Chiedere la cancellazione dei propri dati personali significa esercitare uno dei diritti riconosciuti dal Regolamento generale sulla protezione dei dati, il GDPR. Può essere utile quando si è chiuso un account, non si utilizza più un servizio, si è revocato un consenso, si scopre che un’azienda conserva informazioni non più necessarie oppure si ritiene che determinati dati siano stati trattati senza un valido presupposto.
La cancellazione, però, non è automatica in ogni situazione. Il diritto previsto dall’articolo 17 del GDPR opera quando ricorrono determinati presupposti e incontra alcune eccezioni. Un’azienda, per esempio, potrebbe dover conservare per legge una parte della documentazione relativa a un rapporto contrattuale anche dopo la chiusura dell’account. Questo non significa che possa continuare a utilizzare liberamente quei dati per qualsiasi scopo. Per ottenere una risposta utile conviene quindi indirizzare la richiesta al soggetto corretto, identificare con precisione i dati o il servizio interessato e chiedere conferma delle operazioni effettuate. Se il titolare non risponde o rifiuta la cancellazione, deve normalmente spiegare perché. A quel punto l’interessato può valutare ulteriori iniziative, compreso il reclamo al Garante per la protezione dei dati personali.
Che cosa significa cancellare i dati personali
Nel GDPR il diritto alla cancellazione viene spesso chiamato anche diritto all’oblio. In termini pratici significa poter chiedere al titolare del trattamento di eliminare i dati personali che riguardano l’interessato quando ricorrono le condizioni previste dalla normativa.
Per dato personale non si intende soltanto nome, cognome o codice fiscale. Possono essere dati personali anche indirizzo email, numero di telefono, fotografie, identificativi online, cronologia collegata a un account, informazioni sulla posizione, dati relativi agli acquisti e molte altre informazioni che permettono di identificare direttamente o indirettamente una persona.
La cancellazione non deve essere confusa con la semplice disattivazione dell’account. Un servizio potrebbe disabilitare l’accesso del cliente mantenendo comunque parte delle informazioni nei propri sistemi per finalità consentite. Se l’obiettivo è esercitare il diritto previsto dal GDPR, è quindi meglio chiedere espressamente la cancellazione dei dati personali e non limitarsi a domandare la chiusura dell’account.
Quando si può chiedere la cancellazione
L’articolo 17 del GDPR individua diverse situazioni nelle quali l’interessato può ottenere la cancellazione dei propri dati.
Una delle più comuni si verifica quando le informazioni non sono più necessarie rispetto alle finalità per le quali erano state raccolte o trattate. Immaginiamo di avere fornito alcuni dati per partecipare a un’iniziativa terminata da molto tempo. Se non esiste un’altra valida ragione per conservarli, può essere possibile chiederne l’eliminazione.
Un’altra situazione riguarda il consenso. Quando il trattamento si fonda sul consenso dell’interessato, questo può essere revocato. Se dopo la revoca non rimane un’altra base giuridica che giustifichi il trattamento, può sorgere il diritto alla cancellazione.
La cancellazione può inoltre essere richiesta quando l’interessato si oppone al trattamento nei casi previsti dal GDPR e non esistono motivi legittimi prevalenti che consentano di proseguirlo. Per il marketing diretto la disciplina dell’opposizione offre una tutela particolarmente netta: se una persona si oppone al trattamento dei propri dati per finalità di marketing diretto, i dati non possono continuare a essere utilizzati per quella finalità.
Rientrano tra i presupposti del diritto alla cancellazione anche il trattamento illecito e i casi nei quali i dati devono essere eliminati per adempiere un obbligo giuridico previsto dal diritto dell’Unione europea o dello Stato membro applicabile al titolare.
Il GDPR contempla inoltre una specifica situazione relativa ai dati raccolti in relazione all’offerta di servizi della società dell’informazione ai minori secondo le condizioni previste dal Regolamento.
