In breve
- Diritti (artt. 15-22 GDPR): sapere se e quali dati sono trattati e averne copia; farli rettificare o integrare; farli cancellare; limitarne l'uso; riceverli in formato portabile; opporsi al trattamento, sempre per il marketing; non subire decisioni solo automatizzate.
- Come: richiesta scritta al titolare (o al DPO), senza formule obbligatorie; risposta entro un mese, prorogabile di due; gratis (art. 12).
- Limiti: libertà di espressione, obblighi di legge, difesa in giudizio, antiriciclaggio, indagini difensive, materia tributaria (art. 17, par. 3, GDPR; art. 2-undecies codice privacy).
- Se non rispondono: reclamo al Garante (decisione in 9 mesi) oppure ricorso al tribunale con rito del lavoro, in alternativa; risarcimento del danno materiale e immateriale (art. 82).
Come si esercita un diritto
«Il titolare del trattamento fornisce all'interessato le informazioni relative all'azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. Il titolare del trattamento informa l'interessato di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta».
La richiesta si rivolge al titolare del trattamento (l'azienda, l'ente, il professionista) e, se nominato, al responsabile della protezione dei dati (DPO), il cui contatto deve essere nell'informativa. Non servono moduli: basta una email o una PEC che identifichi il richiedente, indichi il diritto esercitato e, per l'accesso, i dati o i trattamenti che interessano (il modello del Garante è utile ma facoltativo). Il titolare può chiedere informazioni ulteriori se ha ragionevoli dubbi sull'identità (art. 12, par. 6), non pretendere un documento in ogni caso. Le informazioni sono fornite per iscritto, anche elettronicamente, e in forma concisa, trasparente e comprensibile; se la richiesta è elettronica, la risposta lo è di regola. Tutto è gratuito, salvo le richieste manifestamente infondate o eccessive, che il titolare deve provare tali (par. 5). La mancata risposta nel termine, o il rifiuto senza motivazione, sono violazioni autonome, sanzionabili dal Garante indipendentemente dal merito.
I diritti uno per uno
| Diritto | Che cosa si ottiene | Limiti principali |
|---|---|---|
| Accesso (art. 15) | Conferma del trattamento; accesso ai dati e a finalità, categorie, destinatari, periodo di conservazione, origine, esistenza di decisioni automatizzate con la logica usata; garanzie per i trasferimenti extra-UE; una copia dei dati, in formato elettronico d'uso comune se la richiesta è elettronica | Non deve ledere diritti e libertà altrui (segreti industriali, dati di terzi); copie ulteriori a pagamento |
| Rettifica (art. 16) | Correzione dei dati inesatti e integrazione di quelli incompleti, anche con una dichiarazione integrativa, senza ingiustificato ritardo | |
| Cancellazione (art. 17) | Eliminazione dei dati quando non sono più necessari, il consenso è revocato, ci si è opposti, il trattamento è illecito, c'è un obbligo di legge o i dati sono di un minore raccolti online; se i dati sono stati resi pubblici, il titolare deve informare gli altri titolari (oblio) | Libertà di espressione e informazione, obblighi di legge e compiti pubblici, sanità pubblica, archiviazione e ricerca, difesa di un diritto in giudizio (par. 3) |
| Limitazione (art. 18) | «Congelamento» dei dati (solo conservazione) mentre si verifica l'esattezza, se il trattamento è illecito ma non si vuole la cancellazione, se servono per una causa, in attesa della decisione sull'opposizione | |
| Portabilità (art. 20) | Ricevere i dati forniti in un formato strutturato e leggibile da dispositivo automatico, e farli trasmettere direttamente a un altro titolare se tecnicamente fattibile | Solo trattamenti basati su consenso o contratto ed eseguiti con mezzi automatizzati; non i dati inferiti |
| Opposizione (art. 21) | Per motivi legati alla situazione particolare, quando il trattamento si fonda sull'interesse pubblico o sul legittimo interesse: il titolare deve cessare salvo motivi legittimi cogenti prevalenti; per il marketing diretto, compresa la profilazione, l'opposizione è sempre e incondizionatamente accolta | |
| Decisioni automatizzate (art. 22) | Non essere sottoposti a decisioni basate unicamente su trattamenti automatizzati con effetti giuridici o significativi; nei casi ammessi (contratto, legge, consenso esplicito) diritto all'intervento umano, a esprimere la propria opinione e a contestare | Decisioni necessarie al contratto, autorizzate dalla legge, consentite |
Il codice privacy italiano aggiunge limiti ai diritti quando dal loro esercizio deriverebbe un pregiudizio effettivo e concreto agli interessi tutelati dall'antiriciclaggio, al sostegno delle vittime di estorsione, alle commissioni parlamentari d'inchiesta, alla vigilanza finanziaria, alle investigazioni difensive o all'esercizio di un diritto in sede giudiziaria, alla riservatezza di chi fa segnalazioni whistleblowing, alla materia tributaria (art. 2-undecies): in questi casi il titolare risponde motivando il diniego, e l'interessato può rivolgersi al Garante perché verifichi.
