Come richiedere una copia dei propri dati personali con il GDPR

Per ottenere una copia dei tuoi dati personali, invia una richiesta di accesso all’organizzazione che li tratta, usando il recapito indicato nella sua informativa privacy. Non serve un avvocato né un modulo obbligatorio. La prima copia è gratuita; la risposta deve arrivare di regola entro un mese.

Che cosa puoi chiedere con l’accesso GDPR

Il GDPR, Regolamento generale sulla protezione dei dati, riconosce all’articolo 15 il diritto di sapere se un’organizzazione tratta dati che ti riguardano e, in caso affermativo, di accedervi e riceverne una copia. Il titolare del trattamento è il soggetto che decide perché e come usare quei dati: per esempio un operatore telefonico, una banca, un datore di lavoro o un’amministrazione.

Questa guida riguarda l’accesso ai tuoi dati, non l’accesso agli atti amministrativi, la richiesta di dati di altre persone o la cancellazione dell’account. L’accesso non comporta automaticamente cancellazione, opposizione al marketing o trasferimento dei dati a un altro servizio: sono diritti diversi.

Puoi chiedere tutti i dati personali trattati oppure individuare un insieme preciso: ad esempio i dati collegati a un account e a un certo periodo. Devi poter ricevere anche le informazioni sul trattamento, comprese finalità, destinatari, conservazione e origine dei dati. Una semplice copia dell’informativa privacy generale non equivale, da sola, alla copia dei tuoi dati.

Cosa avere a disposizione

• Nome dell’organizzazione e sito ufficiale dal quale trovare l’informativa privacy e il recapito del titolare o del Responsabile della Protezione dei Dati.
• Nome e cognome e identificatore già usato nel rapporto: e-mail dell’account, numero cliente o riferimento del contratto. Inserisci soltanto quelli necessari a individuarti.
• Una casella e-mail accessibile; se scegli la PEC, accesso alla tua posta elettronica certificata. La PEC non è obbligatoria per esercitare il diritto.
• Descrizione dei dati richiesti: tutti quelli che ti riguardano oppure account, categoria e periodo che vuoi delimitare. Non aggiungere informazioni sanitarie o finanziarie estranee alla richiesta.
• Documento d’identità soltanto per l’eventuale verifica dell’identità o se utilizzi il modello del Garante che ne indica l’allegazione; non inviarlo indistintamente a indirizzi trovati in rete.

Come fare passo passo

1. Apri il sito ufficiale dell’organizzazione. Vai in fondo alla pagina e apri Privacy, Informativa privacy o Protezione dei dati. Nella pagina cerca le parole titolare, esercizio dei diritti e RPD o DPO. RPD significa Responsabile della Protezione dei Dati; DPO è la corrispondente sigla inglese. Copia la denominazione del titolare e il recapito indicato per esercitare i diritti, non il nome del marchio se è diverso dalla società.
2. Se non trovi il recapito, apri la pagina Contatti dello stesso sito e chiedi all’assistenza «Qual è il recapito del titolare o dell’RPD per una richiesta di accesso ai miei dati personali ai sensi dell’articolo 15 GDPR?». Se il sito è di un ente pubblico, cerca anche Responsabile della protezione dei dati nella sua ricerca interna. Non spedire la prima richiesta al Garante: i dati sono presso l’organizzazione.
3. Apri la tua e-mail o PEC e crea un messaggio al recapito appena trovato. Scrivi nell’oggetto Richiesta di accesso ai miei dati personali – articolo 15 GDPR. Indica nome, cognome e l’identificatore del rapporto; se usi un’e-mail diversa da quella dell’account, specifica anche l’indirizzo dell’account senza comunicarne la password.
4. Scrivi nel messaggio: «Chiedo conferma del trattamento dei miei dati personali e, se presenti, accesso e copia di [tutti i miei dati oppure i dati relativi a…], con le informazioni previste dall’articolo 15 GDPR. Desidero ricevere la risposta a [recapito]». Sostituisci le parti tra parentesi e lascia soltanto l’ambito che scegli. In alternativa usa il modello ufficiale del Garante: in quel modello seleziona le due caselle della sezione 1. Accesso ai dati personali, compila destinatario, dati identificativi, recapito per la risposta, luogo, data e firma. Non spuntare cancellazione, portabilità o marketing se stai chiedendo soltanto l’accesso.
5. Prima dell’invio confronta denominazione del destinatario, indirizzo e-mail, account o numero cliente e ambito richiesto. Se usi il PDF del Garante, allega il modello compilato e gli allegati da esso richiesti; se scrivi direttamente nel messaggio, non allegare automaticamente altri documenti. Invia la richiesta e conserva il testo completo con la data di invio. Con una PEC conserva anche le ricevute di accettazione e consegna.
6. Annota la data di ricevimento dimostrabile dalla consegna PEC o da una conferma dell’organizzazione. Imposta un promemoria a un mese da quella data, non a 30 giorni indistintamente. Se arriva una richiesta di verifica dell’identità, controlla che provenga dal recapito ufficiale e rispondi attraverso quel canale, fornendo solo le informazioni necessarie; non comunicare password, codici bancari o codici di accesso temporanei.
7. Quando ricevi la risposta, apri gli allegati o il collegamento di download dopo averne verificato il mittente. Confronta il contenuto con la tua richiesta: devono esserci la conferma del trattamento, i dati richiesti e le informazioni pertinenti, non solo un rinvio alla privacy policy. Se il collegamento scade o il file non si apre, chiedi allo stesso recapito di rendere nuovamente accessibile la copia o di fornirla in un formato comune leggibile.
8. Se entro un mese dal ricevimento non arriva una risposta né una comunicazione motivata di proroga, oppure mancano dati richiesti, scrivi al titolare indicando data della richiesta e voci mancanti. Puoi presentare un reclamo seguendo le istruzioni del Garante per tutelare i diritti, allegando richiesta, prova disponibile del ricevimento e risposta ricevuta. Non trasformare questo sollecito in una nuova richiesta di cancellazione non voluta.

