Un interessato che richiede l'accesso, la rettifica o la cancellazione dei suoi dati ha diritto a una risposta entro un mese dalla ricezione della richiesta. Questa è la regola principale del RGPD. Se la richiesta ha un ambito complesso oppure ne ricevete più di una contemporaneamente, il regolamento offre spazio per prorogare tale termine di al massimo due mesi — a condizione che informiate l'interessato entro il primo mese e gli spieghiate il motivo.
Nella pratica, il termine legale raramente è il problema. Dove le aziende incontrano difficoltà è nel processo preliminare: stabilire esattamente chi sta richiedendo quali dati, individuare in quali sistemi si trovano questi dati, e valutare se si applicano eccezioni prima di eliminare o fornire qualcosa. Chi non aveva organizzato questo processo si accorge che il termine è già iniziato una settimana prima che qualcuno internamente abbia esaminato la richiesta.
Quando inizia a decorrere il termine
Il termine inizia nel momento in cui la richiesta vi raggiunge, non quando la affrontate dal punto di vista sostanziale. Una richiesta via e-mail a un indirizzo generico, tramite la reception o a un singolo dipendente conta allo stesso modo. Ciò significa che un'azienda in cui tali messaggi non vengono prontamente inoltrati alla persona giusta perde tempo che non può più essere recuperato. Chi sa esattamente cosa è una richiesta valida e dove deve arrivare, vince qui nei primi giorni più importanti.
Cosa significa la proroga nella pratica
La possibilità di proroga non è una carta bianca per aspettare che conviene. Il RGPD collega la proroga alla complessità della richiesta stessa — ad esempio perché i dati sono dispersi su più sistemi o anni, oppure perché prima deve essere accertato se la comunicazione incide sui diritti di altri. Una richiesta che semplicemente è rimasta in sospeso non rientra in questo. Le autorità di controllo e i giudici esaminano la natura della richiesta, non il carico di lavoro dell'ufficio.
Dove il termine in pratica si inceppa
Tre punti ritornano sempre. In primo luogo la verifica dell'identità: dovete essere ragionevolmente certi di fornire i dati alla persona interessata, senza chiedere inutilmente troppe informazioni supplementari. In secondo luogo la dispersione dei dati su diversi strumenti SaaS — un CRM, un pacchetto contabile, un programma di posta — per cui una sola richiesta tocca rapidamente più posti contemporaneamente. In terzo luogo la questione se i dati che in realtà avrebbero dovuto essere già cancellati si trovino ancora da qualche parte in un backup o in un vecchio file. Quest'ultimo aspetto è strettamente collegato ai termini di conservazione che non sono chiaramente definiti.
Un'azienda che sa in anticipo quali dati personali elabora e dove, non deve più cercare quando riceve una richiesta ma può guardare subito. È proprio per questo che un registro attuale delle attività di trattamento è più di una formalità: è il manuale di riferimento con cui affrontate una richiesta entro il termine anziché cercarla. Nella banca dati gli argomenti sono spiegati per situazione, compresa l'indicazione nella documentazione ufficiale.
Cosa potete fare voi stessi per restare entro il termine
Stabilite chi riconosce una richiesta e dove va. Chiarite quali dati si trovano in quale strumento, in modo che non dobbiate indovinare di nuovo dove cercare ad ogni richiesta. E organizzate in anticipo una routine per la verifica dell'identità, in modo che non venga ideata al caso quando il termine è già in corso. Chi dubita se una richiesta specifica rientra nella regola principale o nella proroga, può presentarla a un legale o verificarla presso l'Autorità per la protezione dei dati.
Se un evento relativo ai dati ha l'obbligo di comunicazione è una domanda diversa dal termine per una richiesta di un interessato — si applicano regole diverse e un termine più breve. Se dubitate se qualcosa rientra in questa categoria, potete verificarlo con alcuni quesiti per avere un'indicazione. Come gdpria.eu collega i termini, i modelli e i promemoria per ogni obbligo al vostro registro personale, potete leggere su la pagina che spiega da dove provengono le informazioni.
Volete sapere come sta la vostra azienda in questo momento, senza costi immediati? Fate la scansione rapida gratuita o leggete gli argomenti che più si adattano alla vostra situazione tramite le domande frequenti sulle richieste degli interessati.