Per una richiesta di cancellazione, anche chiamata diritto all'oblio, il GDPR prevede un termine di un mese. Questo mese inizia nel momento in cui ricevete la richiesta, non nel momento in cui riconoscete che si tratta di una richiesta ufficiale secondo il GDPR. Se una richiesta è complicata, o se ne ricevete molte contemporaneamente, potete estendere il termine di due mesi. Dovete però comunicare questo prolungamento al titolare dei dati entro il primo mese, indicando il motivo del rinvio.
Nella pratica, un mese è più breve di quanto sembri. Una richiesta di cancellazione spesso non arriva come documento formale, ma come un'email, una telefonata o un messaggio tramite il modulo di contatto sul sito web. Nel tempo che impiega qualcuno nell'organizzazione a riconoscerla come richiesta secondo il GDPR e a inoltrarla alla persona giusta, il tempo passa senza essere conteggiato nel termine.
Cosa avvia il conteggio dei tempi
Il termine inizia nel momento della ricezione, indipendentemente dal canale attraverso cui arriva la richiesta. Ciò significa che una richiesta ricevuta dal servizio clienti, da un venditore o da una receptionist avvia il conteggio allo stesso modo di una richiesta che arriva direttamente alla direzione o al reparto risorse umane. Molte aziende scoprono in seguito che un messaggio rimasto in una casella postale per tre settimane era in realtà una richiesta di cancellazione. Chi vuole limitare questo rischio farà bene a chiarire all'interno dell'organizzazione come riconoscere un messaggio del genere e dove indirizzarlo immediatamente.
Dove il termine incontra difficoltà nella pratica
Il maggior ritardo non deriva dalla decisione di cancellare, ma dal reperimento di tutti i luoghi dove i dati si trovano. Un nome e un indirizzo email possono essere contemporaneamente presenti in un sistema CRM, in un programma di fatturazione, in una mailing list, in un backup e presso un soggetto esterno che effettua un trattamento per vostro conto, come un commercialista o uno strumento di marketing. Tutti questi luoghi devono essere controllati, e per ogni incaricato che tratta i dati per vostro conto, dovete verificare se e come procede con la cancellazione. Un elenco di quali strumenti contengono quali dati riduce notevolmente il lavoro di ricerca in questo processo. In la knowledge base viene spiegato per ogni situazione cosa il GDPR vi richiede e su quale base.
Una seconda fonte di ritardo è la questione se la cancellazione sia appropriata. Non ogni richiesta porta automaticamente alla cancellazione. I dati che dovete conservare per obbligo di legge, come determinati elementi della documentazione finanziaria o fascicoli del personale entro un termine di conservazione legale, rientrano nell'eccezione all'obbligo di cancellazione finché tale obbligo rimane in vigore. Anche i dati necessari per l'accertamento, l'esercizio o la difesa di un diritto in giudizio possono costituire un'eccezione. Quale eccezione si applica in un caso concreto è una valutazione che spetta all'organizzazione stessa, eventualmente con il supporto di un legale, e in caso di dubbio l'Autorità per la protezione dei dati può fornire ulteriori chiarimenti.
Quando l'estensione è consentita e quando non lo è
L'estensione di due mesi non è automatica e non potete invocarla così. Il GDPR collega questa possibilità alla complessità della richiesta o al numero di richieste che dovete gestire contemporaneamente. Una singola e semplice richiesta di rimozione di un indirizzo da una mailing list difficilmente è sufficientemente complessa per richiedere tre mesi. Una richiesta in cui i dati sono dispersi su più sistemi e su più anni può certamente esserlo. È importante che comunichiate al titolare dei dati entro il primo mese che state estendendo il termine e il motivo; se non lo fate, il termine originario di un mese continua semplicemente a decorrere.
Pratica: mantenere il termine gestibile
La maggior parte dei ritardi può essere evitata sapendo in anticipo dove si trovano i dati, invece di doverlo scoprire di nuovo ad ogni richiesta. Un inventario fisso dei sistemi utilizzati, chi elabora quali dati in essi e quali accordi intercorrono con parti esterne, fa la differenza tra una richiesta elaborata entro una settimana e una richiesta che richiede l'intero mese. Chi mantiene questo inventario sincronizzato con un sistema che monitora autonomamente il termine, non deve più affidarsi al calendario. Ulteriori informazioni su come funziona questo approccio nella pratica e su dove si basa l'informazione si trovano su la pagina che spiega da dove provengono le informazioni.
Le richieste di cancellazione raramente arrivano in un momento fisso, e proprio per questo è facile lasciar scorrere inutilizzati i primi giorni del termine. Chi vuole far decorrere il termine non appena arriva una richiesta può farlo tramite un account aziendale. Per domande simili sulle richieste degli interessati c'è anche una panoramica con risposte più brevi.
Avete dubbi sul fatto che una richiesta concreta di cancellazione che ricevete rientri nell'obbligo di cancellazione, o quale eccezione potrebbe applicarsi? Si tratta di una valutazione che varia a seconda della situazione, e che è meglio discutere con un avvocato o con l'Autorità per la protezione dei dati. Se prima volete avere una rapida panoramica della vostra situazione, potete effettuare la scansione rapida gratuita o consultare gli argomenti nella knowledge base.