serve una procedura interna: punto di ricezione, verifica dell’identità, risposta tracciata entro il termine.

I contenuti di questa pagina si riferiscono a fattispecie generali e non possono in alcun modo sostituire il contributo di un avvocato. Per ottenere un parere legale in ordine alla questione giuridica che interessa è possibile richiedere una consulenza, oppure fissare un appuntamento. Gli autori declinano ogni responsabilità per errori od omissioni, nonché per un utilizzo improprio o non aggiornato delle presenti informazioni.