- IL DIRITTO DI ACCESSO

Solitamente quando si parla di diritto di accesso si pensa all’accesso ai documenti o alle informazioni detenute dalla Pubblica Amministrazione. Tale accesso è disciplinato, come noto, dagli artt. 22 e seguenti della L. 241/1990 per quanto riguarda l’accesso documentale, o dall’art. 5 comma 2 del D.Lgs 33/2013 per quanto riguarda l’accesso civico generalizzato.

Ma in tema di tutela dei dati personali, vi è un altro tipo di accesso, ovvero il diritto di accesso ai dati personali detenuti dal Titolare del Trattamento.

Tale tipo di accesso è specificamente disciplinato dall’art. 15 del Reg. UE 2016/679 (GDPR).

Il diritto è composto da tre diverse componenti e consente all’interessato di:

1. ottenere conferma dell’elaborazione o meno dei dati che lo riguardano;
2. accedere ai dati personali;
3. e accedere alle informazioni sul trattamento, quali: finalità, categorie di dati e destinatari, periodo di conservazione, diritti dell’interessato e presenza di garanzie adeguate in caso di trasferimenti verso Paesi terzi.

L’European Data Protection Board (EDPB), lo scorso 28 marzo 2023, ha adottato la versione definitiva delle Linee Guida 01/2022 sul diritto di accesso ai dati ai sensi dell’art. 15 GDPR.

- LE INDICAZIONI OPERATIVE

Le Linee Guida dell’EDPB, pur non indicando una procedura specifica per rispondere alle richieste degli interessati, forniscono alcune informazioni idonee a tracciare delle modalità operative nella gestione delle richieste di accesso ai dati.

MODALITA’ DI GESTIONE DELLA RISPOSTA Il Titolare, quando riceve una richiesta di accesso ai dati da parte del soggetto interessato, non deve richiedere le ragioni della richiesta in quanto si tratta di un diritto espresso riconosciuto dall’art. 15 del GDPR e non deve essere motivato. Va invece verificata, se vi sono dubbi, l’identità del richiedente, per accertarsi che sia effettivamente il soggetto interessato (o chi ha ricevuto procura dall’interessato).

Sotto il profilo operativo L’EDPB individua le seguenti domande che i titolari dovrebbero porsi nella valutazione delle richieste degli interessati:

1. La richiesta riguarda dati personali?
2. La richiesta riguarda la persona richiedente (o la persona per conto della quale il soggetto autorizzato/ delegato fa la richiesta)?
3. Si applicano disposizioni, diverse dal GDPR, che regolano l’accesso a una determinata categoria di dati?
4. La richiesta rientra nell’ambito di applicazione dell’art. 15 del GDPR?
5. Gli interessati vogliono accedere a tutte o a una parte delle informazioni che li riguardano?

A seguito della richiesta, valutati gli elementi di cui sopra, l’interessato ha diritto a ottenere tutti i dati che lo riguardano ad eccezione dei seguenti casi:

1. l’interessato ha esplicitamente delimitato il perimetro della richiesta ad alcuni dati;
2. se il titolare tratta una grande quantità di dati che riguardano l’interessato e la richiesta è espressa in termini generici, il titolare può avere dubbi sul fatto la richiesta di accesso sia realmente finalizzata al ricevimento di informazioni su tutte le tipologie di dati oggetto di trattamento o relativamente a tutti i settori di attività del titolare del trattamento. Tuttavia, se a seguito della richiesta di chiarimenti, l’interessato conferma di volere tutti i dati che lo riguardano, il Titolare deve soddisfare la richiesta.

Per facilitare l’esercizio del diritto, è necessario prevedere (eventualmente con alcune prove per accertare la funzionalità) una ricerca sulle banche dati per accertarsi in quali servizi risulti trattato il dato personale del soggetto richiedente (ad es. i dati dello stesso soggetto possono essere trattate dall’Ufficio anagrafe, dall’ufficio Tributi, Polizia Locale ecc.). Si ricorda che Il titolare deve fornire all’interessato tutte le informazioni e i dati che detiene al momento della richiesta; pertanto, dovrà includere anche informazioni su dati inesatti o su trattamenti che non sono più leciti. L’EDPB sottolinea, infatti, che uno degli obiettivi del diritto di accesso è quello di permettere all’interessato di venire a conoscenza di eventuali trattamenti illeciti.

La richiesta da parte del soggetto può avvenire a mezzo mail utilizzando gli indirizzi di comunicazione al Titolare o al DPO che sono indicate sulle informative sul trattamento dei dati o sul sito istituzionale dell’Ente. Una volta ricevuta la richiesta, deve essere dato riscontro tempestivo all’interessato sull’avvio delle procedure per fornire risposta alla richiesta, ciò anche ai fini del decorso dei tempi massimi di risposta.

TEMPI DI RISPOSTA Come puntualizzato poi dall’art. 12, paragrafo 3, l’interessato ha il diritto di ricevere dal titolare le informazioni richieste esercitando il proprio diritto di accesso il prima possibile e, comunque, al massimo entro un mese. Soltanto in casi particolari, ad esempio quando le richieste siano molto numerose oppure le informazioni da fornire siano particolarmente complesse, il titolare potrà estendere questo termine ad un periodo massimo di due mesi, informando però, sempre entro un mese dalla sua richiesta, l’interessato della necessità di proroga e dei relativi motivi che l’hanno resa necessaria. Si configura in questo modo l’obbligo per il titolare (o per il responsabile, se presente) di riscontrare sempre la richiesta dell’interessato entro un mese dalla ricezione, anche nel caso in cui non intenda ottemperare (il comma 4 dell’art. 12 GDPR prevede infatti che “Se non ottempera alla richiesta dell’interessato, il titolare del trattamento informa l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale”).

COSTI Le informazioni dovranno essere date a titolo gratuito all’interessato, salvo il caso eccezionale in cui il titolare debba sostenere delle spese tecniche rilevanti per adempiere (ad esempio, qualora siano state richieste più copie, art. 15, co. 3, GDPR) oppure le richieste dell’interessato siano risultate infondate o eccessive (art. 12, co. 5, GDPR): in presenza di simili condizioni, il titolare potrà, quindi, addebitare, entro limiti ragionevoli all’interessato una parte delle spese e richiedergli il versamento di un contributo.