Cosa devo fare in caso di richiesta di accesso?

Un mese per rispondere a una richiesta di accesso

Quando qualcuno chiede accesso ai suoi dati personali, il presupposto è che vi si risponda entro il termine di un mese previsto dall'articolo 12 GDPR. Tale termine decorre dal momento in cui la richiesta viene ricevuta, e l'interessato non deve fornire una motivazione — il diritto di accesso di cui all'articolo 15 GDPR è indipendente da una giustificazione. In determinati casi, l'articolo 12 GDPR offre spazio per prorogare tale termine, purché ciò sia comunicato tempestivamente e con una spiegazione all'interessato.

In pratica, questo significa che innanzitutto si accerta se il richiedente è effettivamente la persona a cui si riferiscono i dati, e successivamente si verifica quali dati personali relativi a tale persona sono trattati. L'articolo 15 GDPR specifica cosa deve essere incluso nella risposta: tra le altre cose, lo scopo del trattamento dei dati, le categorie di dati interessati, chi li riceve o li riceverà, e per quanto tempo saranno conservati. Un prospetto che copra questi punti, in linguaggio comprensibile, è considerato un modo per soddisfare una richiesta di accesso.

Su quale base si fonda: articoli 15 e 12 GDPR

Il diritto di accesso deriva dall'articolo 15 GDPR e il termine di risposta corrispondente dall'articolo 12 GDPR; questi articoli si applicano direttamente e allo stesso modo in ogni Stato membro come parte di un regolamento, pertanto il nucleo di questo obbligo non differisce tra i Paesi Bassi e la Germania. Ciò che differisce è dove un interessato può rivolgersi se ritiene che la sua richiesta sia stata gestita in modo scorretto: nei Paesi Bassi è l'Autorità per la protezione dei dati personali, in Germania è l'autorità di controllo dello Stato federale in cui si trova la sede. L'Autorità per la protezione dei dati personali fornisce sul suo sito web una spiegazione su questo diritto e su come deve essere gestito.