La cancellazione non è sempre possibile
Inviare una richiesta ai sensi dell’articolo 17 non significa che qualsiasi informazione debba essere distrutta immediatamente. Il GDPR prevede espressamente alcune eccezioni.
Il trattamento può dover proseguire, per esempio, quando è necessario per esercitare il diritto alla libertà di espressione e di informazione oppure per adempiere un obbligo legale che impone al titolare di conservare determinati dati.
Esistono eccezioni anche quando il trattamento è necessario per svolgere un compito di interesse pubblico o esercitare pubblici poteri, per determinate ragioni di interesse pubblico nel settore della sanità, per finalità di archiviazione nel pubblico interesse, ricerca scientifica o storica e fini statistici nei casi previsti, nonché per accertare, esercitare o difendere un diritto in sede giudiziaria.
Un esempio molto semplice riguarda i documenti contabili. Aver chiuso il proprio account presso un’azienda non significa necessariamente poter pretendere l’immediata eliminazione di ogni fattura o documento che l’impresa deve conservare per un periodo imposto dalla normativa.
In una situazione del genere, però, il fatto che alcuni dati debbano essere conservati non autorizza automaticamente l’impresa a continuare a utilizzarli per scopi completamente diversi, come l’invio di pubblicità.
A chi bisogna inviare la richiesta
La richiesta deve essere rivolta al titolare del trattamento. È il soggetto che determina finalità e mezzi del trattamento dei dati personali e che deve organizzarsi per consentire agli interessati di esercitare i propri diritti.
Per individuarlo, la prima cosa da leggere è l’informativa privacy del sito, dell’applicazione, dell’azienda o dell’ente interessato. L’informativa dovrebbe indicare l’identità del titolare e i relativi recapiti.
Molte organizzazioni pubblicano un indirizzo email specifico per la privacy oppure mettono a disposizione un modulo online. Se è stato nominato un Responsabile della protezione dei dati, conosciuto anche con la sigla DPO, possono essere indicati anche i suoi recapiti.
L’interessato può contattare il DPO per questioni relative al trattamento dei propri dati personali e all’esercizio dei diritti. La responsabilità di assicurare un corretto riscontro alla richiesta rimane comunque nell’organizzazione del titolare del trattamento.
Incaricato trattamento dati personali GDPR: chi è e che ruolo ha
L’espressione incaricato del trattamento dei dati personali viene ancora utilizzata molto spesso nelle aziende e nelle comunicazioni quotidiane. Nel quadro attuale è però utile distinguere bene i ruoli, perché il GDPR utilizza una terminologia più precisa.
Il titolare del trattamento è chi decide perché e come devono essere trattati i dati. Il responsabile del trattamento è invece un soggetto distinto che tratta dati personali per conto del titolare, sulla base delle istruzioni ricevute e del rapporto disciplinato dall’articolo 28 del GDPR.
All’interno dell’organizzazione possono poi esserci persone fisiche che lavorano sotto l’autorità del titolare o del responsabile e sono autorizzate a trattare i dati. L’articolo 29 del GDPR stabilisce che chi opera sotto tale autorità e ha accesso ai dati personali non può trattarli se non è istruito in tal senso, salvo che il diritto dell’Unione o nazionale lo richieda.
Nel sistema italiano assume rilievo anche l’articolo 2-quaterdecies del Codice in materia di protezione dei dati personali, che consente al titolare e al responsabile di attribuire specifici compiti e funzioni connessi al trattamento a persone fisiche espressamente designate che operano sotto la loro autorità.
Queste figure vengono spesso chiamate ancora “incaricati privacy” o “incaricati del trattamento”. Più precisamente si parla frequentemente di persone autorizzate al trattamento.
Che cosa cambia per chi vuole chiedere la cancellazione? La richiesta non dovrebbe essere indirizzata genericamente a un singolo dipendente che tratta i dati durante il proprio lavoro. La domanda va rivolta al titolare attraverso i canali indicati nell’informativa privacy.
