Per una richiesta di rettifica o di opposizione al trattamento si applica lo stesso termine di una richiesta di accesso o di cancellazione: un mese dalla ricezione. Il GDPR consente di prolungare questo termine di un massimo di due mesi se la richiesta è complessa o se si ricevono molte richieste contemporaneamente, ma in tal caso è necessario informare l'interessato entro il primo mese che state prolungando il termine e il motivo.
Ciò che spesso va male nella pratica non è il termine stesso, ma il momento in cui inizia a decorrere. Nel caso della rettifica e dell'opposizione, inoltre, vi è una questione sostanziale che non si pone nel caso di una richiesta di accesso: la richiesta è fondata? La valutazione di ciò richiede tempo e tale tempo di valutazione rientra nello stesso mese.
Cosa misura esattamente il cronometro
Il mese inizia dal momento della ricezione della richiesta presso di voi, non dal momento in cui la riconoscete come tale. Un'e-mail al servizio clienti con "questo non è corretto, modificate questo" è già una richiesta di rettifica, anche se nessuno l'ha registrata come tale. Lo stesso vale per l'opposizione: un cliente che scrive "non voglio più che utilizziate i miei dati per questo scopo" non ha bisogno di usare la parola opposizione. Le autorità di controllo, nella valutazione dell'elaborazione, guardano al momento della ricezione, non al momento del riconoscimento. Chi non registra questa distinzione spesso perde giorni prima che la richiesta sia inserita nell'agenda come richiesta.
Rettifica: spesso veloce, ma con una condizione
Una correzione di un indirizzo o di un numero di telefono è generalmente semplice e veloce da elaborare. Diventa più complicato quando l'interessato sostiene che una valutazione, una nota o un'annotazione nel fascicolo è inesatta. Non si tratta più di un errore fattuale, ma di una valutazione sostanziale, che richiede il coordinamento con la persona che ha fatto l'annotazione. Tale coordinamento deve rientrare nel termine di un mese e ciò è possibile solo se la richiesta raggiunge immediatamente la persona giusta invece di rimanere con chi ha aperto casualmente l'e-mail.
Opposizione: valutare, non accettare automaticamente
Un'opposizione al trattamento non deve essere automaticamente accolta. Il regolamento stabilisce che un'organizzazione può valutare se vi sono motivi legittimi prevalenti per continuare il trattamento, ad esempio nel caso di un contratto in corso o di un obbligo legale. Tale valutazione deve essere comunicata in modo motivato all'interessato entro lo stesso termine. Molte aziende sottovalutano il tempo necessario per tale motivazione, perché dimenticano che dire "no" a un'opposizione deve essere fondato tanto quanto dire "sì".
Dove il termine si blocca nella pratica
Nella maggior parte dei casi il termine non si blocca sul contenuto, ma su tre punti riconoscibili. Il primo è il riconoscimento: la richiesta non viene riconosciuta come tale e rimane in una casella di posta. Il secondo è la verifica: prima di modificare i dati o interrompere un trattamento, è necessario essere ragionevolmente certi che il richiedente sia effettivamente l'interessato, e questo controllo richiede tempo che non è sempre stato pianificato. Il terzo è il coordinamento all'interno dell'organizzazione stessa: un fascicolo del personale o una valutazione dei clienti spesso non si trova presso una sola persona, e senza un punto di contatto fisso la ricerca dura più della decisione. Una banca dati nella quale ogni tipo di richiesta è spiegata separatamente aiuta a fare questa distinzione in anticipo invece che alla prima richiesta.
Cosa conta come tempestivo
Rispondere in tempo significa che l'interessato riceve una risposta sostanziale entro il termine, un rifiuto motivato, oppure una comunicazione che il termine viene prorogato. Una ricevuta di ricezione senza contenuto non conta come adempimento. Proprio perché la rettifica e l'obiezione richiedono spesso una valutazione più sostanziale rispetto a una richiesta di accesso, è consigliabile determinare già all'inizio del mese chi all'interno dell'organizzazione effettua tale valutazione e sulla base di quali informazioni. La domande frequenti su richieste degli interessati forniscono per ogni situazione una breve risposta su cosa rientra e cosa non rientra in questo termine.
Se una richiesta concreta è fondata e come motivate un rifiuto è qualcosa che varia da situazione a situazione e per cui, in caso di dubbio, consultate un legale o l'Autorità per la protezione dei dati. Ciò che gdpria.eu fa è monitorare il termine stesso: non appena una richiesta è registrata, il termine inizia automaticamente a decorrere, incluso il momento in cui deve essere comunicata una proroga. Su come funziona si trova la logica di questo termine e come viene gestita.
Desiderate vedere per la vostra azienda come appare nella pratica una richiesta di questo tipo e dove siete adesso? La valutazione rapida gratuita su gdpria.eu fornisce in poche domande un primo indicazione, e con un account aziendale documentate l'adempimento di ogni richiesta con il relativo termine.