Un testo da adattare, senza chiedere diritti diversi

Il modello seguente è un esempio editoriale, non un modulo obbligatorio. Sostituisci le parentesi e cancella l’alternativa che non scegli: lasciare «tutti i dati / solo…» rende incerta la richiesta.

Oggetto: Richiesta di accesso ai miei dati personali – articolo 15 GDPR.
Sono [nome e cognome], identificabile nel vostro servizio tramite [e-mail account o numero cliente]. Chiedo conferma che trattiate dati personali che mi riguardano e, in caso affermativo, accesso e copia di [tutti i miei dati personali / dati relativi a… nel periodo…]. Chiedo anche le informazioni previste dall’articolo 15, comprese finalità, categorie, destinatari, conservazione, origine, diritti esercitabili, eventuali decisioni automatizzate e garanzie per trasferimenti fuori dall’Unione europea. Desidero ricevere la risposta in formato elettronico di uso comune a [recapito]. Questa richiesta riguarda l’accesso, non la cancellazione dei dati. [Data e nome].

Le decisioni automatizzate sono decisioni prese mediante elaborazioni automatiche; la profilazione è l’uso dei dati per valutare o prevedere aspetti di una persona. Chiedere queste informazioni non significa affermare che l’organizzazione svolga necessariamente tali attività.

Cosa succede dopo

Il titolare deve rispondere senza ritardo ingiustificato e al più tardi entro un mese dal ricevimento. Per complessità o numero delle richieste può estendere il termine di altri due mesi, ma deve comunicarti la proroga e i motivi entro il primo mese. Il tempo necessario a scrivere l’e-mail non è questo termine di risposta.

Non esiste un portale nazionale unico per controllare tutte le richieste GDPR, né un protocollo uniforme. La conferma automatica e il numero di pratica esistono soltanto se l’organizzazione li rilascia. Il risultato può essere un allegato, un download protetto o una risposta che conferma di non trattare dati su di te. Se la richiesta è elettronica, di regola le informazioni sono fornite in un formato elettronico comune, salvo tua indicazione diversa.

La prima copia dei dati è gratuita. Per ulteriori copie possono essere richiesti costi amministrativi ragionevoli; richieste manifestamente infondate o eccessive hanno regole particolari che il titolare deve giustificare. Non basta che sia scomodo raccogliere i dati per addebitare automaticamente una tariffa.

Se non riesci a completare la procedura

Ti chiedono un documento d’identità. Il titolare può chiedere informazioni ulteriori quando nutre ragionevoli dubbi sull’identità. Chiedi quale verifica sia necessaria e usa il canale ufficiale. Il PDF del Garante riporta l’allegazione della copia del documento: se lo scegli, considera quella indicazione, ma non assumere che ogni richiesta via e-mail debba contenere un documento completo a prescindere dal contesto.

Ricevi soltanto un’informativa generica. Rispondi precisando che hai chiesto i dati concretamente associati al tuo account e una copia, non soltanto la descrizione generale delle categorie trattate. Elenca le voci mancanti, per esempio dati degli ordini o registrazione di una telefonata individuata per data, se questi erano nell’ambito richiesto e sono trattati.

Il destinatario dice che è un’altra società a possedere i dati. Confronta la risposta con l’informativa del servizio e chiedi denominazione e recapito del titolare corretto. Un gruppo può avere più società: il sito di un marchio non implica che tutte abbiano la stessa banca dati.

Domande frequenti

Devo spiegare perché voglio i miei dati?

Il diritto di accesso non richiede una motivazione. Devi però consentire di identificarti e indicare in modo comprensibile quali dati richiedi, soprattutto se limiti la richiesta a un account o periodo.

Posso chiedere tutti i documenti originali dell’organizzazione?

No: l’articolo 15 riguarda dati personali e informazioni sul loro trattamento, non un accesso indiscriminato ai documenti aziendali. La copia deve rendere comprensibili i dati; non equivale sempre alla riproduzione integrale di tutti i documenti, e vanno rispettati i diritti di altre persone.

Scaricare un archivio da un account è la stessa procedura?

Uno strumento di esportazione può aiutarti, ma ha un ambito specifico. Per l’archivio dei servizi Google usa la guida a Google Takeout; questa guida serve a formulare una richiesta di accesso al titolare, anche quando un’esportazione automatica non copre ciò che hai chiesto.

Link ufficiali utili

• Individua i diritti e i modelli sul sito del Garante.
• Scarica il modello PDF per l’esercizio dei diritti.
• Leggi che cosa comprende il diritto di accesso.
• Controlla termini di risposta e modalità di reclamo.
• Approfondisci l’accesso nelle linee guida del Comitato europeo.

Conclusione

Apri adesso l’informativa privacy dell’organizzazione e individua il recapito per l’accesso ai dati. Scrivi una richiesta dedicata, senza mescolarla a rimborsi o cancellazione dell’account. Conserva la comunicazione e annota il termine di un mese dal ricevimento per verificare la risposta effettiva.

Apri la checklist per “Come richiedere una copia dei propri dati personali con il GDPR” →