Un dipendente autorizzato può naturalmente ricevere materialmente la comunicazione, registrarla o inoltrarla all’ufficio competente secondo le procedure interne. Non è però il fatto di essere “incaricato” a renderlo automaticamente il soggetto che decide se esistano o meno i presupposti per cancellare i dati.
Se quindi sul sito trovi i recapiti dell’ufficio privacy, del titolare o del DPO, utilizza quelli. Rivolgersi al normale servizio clienti può funzionare quando l’azienda ha organizzato in quel modo la raccolta delle richieste, ma è preferibile utilizzare il canale specificamente indicato per l’esercizio dei diritti quando esiste.
Come presentare la richiesta di cancellazione
Il Garante chiarisce che l’esercizio dei diritti privacy non richiede particolari formalità. Una richiesta può quindi essere presentata attraverso diversi mezzi, come posta elettronica, PEC, lettera o gli eventuali strumenti messi a disposizione dal titolare.
Non serve necessariamente un linguaggio da avvocato. È molto più importante che la richiesta sia comprensibile e permetta all’organizzazione di individuare l’interessato e ciò che viene richiesto.
Conviene indicare nome e cognome e, quando utile, l’indirizzo email o l’identificativo dell’account collegato al servizio. Se l’azienda gestisce più rapporti con la stessa persona, può essere utile specificare quale account, contratto o servizio è interessato.
Bisogna poi dichiarare chiaramente di voler esercitare il diritto alla cancellazione dei dati personali ai sensi dell’articolo 17 del Regolamento UE 2016/679.
Quando la richiesta riguarda soltanto determinate informazioni, è meglio specificarlo. Per esempio, si può chiedere la cancellazione di un vecchio profilo, delle informazioni pubblicate in una determinata area oppure dei dati utilizzati per uno specifico trattamento.
Si può infine chiedere una conferma scritta dell’avvenuta cancellazione o, qualora alcuni dati non possano essere eliminati, l’indicazione delle ragioni che giustificano l’ulteriore conservazione.
Bisogna spiegare perché si vogliono cancellare i dati?
Non sempre è necessario raccontare dettagliatamente le ragioni personali che hanno portato alla richiesta. Può essere però utile indicare il presupposto sul quale si fonda la domanda, soprattutto quando non è immediatamente evidente.
Si può specificare, per esempio, che l’account è stato chiuso e i dati non sono più necessari, che si revoca il consenso precedentemente prestato oppure che si ritiene il trattamento privo di una valida base giuridica.
Una richiesta precisa aiuta il titolare a valutarla più rapidamente e riduce il rischio di ricevere una risposta generica.
Non serve invece costruire una lunga argomentazione legale se il caso è semplice. Scrivere chiaramente quale diritto si esercita, quali dati sono interessati e quale risultato si richiede è normalmente molto più efficace.
Bisogna allegare il documento di identità?
Non è opportuno inviare automaticamente una copia del documento a chiunque ogni volta che si esercita un diritto privacy. Anche la copia della carta d’identità contiene dati personali e deve essere trattata con attenzione.
Il titolare deve però essere ragionevolmente certo dell’identità di chi presenta la richiesta. Se esistono dubbi giustificati, il GDPR consente di chiedere ulteriori informazioni necessarie per confermare l’identità dell’interessato.
La soluzione migliore dipende quindi dal contesto. Se scrivi dall’indirizzo email già associato al tuo account e l’azienda dispone di sistemi adeguati per verificarlo, potrebbero non essere necessarie ulteriori informazioni. Un servizio potrebbe anche utilizzare l’accesso autenticato al profilo per consentire l’esercizio del diritto.
Se il titolare chiede un documento, dovrebbe richiedere soltanto quanto ragionevolmente necessario alla verifica. In caso di dubbi sulla richiesta ricevuta, soprattutto quando vengono domandate copie integrali di molti documenti, è possibile chiedere perché siano necessarie e quali dati servano effettivamente.