Se il titolare non risponde o rifiuta
- Sollecito con PEC o raccomandata, richiamando l'art. 12 e assegnando un breve termine: molte violazioni si risolvono qui, e la lettera documenta l'inadempimento.
- Reclamo al Garante (art. 77 GDPR; art. 141 codice privacy): si presenta online o per PEC con il modello del Garante, gratis e senza avvocato, descrivendo la violazione e allegando la richiesta e la risposta; il Garante informa sullo stato entro tre mesi e decide entro nove (dodici per esigenze istruttorie), con i poteri dell'art. 58: ordinare di soddisfare la richiesta, limitare o vietare il trattamento, infliggere sanzioni fino a 20 milioni di euro o al 4% del fatturato (art. 83). Non liquida risarcimenti.
- Ricorso al tribunale (art. 79 GDPR; art. 152 codice privacy; art. 10 D.Lgs. 150/2011): rito del lavoro davanti al tribunale del luogo in cui il titolare ha sede o in cui risiede l'interessato, per ottenere l'ordine di cessare la violazione e il risarcimento del danno materiale e immateriale (art. 82), che presuppone la prova di un danno concreto, anche solo morale, e non è automatico. Reclamo e ricorso sono alternativi per lo stesso oggetto (art. 140-bis).
- Contro la decisione del Garante, o se il Garante non decide nei termini, ricorso al tribunale entro trenta giorni (art. 10, commi 3-4, D.Lgs. 150/2011).
Consigli pratici
Formulare richieste precise: un accesso mirato («tutti i dati relativi al mio contratto n. … e alle segnalazioni a sistemi di informazione creditizia») ottiene risposte migliori di una richiesta onnicomprensiva, che il titolare può qualificare eccessiva. Conservare la prova dell'invio e della data. Per il marketing, opporsi con una riga e chiedere conferma della cancellazione dalle liste; per i call center, iscriversi al Registro delle opposizioni. Per i dati diffusi da terzi (motori di ricerca, siti, social) usare i moduli dedicati e poi il Garante, che ha procedure rapide per i contenuti lesivi. Le imprese che ricevono le richieste devono tracciarle, verificare l'identità in modo proporzionato, rispondere in modo completo e motivare ogni limitazione: le sanzioni per la mancata risposta sono tra le più frequenti nei provvedimenti del Garante.
Domande frequenti
Entro quanto devono rispondermi?
Senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta, prorogabile di due mesi per richieste complesse o numerose, avvisando entro il primo mese dei motivi del ritardo (art. 12, par. 3). Se il titolare non intende dare seguito deve dirlo, sempre entro un mese, indicando i motivi e la possibilità di reclamo al Garante e di ricorso al giudice. Il silenzio è già una violazione.
Possono farmi pagare?
No: l'esercizio dei diritti è gratuito. Solo per richieste manifestamente infondate o eccessive, in particolare ripetitive, il titolare può chiedere un contributo spese ragionevole o rifiutare, ma deve provare lui il carattere eccessivo (art. 12, par. 5). Per le copie ulteriori dei dati oltre la prima è ammesso un contributo basato sui costi amministrativi (art. 15, par. 3).
Garante o tribunale?
Sono alternativi per lo stesso oggetto: chi presenta reclamo al Garante non può poi fare causa per la stessa questione, e viceversa (art. 140-bis codice privacy). Il reclamo è gratuito, senza avvocato, deciso in nove mesi (dodici se complesso), e porta a ordini e sanzioni ma non al risarcimento; il ricorso al tribunale, con il rito del lavoro, consente di ottenere anche il risarcimento del danno (art. 82 GDPR). Contro la decisione del Garante si ricorre al tribunale entro trenta giorni.
Posso chiedere i dati di un'altra persona, per esempio di un defunto?
I diritti sono personali. Per i defunti, l'art. 2-terdecies del codice privacy consente di esercitarli a chi ha un interesse proprio, agisce a tutela dell'interessato come suo mandatario o per ragioni familiari meritevoli, salvo che il defunto lo abbia vietato per iscritto. Per i minori agiscono i genitori; per i lavoratori, il diritto di accesso comprende anche i dati raccolti con gli strumenti di lavoro nei limiti dello Statuto.
