Le persone hanno diritti sui propri dati e Lei può ricevere una richiesta senza aspettarsela: in un negozio, in una scuola, nelle risorse umane o per e-mail. Saperla riconoscere e inoltrarla in tempo evita sanzioni.
I diritti
- Accesso (articolo 15 del GDPR): sapere se i propri dati sono trattati e ottenerne una copia, oltre alle informazioni sul trattamento.
- Rettifica (articolo 16): correggere dati inesatti o completare quelli incompleti.
- Cancellazione (articolo 17): chiedere che i dati siano cancellati quando non servono più, quando si revoca il consenso o quando sono stati trattati illecitamente. Non è un diritto assoluto: l'azienda può conservare i dati che una legge la obbliga a conservare.
- Opposizione (articolo 21): opporsi a un trattamento basato sul legittimo interesse o su un compito di interesse pubblico e, in qualsiasi momento, alla pubblicità (marketing diretto).
- Portabilità (articolo 20): ricevere i propri dati in un formato strutturato e di uso comune, quando il trattamento si basa sul consenso o su un contratto ed è automatizzato.
- Limitazione (articolo 18): chiedere che i dati siano conservati ma non usati, per esempio mentre si verifica se sono esatti.
Esiste anche il diritto di non essere sottoposti a decisioni basate unicamente sul trattamento automatizzato con effetti importanti (articolo 22).
Il termine: un mese
Il titolare deve rispondere al più tardi entro un mese dal ricevimento della richiesta (articolo 12, paragrafo 3, del GDPR). Se la richiesta è complessa o ce ne sono molte, il termine può essere prorogato di altri due mesi, ma bisogna informare la persona del ritardo e dei motivi entro il primo mese.
Soddisfare il diritto è gratuito. Si può addebitare un contributo ragionevole o rifiutarsi di dar seguito alla richiesta solo se le richieste sono manifestamente infondate o eccessive, e l'azienda deve poterlo giustificare.
Che cosa fare se riceve una richiesta
- La riconosca. Non serve che citi una legge né che usi un modulo. Frasi come «voglio sapere che dati avete su di me» o «cancellate i miei dati» sono già una richiesta.
- Non la ignori e non la lasci nella sua casella di posta. Il termine comincia a decorrere da quando l'azienda la riceve, anche se l'ha ricevuta Lei.
- La inoltri subito alla persona o al reparto che la Sua azienda ha designato, oppure al responsabile della protezione dei dati, se esiste.
- Non risponda di Sua iniziativa e non consegni dati a chi li chiede per telefono senza che l'identità sia stata verificata.
Verificare l'identità
Prima di consegnare i dati bisogna essere sicuri che chi li chiede sia davvero l'interessato. Se ci sono dubbi ragionevoli, l'azienda può chiedere informazioni aggiuntive per confermarlo (articolo 12, paragrafo 6). È una delle forme più comuni di fuga di dati: qualcuno si finge un'altra persona e chiede i suoi dati.
Il reclamo all'AEPD
Se l'azienda non risponde, risponde male o fuori termine, la persona può presentare un reclamo alla Agencia Española de Protección de Datos (articolo 77 del GDPR e LOPDGDD) e rivolgersi ai tribunali. L'AEPD può ordinare che il diritto sia soddisfatto e sanzionare chi non lo ha fatto.
Ricordi: in materia di diritti, l'orologio corre da quando qualcuno dell'azienda riceve la richiesta. La inoltri lo stesso giorno.