Privacy: esercizio dei diritti e tutela davanti al Garante o al giudice
Dal 25 maggio 2018 il GDPR (Regolamento UE 2016/679) stabilisce i diritti di tutte le persone riguardo al trattamento dei propri dati personali. In Italia il GDPR è integrato dal Codice Privacy (D.Lgs. 196/2003), aggiornato dal D.Lgs. 101/2018. Chiunque può esercitare i propri diritti nei confronti di qualsiasi soggetto (azienda, pubblica amministrazione, associazione) che tratti i propri dati, gratuitamente e senza obblighi di forma. In caso di risposta insoddisfacente o di silenzio, è possibile rivolgersi al Garante per la protezione dei dati personali o al giudice ordinario.
Indice
I DIRITTI FONDAMENTALI DEL GDPR
COME ESERCITARE I DIRITTI
TEMPI DI RISPOSTA E OBBLIGHI DEL TITOLARE
RECLAMO AL GARANTE
RICORSO AL GIUDICE
LE SANZIONI
CASI PARTICOLARI
LINK UTILI
I DIRITTI FONDAMENTALI DEL GDPR
Il GDPR riconosce a ogni persona fisica i seguenti diritti verso chi tratta i propri dati:
- Diritto di accesso (art. 15): sapere se i propri dati vengono trattati, ottenere copia dei dati, conoscere le finalità, i destinatari, i tempi di conservazione, l'origine dei dati
- Diritto di rettifica (art. 16): far correggere dati inesatti o incompleti
- Diritto alla cancellazione/oblio (art. 17): ottenere la cancellazione dei dati quando non sono più necessari, quando si revoca il consenso, o quando ci si oppone al trattamento
- Diritto alla limitazione del trattamento (art. 18): bloccare temporaneamente l'uso dei dati (es. mentre si contesta l'esattezza o si attende l'esito di un ricorso)
- Diritto alla portabilità (art. 20): ricevere i propri dati in formato leggibile da macchina (es. CSV, JSON) per trasferirli a un altro fornitore di servizi — applicabile solo ai dati forniti personalmente, trattati con consenso o per esecuzione di un contratto
- Diritto di opposizione (art. 21): opporsi al trattamento basato su legittimo interesse o per finalità di marketing diretto; in quest'ultimo caso l'opposizione va sempre accolta
- Diritto di non essere sottoposto a decisioni automatizzate (art. 22): non essere soggetto a decisioni che producono effetti giuridici basate unicamente su trattamento automatizzato (es. profilazione creditizia, scoring automatico)
COME ESERCITARE I DIRITTI
I diritti si esercitano inviando una richiesta scritta al titolare del trattamento (l'azienda, l'ente, ecc.). Non è richiesta alcuna forma particolare: va bene un'email, una raccomandata, un messaggio tramite il form del sito, purché il titolare possa identificare l'interessato.
La richiesta deve indicare: identità dell'interessato, diritto che si intende esercitare, eventuale specifica dei dati a cui ci si riferisce. Il titolare non può chiedere il pagamento per rispondere, salvo che le richieste siano manifestamente infondate, eccessive o ripetitive (in quel caso può applicare un contributo o rifiutare).
Il titolare può chiedere ulteriori informazioni per verificare l'identità del richiedente, ma non può rifiutare la risposta solo perché la richiesta è stata inviata via email (non richiede firma digitale o raccomandata).
TEMPI DI RISPOSTA E OBBLIGHI DEL TITOLARE
Il titolare deve rispondere entro 30 giorni dalla ricezione della richiesta. In casi di particolare complessità, il termine può essere prorogato di ulteriori 2 mesi, ma il titolare deve comunicare la proroga entro i primi 30 giorni, spiegando i motivi del ritardo.
In caso di rifiuto totale o parziale, il titolare deve motivare il rifiuto e informare l'interessato del diritto di presentare reclamo al Garante o ricorso al giudice.
RECLAMO AL GARANTE
Se il titolare non risponde entro i termini, risponde in modo insoddisfacente, o rifiuta illegittimamente di soddisfare la richiesta, l'interessato può presentare reclamo al Garante per la protezione dei dati personali. Il reclamo è gratuito e può essere presentato online sul sito del Garante (gpdp.it) compilando il modulo apposito, oppure tramite raccomandata A/R o PEC.
Il Garante istruisce il reclamo e può: ordinare al titolare di soddisfare la richiesta, imporre misure correttive, irrogare sanzioni amministrative. Il procedimento davanti al Garante non è una tutela giurisdizionale vera e propria, ma un procedimento amministrativo.
RICORSO AL GIUDICE
In alternativa o in aggiunta al reclamo al Garante, l'interessato può adire il giudice ordinario (Tribunale) per ottenere: l'adempimento degli obblighi del titolare, il risarcimento del danno patrimoniale e non patrimoniale subito a causa della violazione del GDPR. Il giudice competente è quello del domicilio dell'interessato. Non è necessario presentare prima il reclamo al Garante per adire il giudice. La prescrizione del diritto al risarcimento è di 5 anni.
LE SANZIONI
Il Garante può irrogare sanzioni amministrative fino a 20 milioni di euro o al 4% del fatturato annuo globale del gruppo di appartenenza (si applica la misura più elevata), per le violazioni più gravi (artt. 83 c. 5 e 6 GDPR). Per violazioni meno gravi la soglia è 10 milioni di euro o il 2% del fatturato. Tra il 2022 e il 2024 il Garante italiano ha emesso sanzioni significative in materia di telemarketing, trasferimento di dati verso gli USA (Google Analytics), cookie, data breach e videosorveglianza.
CASI PARTICOLARI
Dati di soggetti deceduti: in Italia, i diritti GDPR si estinguono con la morte. Tuttavia, il D.Lgs. 101/2018 (art. 2-terdecies Codice Privacy) consente agli eredi e ai familiari di esercitare alcuni diritti sui dati del defunto, purché questi non li abbia esplicitamente esclusi in vita.
Minori: il consenso al trattamento dei dati di un minore per servizi della società dell'informazione (social network, app) richiede il consenso del genitore se il minore ha meno di 14 anni (soglia italiana ex art. 2-quinquies Codice Privacy).
Diritto all'oblio sui motori di ricerca: è possibile chiedere la deindicizzazione di URL dai risultati di ricerca (es. Google), rivolgendosi direttamente al motore di ricerca tramite i form dedicati, o al Garante se il motore non ottempera.
- Garante per la protezione dei dati personali — reclami, ricorsi, guide pratiche
- Reg. UE 2016/679 (GDPR) — su eur-lex.europa.eu
Per la scheda su marketing e privacy: sosonline.aduc.it — Marketing e privacy: i diritti del consumatore