Fonti normative
- Art. 12 Reg. (UE) 2016/679 — Modalità per l'esercizio dei diritti
- Artt. 15-22 Reg. (UE) 2016/679 — Diritti dell'interessato
- Artt. 77, 79 e 82 Reg. (UE) 2016/679 — Reclamo, ricorso giurisdizionale, risarcimento
- Art. 2-undecies D.Lgs. 196/2003 — Limitazioni ai diritti dell'interessato
- Artt. 140-bis e 143 D.Lgs. 196/2003 — Forme alternative di tutela; decisione del reclamo
- Art. 10 D.Lgs. 150/2011 — Controversie in materia di protezione dei dati personali
I testi sono quelli vigenti su normattiva.it alla data di verifica della pagina.
Da leggere insieme
- Reputazione e contenuti onlineIl diritto all'oblio: deindicizzare e cancellare notizieTre livelli (cancellazione, deindicizzazione, aggiornamento e contestualizzazione), art. 17 GDPR e i suoi limiti (libertà di espressione e informazione, obblighi di legge, ricerca, giustizia), la giurisprudenza europea (Google Spain 2014, Google/CNIL 2019 sulla portata, C-460/20 del 2022 sulla prova dell'inesattezza) e italiana (Cassazione sugli archivi online), criteri del bilanciamento (tempo, ruolo pubblico, gravità del fatto, interesse storico, minori), procedura verso il motore di ricerca e verso l'editore, reclamo al Garante e ricorso al tribunale, deindicizzazione delle sentenze di assoluzione e archiviazione (art. 64-ter disp. att. c.p.p.), risarcimento, che cosa non si può ottenere.
- Reati contro la personaRevenge porn: la diffusione illecita di immagini sessualmente esplicite (art. 612-ter c.p.)Le due condotte (autore e ricevente con dolo di nocumento), oggetto (contenuti sessualmente espliciti destinati a restare privati), consenso, pena 1-6 anni e multa 5.000-15.000, aggravanti (coniuge o ex, mezzi informatici, vittima vulnerabile o incinta, movente di genere dal 2025), querela in 6 mesi e remissione solo processuale, d'ufficio, patteggiamento con avviso alla vittima, misure cautelari, rapporti con altri reati (minori, estorsione, stalking), tutela urgente: Garante in 48 ore, piattaforme, deindicizzazione, risarcimento e patrocinio a spese dello Stato.
- Mobbing, sicurezza e discriminazioniIl mobbing: come si prova e che cosa si ottieneDefinizione e requisiti (pluralità, durata, intento, danno, nesso), mobbing verticale, orizzontale, ascendente, straining e stress lavoro-correlato, differenze con il conflitto e con il legittimo esercizio del potere direttivo, fonti: art. 2087 c.c. (responsabilità contrattuale del datore), 2043-2059, art. 15 Statuto, molestie (D.Lgs. 198/2006), Convenzione ILO 190; prova: diario, email, ordini di servizio, testimoni, certificati medici e perizia; danni risarcibili (biologico, morale, esistenziale, professionale, patrimoniale); dimissioni per giusta causa e NASpI; INAIL e malattia professionale; penale (maltrattamenti, violenza privata, stalking, lesioni); prescrizione; procedura: contestazione scritta, sindacato, tentativo di conciliazione, ricorso al giudice del lavoro; consigli.
- Multe e sanzioni amministrativeLe sanzioni amministrative (L. 689/1981): verbale, scritti difensivi, ordinanza-ingiunzione, opposizioneLegalità, colpa, responsabilità solidale (art. 6), minimo e massimo (10-15.000 euro), criteri (art. 11), accertamento, contestazione e notifica (90/360 giorni), pagamento in misura ridotta (1/3 del massimo o doppio del minimo, 60 giorni), scritti difensivi e audizione (30 giorni), ordinanza-ingiunzione, rateizzazione (3-30 rate), opposizione (30 giorni, rito del lavoro, giudice di pace o tribunale), esecuzione e maggiorazione del 10% a semestre, prescrizione 5 anni; differenze con le multe stradali.
- TAR e Consiglio di StatoL'accesso agli atti amministrativi e l'accesso civicoAccesso documentale (interesse, motivazione, 30 giorni, limiti, controinteressati, ricorso al TAR o al difensore civico), accesso civico semplice e generalizzato (senza motivazione, riesame, ricorso), costi.