Quanto tempo ha l’azienda per rispondere
Il GDPR stabilisce che il titolare fornisca informazioni sull’azione intrapresa in relazione alla richiesta senza ingiustificato ritardo e, in generale, entro un mese dal ricevimento.
Quando le richieste sono particolarmente complesse o numerose, il termine può essere prorogato di altri due mesi. Il titolare deve però informare l’interessato della proroga entro il primo mese, spiegandone le ragioni.
Non significa quindi che ogni richiesta debba necessariamente concludersi con la cancellazione entro pochi giorni. Significa che esiste un quadro preciso entro il quale il titolare deve gestire e riscontrare l’esercizio del diritto.
Se il titolare decide di non dare seguito alla richiesta, deve informare l’interessato delle ragioni e delle possibilità di tutela previste, compreso il reclamo a un’autorità di controllo.
La richiesta di cancellazione è gratuita?
Come regola generale, l’esercizio dei diritti previsti dal GDPR è gratuito.
Esiste però un’eccezione per richieste manifestamente infondate o eccessive, in particolare quando sono ripetitive. In queste circostanze il titolare può, nei casi previsti dal Regolamento, addebitare un contributo spese ragionevole oppure rifiutare di soddisfare la richiesta, dovendo essere in grado di dimostrarne il carattere manifestamente infondato o eccessivo.
Inviare una normale richiesta di cancellazione dei propri dati non dovrebbe quindi comportare un costo.
Cosa succede se i dati sono stati comunicati ad altri
Il problema non termina necessariamente nei sistemi del titolare. I dati potrebbero essere stati comunicati a destinatari diversi.
Il GDPR prevede che il titolare comunichi ai destinatari ai quali i dati personali sono stati trasmessi l’eventuale cancellazione effettuata in conformità al Regolamento, salvo che ciò risulti impossibile o richieda uno sforzo sproporzionato.
L’interessato può inoltre chiedere al titolare informazioni sui destinatari ai quali tale comunicazione è stata effettuata.
Un’ulteriore previsione riguarda il caso in cui il titolare abbia reso pubblici i dati personali e sia obbligato a cancellarli. Tenendo conto della tecnologia disponibile e dei costi di attuazione, deve adottare misure ragionevoli per informare gli altri titolari che stanno trattando quei dati della richiesta di eliminare link, copie o riproduzioni nei casi previsti.
Cancellare un account e cancellare i dati non sono la stessa cosa
Molti servizi online permettono di premere un pulsante “Elimina account”. È sicuramente il primo strumento da utilizzare quando disponibile, ma è utile leggere cosa comporta effettivamente la procedura.
Alcuni servizi cancellano immediatamente parte dei dati, altri prevedono un periodo durante il quale l’account può essere riattivato. Altri ancora eliminano il profilo visibile ma conservano determinate informazioni per obblighi di legge, sicurezza, gestione delle contestazioni o altre finalità ammesse.
Se dopo aver eliminato l’account vuoi sapere cosa sia stato conservato, puoi esercitare i diritti previsti dal GDPR e chiedere chiarimenti al titolare.
La chiusura di un account non dovrebbe quindi essere utilizzata come sinonimo automatico di cancellazione integrale di qualsiasi informazione presente in ogni sistema dell’organizzazione.
Cancellazione e revoca del consenso
Anche revoca del consenso e cancellazione sono due operazioni differenti.
Se avevi autorizzato un determinato trattamento sulla base del consenso, puoi revocarlo. La revoca non rende illecito ciò che è stato legittimamente fatto prima che venisse comunicata, ma impedisce di continuare il trattamento su quella stessa base per il futuro.
Quando, dopo la revoca, non esiste nessun’altra base giuridica per conservare i dati, può essere richiesto anche l’esercizio del diritto alla cancellazione.
Un’azienda potrebbe però avere contemporaneamente più basi giuridiche per diversi trattamenti. Può quindi dover interrompere l’attività fondata sul consenso e conservare alcune informazioni per un obbligo di legge.
