Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
I diritti di terzi devono essere protetti, ma la loro presenza non autorizza sempre a respingere l’intera richiesta. Occorre individuare i dati dell’interessato e valutare come fornirli comprensibilmente, con limitazioni e oscuramenti realmente necessari.
La situazione.
Scenario illustrativo fittizio. Una persona chiede accesso ai propri dati in una pratica di reclamo. L’impresa conserva email interne, dichiarazioni di altri clienti e valutazioni dell’operatore. Il referente propone di non consegnare nulla perché i documenti includono nomi di dipendenti e informazioni che riguardano terze persone.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
La domanda dell’articolo 15 riguarda i dati personali e le informazioni previste dal GDPR, non un accesso illimitato a ogni archivio.
- 02
La comprensibilità può richiedere il contesto: estrazioni e oscuramenti non devono rendere i dati privi di significato.
- 03
Diritti di terzi e segreti richiedono un bilanciamento concreto, non un’esclusione automatica.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
Il titolare deve ricercare i dati pertinenti nei sistemi rilevanti e considerare il contesto in cui compaiono. L’articolo 15, paragrafo 4, prevede che il diritto di ottenere una copia non leda diritti e libertà altrui. Questo richiede l’esame del documento e delle possibili modalità di risposta, non la semplice constatazione che sia presente un nome diverso da quello del richiedente.
Le informazioni fornite devono consentire di comprendere i dati trattati. Un elenco incompleto o frasi ritagliate senza riferimenti possono non raggiungere lo scopo. La risposta non deve però diventare un’occasione per divulgare dati estranei alla richiesta. Se alcune parti vengono limitate, motivazioni e informazioni sui rimedi vanno gestite secondo il GDPR e le eventuali norme specifiche applicabili al caso.
Cosa fare, in pratica.
- 01
Verificare identità e ambito della domanda proporzionalmente e avviare la ricerca presso gli uffici che gestiscono la pratica, senza limitarsi alla sola scheda anagrafica del cliente.
- 02
Distinguere dati dell’interessato, contesto necessario e informazioni esclusivamente riferite ad altri, coinvolgendo chi conosce la pratica e può spiegare le relazioni fra i documenti.
- 03
Valutare rischi per i terzi e possibili oscuramenti, estrazioni o spiegazioni, evitando sia la consegna indiscriminata sia un rifiuto fondato su categorie troppo generiche.
- 04
Controllare la comprensibilità della copia preparata e la sicurezza del canale di consegna, prevenendo una nuova divulgazione non autorizzata proprio durante la risposta.
- 05
Documentare limitazioni e comunicare un esito chiaro nei tempi applicabili, fornendo le informazioni sui rimedi quando la richiesta non viene soddisfatta integralmente.
L’errore da evitare.
Trattare la presenza di un terzo come un interruttore che chiude l’intera pratica, senza cercare una modalità di risposta proporzionata.
Tre verifiche da portare con te.
- Ricerca estesa ai sistemi pertinenti.
- Oscuramenti e contesto valutati insieme.
- Limitazioni motivate e consegna protetta.
L’accesso richiede un lavoro sul contenuto. Proteggere le altre persone e rendere effettivo il diritto non sono obiettivi necessariamente incompatibili.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.