Una richiesta dell'interessato è qualsiasi richiesta da parte di una persona i cui dati personali lei tratta, con la quale quella persona esercita uno dei diritti che il GDPR le attribuisce. Ciò va oltre le due forme più conosciute, accesso e cancellazione. Il regolamento riconosce anche il diritto di rettifica, il diritto di limitare il trattamento, il diritto alla portabilità dei dati e il diritto di opporsi a un determinato trattamento. Tutte queste richieste rientrano nella stessa categoria e comportano lo stesso obbligo: deve rispondere.
Il dettaglio che in questo argomento è più spesso trascurato è che una richiesta non richiede una forma fissa. Un cliente che in una semplice email scrive "voglio sapere cosa avete di me" o un ex dipendente che al banco dice "posso essere rimosso dal vostro sistema" sta già presentando una richiesta, anche senza modulo, senza utilizzare la parola GDPR e senza che arrivi attraverso una persona di contatto designata. È proprio questo arrivo informale che spesso causa problemi: non nell'esecuzione della richiesta, ma nel suo riconoscimento.
Quali diritti rientrano in una richiesta dell'interessato
Il GDPR attribuisce a una persona i cui dati lei tratta una serie di diritti correlati. L'accesso significa che una persona può sapere quali dati lei possiede su di lui e per quale scopo. La rettifica significa che i dati inesatti devono poter essere corretti. La cancellazione, anche chiamata diritto all'oblio, significa che i dati devono essere cancellati in determinate situazioni. La limitazione significa che i dati non possono più essere utilizzati temporaneamente, ad esempio durante una discussione sulla loro esattezza. La portabilità dà a una persona il diritto di ricevere i dati che ha fornito lui stesso in un formato comune. E l'opposizione dà a una persona la possibilità di opporsi a un trattamento specifico, ad esempio all'utilizzo dei suoi dati per il marketing.
Nessuno di questi diritti è incondizionato. Il GDPR allega a ogni diritto condizioni e eccezioni proprie, e se una richiesta debba effettivamente essere accolta dipende dalla situazione. Questo è anche il motivo per cui una spiegazione generale non potrà mai sostituire una valutazione su un caso individuale.
Perché il riconoscimento è più difficile della gestione
Molte aziende concentrano la loro attenzione sul processo dopo una richiesta: chi risponde, entro quale termine, con quale documento. È giusto così, ma non è il primo problema. Il primo problema è che una richiesta raramente arriva attraverso il canale che aveva predisposto. Arriva al dipendente che risponde al telefono, al collega che gestisce la casella di posta del servizio clienti, o al direttore amministrativo che si trova casualmente nella lobby. Se nessuno nell'organizzazione sa che una frase del genere è già una richiesta, il cronometro inizia a scorrere per lei senza che se ne accorga.
Questo è anche il motivo per cui le autorità di controllo enfatizzano nelle loro linee guida che una richiesta non è vincolata a un canale specifico o a una formulazione specifica. L'organizzazione responsabile, non l'interessato, ha l'onere di riconoscere una richiesta non appena viene presentata. la knowledge base con spiegazioni per ogni diritto dell'interessato approfondisce cosa conti come richiesta valida per ognuno di questi diritti e cosa no.
Cosa significa questo per la vostra organizzazione
In pratica, funziona al meglio se chiunque abbia contatti con i clienti sa che frasi come "rimuovetemi dai vostri file" o "inviatemi tutto quello che avete su di me" sono un segnale da comunicare a colui che gestisce le richieste. Non si tratta di formazione legale, ma di riconoscimento di uno schema. Solo una volta che la richiesta è stata riconosciuta e inoltrata, sorge la questione di come identificarla, cosa esattamente devo fornire e entro quale termine.
La GDPR stessa fissa un termine di un mese per rispondere a una richiesta, con la possibilità di prolungarlo in casi più complessi. Questo termine inizia a decorrere dal momento in cui la richiesta è stata presentata, non da quando arriva alla persona giusta. Chi desidera monitorare questo momento senza doverlo ricordare manualmente, può farlo tramite un sistema che avvia automaticamente il cronometro. come gdpria.eu monitora questo termine mostra su cosa si basa questa automazione.
Cosa potete fare se siete incerti
Non ogni messaggio che somiglia a una richiesta lo è, e non ogni richiesta deve essere completamente accolta. Il dubbio al riguardo fa parte dell'esecuzione, non del riconoscimento: non appena qualcuno comunica che intende esercitare uno dei suoi diritti, è vostro compito trattarlo seriamente e valutarlo, eventualmente con l'aiuto di un legale o dell'Autorità Garante per la protezione dei dati personali, per determinare esattamente cosa deve accadere. risposte alle domande che le aziende spesso pongono su questo argomento affronta un certo numero di questi casi limite.
Volete sapere dove si trova la vostra organizzazione prima che arrivi effettivamente una richiesta? La verifica rapida gratuita su rendere visibili i data breach e le richieste in poche domande fornisce una prima indicazione, e la knowledge base spiega per ogni diritto cosa dice la GDPR al riguardo, con il riferimento incluso.