Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
L’azienda deve verificare la richiesta e fornire le informazioni previste dall’articolo 15, oltre a una copia dei dati personali trattati. Non basta inviare l’informativa generale; occorre individuare i dati effettivi e proteggere i diritti delle altre persone.
La situazione.
Scenario illustrativo inventato. Un cliente scrive all’assistenza chiedendo tutti i dati che lo riguardano. L’impresa trova una scheda nel CRM, ordini, registrazioni di chiamate e annotazioni del servizio reclami. Il responsabile pensa di rispondere con il PDF dell’informativa. Un collega propone invece di inviare l’intero archivio delle email, comprese informazioni su altri clienti e valutazioni interne.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
La richiesta può arrivare a un normale canale aziendale: il personale deve saperla riconoscere e inoltrare.
- 02
I dati possono trovarsi in sistemi diversi, compresi archivi e servizi affidati a fornitori.
- 03
La presenza di informazioni su terzi richiede una valutazione concreta, senza giustificare un rifiuto automatico dell’intera richiesta.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
L’articolo 15 consente alla persona di sapere se siano trattati suoi dati e di ottenere accesso e informazioni su finalità, categorie, destinatari, conservazione e altri elementi previsti. La copia deve permettere di comprendere i dati; secondo il contesto possono servire estratti o documenti, senza confondere il diritto con una consegna indiscriminata di ogni file aziendale. Anche opinioni e valutazioni riferite alla persona possono costituire dati personali.
La risposta deve arrivare senza ingiustificato ritardo e comunque entro un mese dal ricevimento, con la possibilità di proroga prevista dall’articolo 12 nei casi pertinenti. La proroga e le ragioni vanno comunicate entro il primo mese. Eventuali dubbi ragionevoli sull’identità possono richiedere informazioni aggiuntive proporzionate: chiedere automaticamente a tutti una copia del documento può raccogliere dati inutili. Le linee guida EDPB aiutano a gestire ampiezza, modalità e tutela dei terzi.
Cosa fare, in pratica.
- 01
Registrare subito ricezione e scadenza. Assegnare un referente e informare le funzioni che devono cercare dati, evitando che la richiesta resti nella coda commerciale.
- 02
Verificare identità e perimetro in modo proporzionato. Usare elementi già disponibili e chiedere chiarimenti utili senza trasformarli in ostacoli automatici.
- 03
Cercare nei sistemi pertinenti. Coinvolgere CRM, assistenza, amministrazione e responsabili esterni, documentando archivi esaminati e risultati.
- 04
Preparare una copia comprensibile. Spiegare codici e abbreviazioni, valutare il contesto necessario e oscurare selettivamente dati di terzi quando appropriato.
- 05
Inviare una risposta sicura e completa. Includere le informazioni richieste dalla norma, verificare destinatario e canale, conservando evidenza di quanto consegnato.
L’errore da evitare.
Sostituire la risposta individuale con un link alla privacy policy oppure inviare un archivio grezzo senza verificare contenuti e destinatario.
Tre verifiche da portare con te.
- La richiesta è stata riconosciuta e assegnata tempestivamente?
- La ricerca copre dati, valutazioni e fornitori pertinenti?
- La risposta è comprensibile, completa e inviata in sicurezza?
Una buona gestione dell’accesso dipende dalla conoscenza degli archivi e dal coordinamento interno. Preparare il processo prima della richiesta riduce ritardi ed esposizioni indebite.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.