Le persone i cui dati sono conservati hanno dei diritti ai sensi del UK GDPR. Il personale deve riconoscere una richiesta quando arriva, perché può arrivare a chiunque, a qualsiasi scrivania, per qualsiasi via.
I diritti principali
- Di essere informati. Le organizzazioni devono spiegare come usano i dati, di solito in un'informativa sulla privacy.
- Di accesso. Una persona può chiedere una copia dei propri dati personali e informazioni su come vengono usati. È una richiesta di accesso dell'interessato (subject access request, SAR).
- Di rettifica. I dati inesatti o incompleti devono essere corretti.
- Alla cancellazione. In alcuni casi i dati devono essere cancellati. Non è un diritto assoluto.
- Alla limitazione del trattamento. In alcuni casi l'uso dei dati viene sospeso.
- Alla portabilità dei dati. In alcuni casi una persona può ricevere i dati che ha fornito, in un formato riutilizzabile.
- Di opposizione. Una persona può opporsi ad alcuni usi, come quelli basati sul legittimo interesse. Il diritto di opporsi al marketing diretto è assoluto: quando qualcuno dice basta, deve finire.
- Relativi alle decisioni automatizzate. Esistono garanzie per le decisioni importanti prese solo con mezzi automatizzati. La legge del 2025 ha cambiato alcune regole, ma le persone mantengono tutele fondamentali, come il diritto di chiedere un riesame umano.
Come si presenta una richiesta di accesso
Una SAR non richiede un modulo speciale né le parole «subject access». Può essere:
- scritta o orale, per esempio in un'e-mail, in una lettera, in un messaggio sui social o in una telefonata;
- inviata a qualsiasi parte dell'organizzazione, non solo a un responsabile della protezione dei dati;
- formulata in modo semplice: «Per favore mi inviate tutto ciò che avete su di me.»
L'ICO afferma che un'organizzazione non dovrebbe pretendere un modulo. Una richiesta inviata alla persona sbagliata è comunque una richiesta.
Il termine
L'organizzazione deve rispondere senza ingiustificato ritardo ed entro un mese dal ricevimento della richiesta. Il termine decorre dal giorno in cui la richiesta viene ricevuta, non dal giorno in cui arriva alla persona giusta. Per questo deve inoltrarla subito.
Il termine può essere prorogato di altri due mesi al massimo se la richiesta è complessa o la persona ne ha fatte diverse. L'organizzazione deve informare la persona entro il primo mese e spiegarne il motivo. Il Data (Use and Access) Act 2025 consente anche di sospendere il termine mentre l'organizzazione chiede alla persona di precisare che cosa vuole, quando ne ha davvero bisogno per rispondere.
Altri punti
- La prima copia è normalmente gratuita. Un costo, o un rifiuto, è possibile solo se una richiesta è manifestamente infondata o eccessiva.
- L'organizzazione può dover verificare l'identità. Non dovrebbe chiedere più del necessario.
- Una persona ha diritto ai propri dati dopo una ricerca ragionevole e proporzionata. La legge del 2025 ha inserito questa formulazione nel testo. Non consente di saltare la ricerca.
- I dati su altre persone possono dover essere rimossi o protetti. È una decisione di chi gestisce la richiesta.
- Alcuni dati sono esenti, per esempio certi pareri legali. Non lo decida da solo.
- È un reato cancellare, nascondere o modificare dati per impedirne la comunicazione dopo una richiesta (section 173, DPA 2018).
Che cosa fare se riceve una richiesta
- Non la ignori e non risponda da solo.
- Annoti la data e chi l'ha fatta, e conservi il messaggio.
- La passi alla persona indicata nella Sua procedura lo stesso giorno.
- Non cancelli né modifichi i documenti collegati.
Se la richiesta è di correggere, cancellare o smettere di usare dati, segua gli stessi passaggi. Le organizzazioni devono anche gestire i reclami. Dal 19 giugno 2026 (una modifica introdotta dalla legge del 2025) un titolare deve offrire alle persone un modo per lamentarsi di come vengono usati i loro dati, confermare il ricevimento di un reclamo entro 30 giorni, trattarlo senza ingiustificato ritardo e comunicare l'esito. Le persone possono comunque rivolgersi all'ICO.