Privacy: i diritti dell’interessato

La normativa di riferimento della privacy nell’ordinamento italiano è il decreto legislativo n. 196 del 2003, c.d. Codice della Privacy, così come profondamente riformato dal decreto legislativo n. 101 del 2018, che è stato adottato a seguito dell’entrata in vigore del Regolamento generale sulla protezione dei dati personali (GDPR in inglese, versione più usata o RPGD in italiano) n. 679 del 2016. (da ora in poi Regolamento o GDPR). Il GDPR si tratta di un regolamento europeo e quindi deve essere direttamente applicato da tutti gli Stati membri dell’Unione europea.

Tale Regolamento stabilisce norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché norme relative alla libera circolazione di tali dati[1].

La persona fisica titolare dei dati personali è detta anche interessato. Il Regolamento disciplina, tra l’altro, il riconoscimento di una serie di diritti all’interessato, rinvenibili dall’articolo 15 all’articolo 22, esercitabili a tutela dei propri dati personali.

Tali diritti riconosciuti dal GDPR sono:

• Diritto di accesso dell’interessato – articolo 15
• Diritto di rettifica – articolo 16
• Diritto di cancellazione – articolo 17
• Diritto di limitazione di trattamento – articolo 18
• Diritto alla portabilità dei dati – articolo 20
• Diritto di opposizione – articolo 21

Diritto di accesso dell’interessato – articolo 15

Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione – articolo 22

Questo diritto, c.d. diritto di accesso privacy,  consiste nel chiedere al titolare del trattamento se sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso, di ottenere l’accesso a tali dati personali. Pertanto, si pone un obbligo in capo al titolare del trattamento di rendere note le informazioni sui dati trattati che riguardano lo stesso richiedente e, inoltre, di rendere le informazioni in modo chiaro e di facile comprensione anche per chi non ha una competenza in materia di privacy.

È comunque fondamentale considerare che l’accesso privacy non deve causare un pregiudizio concreto allo svolgimento di indagini difensive o all’esercizio di un diritto in sede giudiziaria.

L’interessato, in particolare, ha il diritto di ottenere dal titolare del trattamento le informazioni riguardanti:

a) le finalità del trattamento;

b) le categorie di dati personali in questione;

c) i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali;

d) quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;

e) l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento;

f) il diritto di proporre reclamo a un’autorità di controllo;

g) qualora i dati non siano raccolti presso l’interessato, tutte le informazioni disponibili sulla loro origine.

Consigliamo il volume:

Diritto di rettifica – articolo 16

Tale diritto consiste nella possibilità dell’interessato di richiedere modifiche ai propri dati personali nel caso in cui lo stesso ritenga che tali dati personali non siano aggiornati o comunque siano inesatti. L’interessato ha quindi il diritto di ottenere l’integrazione dei dati personali incompleti, anche fornendo una dichiarazione integrativa.

Diritto di cancellazione – articolo 17

Conosciuto anche come diritto all’oblio, questo diritto è il risultato di un lungo iter giurisprudenziale legato alla diffusione degli episodi di cronaca. Tale diritto conferisce all’interessato la possibilità di chiedere la cancellazione dei propri dati, senza ingiustificato ritardo e si applica, di norma, nelle situazioni in cui è terminato il rapporto con l’interessato. Tale diritto dipende dal periodo di conservazione del dato personale specifico disciplinato dalla normativa e, pertanto, non ha una portata assoluta.

In particolare, le fattispecie in cui si applica tale diritto sono:

a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;

b) l’interessato revoca il consenso su cui si basa il trattamento conformemente all’articolo 6, paragrafo 1, lettera a), o all’articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;

c) l’interessato si oppone al trattamento ai sensi dell’articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell’articolo 21, paragrafo 2;

d) i dati personali sono stati trattati illecitamente;

e) i dati personali devono essere cancellati per adempiere un obbligo giuridico previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento;

f) i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione di cui all’articolo 8, paragrafo 1.

Sono comunque previste delle fattispecie in cui non si può applicare tale diritto.

Diritto di limitazione di trattamento – articolo 18

Tale diritto permette all’interessato di ottenere dal titolare del trattamento una limitazione del trattamento quando ricorrono alcune ipotesi, di seguito indicate:

1. L’interessato contesta l’esattezza dei dati personali;
2. Il trattamento è illecito;
3. I dati personali sono necessari all’interessato;
4. L’interessato si è opposto al trattamento.

Diritto alla portabilità dei dati – articolo 20

Questo diritto conferisce all’interessato la possibilità di chiedere il trasferimento dei dati personali che lo riguardano forniti a un titolare del trattamento ad un altro titolare del trattamento. La ricezione dei dati personali che riguardano l’interessato deve avvenire tramite un formato strutturato, leggibile da dispositivo automatico. Tale diritto è esercitabile se il trattamento si basi sul consenso o un contratto e che avvenga tramite l’utilizzo di mezzi automatizzati.

Diritto di opposizione – articolo 21

Questo diritto conferisce all’interessato la possibilità di opporsi in qualsiasi momento al trattamento di dati personali.

Il titolare del trattamento, pertanto, ha l’obbligo di astenersi dal trattamento di dati personali, salvo che egli dimostri l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria. L’interessato, inoltre, può opporsi anche al trattamento dei dati per fini commerciali e/o di marketing diretto. Nel caso di trattamenti basati sul consenso, comunque, prevale la possibilità di revoca del consenso rispetto al diritto di opposizione. È bene sottolineare che l’opposizione al trattamento è operazione diversa dalla cancellazione dei dati.

Consigliamo il volume:

Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione – articolo 22

Tale articolo dispone che l’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona. Tale previsione non si applica nel caso in cui la decisione:

a) sia necessaria per la conclusione o l’esecuzione di un contratto tra l’interessato e un titolare del trattamento;

b) sia autorizzata dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento, che precisa altresì misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dell’interessato;

c) si basi sul consenso esplicito dell’interessato.

Il processo decisionale automatizzato è quello strumento che permette di prendere decisioni tramite l’utilizzo di mezzi elettronici e/o informatici con o senza l’intervento umano e che comporta, attraverso i dati trattati, una previsione di una situazione patrimoniale, economica, finanziaria, nonché di comportamenti attitudini personali e ogni altro dato personale che riguardi l’interessato e che sia desumibile a seguito del trattamento in argomento. L’impiego di tali strumenti c.d. automatizzati può comportare seri rischi per i diritti e le libertà degli individui.

 

---

Note

[1] Articolo 1, comma 1, del GDRP 2016/679.