Cancellazione dei dati e marketing
Se il problema concreto è smettere di ricevere pubblicità, può essere sufficiente esercitare il diritto di opposizione al marketing diretto oppure utilizzare gli strumenti messi a disposizione per interrompere le comunicazioni.
La cancellazione completa dell’account non è sempre necessaria per ottenere questo risultato.
In alcuni casi un’organizzazione può persino avere necessità di conservare una quantità minima di informazioni in una lista di esclusione proprio per ricordare che quella persona si è opposta al marketing e non deve essere reinserita in future campagne. La conservazione deve comunque essere limitata alla finalità pertinente e rispettare i principi del GDPR.
Se quindi vuoi mantenere il servizio ma non ricevere più newsletter o telefonate promozionali, formula una richiesta di opposizione al marketing invece di chiedere indiscriminatamente la cancellazione di qualsiasi informazione.
Diritto alla cancellazione e diritto all’oblio online
Quando informazioni personali compaiono su internet, la situazione può coinvolgere soggetti differenti. C’è innanzitutto il sito che pubblica il contenuto. Può esserci poi un motore di ricerca che mostra quel contenuto nei risultati associati al nome della persona.
Chiedere al motore di ricerca di non mostrare determinati risultati associati al proprio nome, quando ne ricorrono i presupposti, non equivale necessariamente a eliminare il contenuto dal sito originario. Allo stesso modo, ottenere la cancellazione dal sito può richiedere un successivo aggiornamento degli indici dei motori.
Quando si parla genericamente di diritto all’oblio bisogna quindi capire quale risultato si vuole ottenere: cancellazione del dato dalla fonte, rimozione di una pagina, deindicizzazione dai motori di ricerca oppure più interventi contemporaneamente.
Cosa fare se l’azienda risponde che non può cancellare i dati
Un rifiuto non è necessariamente illegittimo. Come abbiamo visto, esistono circostanze nelle quali il titolare può essere obbligato o autorizzato a conservare alcune informazioni.
La risposta dovrebbe però permettere di capire perché la cancellazione non viene effettuata. Una formula generica come “non possiamo cancellare i dati per motivi aziendali” difficilmente aiuta l’interessato a valutare la situazione.
È utile distinguere inoltre tra una cancellazione negata completamente e una cancellazione soltanto parziale. Un’impresa potrebbe, per esempio, cancellare un profilo utilizzato per finalità commerciali ma continuare a conservare fatture e documenti relativi al rapporto contrattuale per il periodo richiesto dalla normativa.
Se la motivazione non è chiara, puoi chiedere quale base giuridica giustifichi la conservazione, per quale finalità i dati continuino a essere trattati e, quando applicabile, per quanto tempo sia prevista la conservazione.
Cosa fare se non arriva nessuna risposta
Se è trascorso il termine previsto senza ricevere né una risposta né una comunicazione di proroga, conserva la prova della richiesta inviata e della sua ricezione.
Puoi inviare un sollecito richiamando la precedente comunicazione e chiedendo un riscontro. Questa operazione non è necessariamente obbligatoria per esercitare ulteriori tutele, ma può risolvere casi nei quali la prima richiesta è semplicemente rimasta bloccata in un flusso amministrativo.
Se il titolare continua a non rispondere oppure fornisce un riscontro che ritieni non conforme alla normativa, puoi valutare la presentazione di un reclamo al Garante per la protezione dei dati personali.
Il Garante mette a disposizione informazioni, modulistica per l’esercizio dei diritti e un modello specifico per il reclamo. Non è necessario utilizzare formule particolarmente complesse: ciò che conta è descrivere il trattamento contestato, le richieste già presentate e il comportamento del titolare.
Quando rivolgersi al Garante per la protezione dei dati personali
Il reclamo è uno degli strumenti previsti per chi ritiene che un trattamento di dati personali violi il GDPR.
Prima di arrivare a questo passaggio è molto utile avere una traccia della richiesta originaria. Conserva quindi email, PEC, ricevute della raccomandata, risposte dell’azienda e qualsiasi documento collegato alla vicenda.
Se il titolare afferma di avere cancellato i dati ma continuano a verificarsi trattamenti che sembrano incompatibili con tale dichiarazione, conserva anche gli elementi che lo dimostrano, come ulteriori email commerciali o schermate del profilo ancora attivo.
In alternativa o insieme agli strumenti amministrativi previsti dalla normativa, il GDPR riconosce anche forme di tutela giudiziaria. In situazioni complesse, soprattutto quando è coinvolto un possibile danno significativo, può essere opportuno chiedere assistenza a un avvocato con esperienza in protezione dei dati personali.
Errori da evitare nella richiesta di cancellazione
Il primo errore è inviare la richiesta al primo dipendente di cui si trova l’indirizzo email senza verificare chi sia il titolare e quale canale privacy sia stato predisposto.
Un altro errore consiste nel chiedere semplicemente di “cancellare tutto” senza identificare account, servizio o rapporto interessato. Una richiesta precisa è più semplice da gestire e riduce il rischio di equivoci.
Bisogna inoltre evitare di confondere revoca del consenso, opposizione al marketing, chiusura dell’account e cancellazione ai sensi dell’articolo 17. Sono strumenti che possono produrre effetti differenti.
Non inviare automaticamente copie di documenti di identità a indirizzi non verificati. Prima controlla che si tratti effettivamente del canale dell’organizzazione e valuta se l’identificazione richiesta sia necessaria e proporzionata.
Infine, non interpretare qualsiasi conservazione come una violazione. Può esistere un obbligo legale o un’altra eccezione prevista dal GDPR. Il punto è capire quali dati vengono conservati, per quale motivo e per quali finalità possono ancora essere utilizzati.
Come formulare una richiesta efficace
Una richiesta efficace può essere relativamente breve. Identifica te stesso e il rapporto con il titolare, specifica i dati o l’account interessato e dichiara che intendi esercitare il diritto alla cancellazione previsto dall’articolo 17 del GDPR.
Se conosci il motivo giuridico, puoi aggiungerlo. Per esempio, puoi spiegare che i dati non sono più necessari alla finalità originaria oppure che hai revocato il consenso sul quale si basava il trattamento.
Chiedi quindi che venga confermata l’avvenuta cancellazione. Se alcuni dati devono essere conservati, domanda che ti vengano indicate le ragioni e, quando possibile, la finalità e il periodo di conservazione applicabile.
Quando sai che le informazioni sono state comunicate ad altri destinatari, puoi chiedere anche che vengano effettuate le comunicazioni previste dal GDPR e che ti vengano fornite informazioni sui destinatari nei limiti stabiliti dalla normativa.
Conserva infine copia della richiesta e prova dell’invio. Una comunicazione ben documentata semplifica qualsiasi passaggio successivo.
Conclusioni
Per chiedere la cancellazione dei dati personali bisogna innanzitutto individuare il titolare del trattamento attraverso l’informativa privacy e inviargli una richiesta chiara ai sensi dell’articolo 17 del GDPR. È utile identificare l’account o i dati interessati, spiegare quando necessario il presupposto della richiesta e chiedere conferma della cancellazione oppure una motivazione se alcune informazioni devono essere conservate.
Non confondere il titolare con il singolo incaricato o dipendente autorizzato a trattare i dati: la richiesta deve entrare nei canali predisposti dall’organizzazione per l’esercizio dei diritti. Se il titolare non risponde entro i termini previsti, rifiuta senza una motivazione adeguata o continua un trattamento che ritieni illecito, conserva tutta la documentazione e valuta un reclamo al Garante per la protezione dei dati personali. Il passo più utile, quindi, è recuperare l’informativa privacy del soggetto che possiede i dati e utilizzare il recapito indicato per inviare una richiesta precisa e documentabile.
