Come Richiedere la Rimozione dei Dati Personali all’Azienda

Chiedere a un’azienda di rimuovere i propri dati personali non significa semplicemente domandare di cancellare un account o di smettere di ricevere newsletter. Il Regolamento generale sulla protezione dei dati, il GDPR, riconosce in determinate circostanze il diritto alla cancellazione dei dati personali, spesso chiamato anche diritto all’oblio. Questo diritto permette di rivolgersi direttamente al titolare del trattamento e chiedere che informazioni che ci riguardano vengano eliminate quando ricorrono i presupposti previsti dalla normativa.

La cancellazione, però, non è sempre automatica. Un’azienda può avere l’obbligo di conservare alcuni dati per adempiere a disposizioni di legge, gestire rapporti contrattuali ancora in corso o tutelarsi nell’ambito di una controversia. Per presentare una richiesta efficace bisogna quindi capire quali dati si vogliono eliminare, perché vengono ancora trattati, a chi inviare l’istanza e cosa fare se la società non risponde. Vediamo come procedere in pratica, quali sono i tempi previsti e quali alternative esistono quando la cancellazione completa non è possibile.

Che cosa significa chiedere la cancellazione dei dati personali

L’articolo 17 del GDPR riconosce all’interessato, cioè alla persona cui si riferiscono i dati, il diritto di ottenere dal titolare del trattamento la cancellazione dei propri dati personali senza ingiustificato ritardo quando ricorre una delle condizioni previste dal Regolamento.

Per dati personali non bisogna intendere soltanto nome e cognome. Possono rientrare nella richiesta, a seconda della situazione, indirizzo di casa, indirizzo e-mail, numero di telefono, informazioni relative a un account, identificativi online, dati relativi agli acquisti, fotografie, registrazioni, informazioni professionali e altri elementi che permettono di identificare direttamente o indirettamente una persona.

È importante distinguere la cancellazione dei dati dalla semplice chiusura di un servizio. Eliminare un account attraverso il pulsante presente in un’applicazione potrebbe comportare anche la cancellazione di buona parte delle informazioni associate, ma non bisogna darlo per scontato. Alcuni dati potrebbero continuare a essere conservati per obblighi legali o altre finalità ammesse. Se l’obiettivo è esercitare formalmente il diritto previsto dal GDPR, è preferibile presentare una richiesta esplicita.

Quando si può chiedere all’azienda di cancellare i dati

Il diritto alla cancellazione può essere esercitato, tra gli altri casi, quando i dati non sono più necessari rispetto allo scopo per il quale erano stati raccolti. Pensiamo a una piattaforma alla quale ci siamo registrati molti anni prima e con la quale non abbiamo più alcun rapporto. Se non esiste più una finalità che giustifichi il trattamento, può esserci il presupposto per chiederne la cancellazione.

Un altro caso riguarda il consenso. Se il trattamento si basa sul consenso dell’interessato, questo può essere revocato. Quando non esiste un’altra base giuridica che permetta all’azienda di continuare a trattare quei dati, può conseguire il diritto alla loro cancellazione.

La cancellazione può inoltre essere richiesta quando i dati sono stati trattati illecitamente oppure quando devono essere eliminati per adempiere a un obbligo previsto dal diritto dell’Unione europea o nazionale applicabile al titolare. Il GDPR contempla anche specifiche ipotesi collegate al diritto di opposizione e ai dati raccolti in relazione all’offerta di servizi della società dell’informazione ai minori secondo quanto previsto dall’articolo 8.

Non è quindi necessario utilizzare formule complicate. Tuttavia, spiegare brevemente perché si ritiene applicabile il diritto alla cancellazione può rendere la richiesta più chiara e facilitare il lavoro dell’azienda.

Quando l’azienda può non cancellare i dati

Il diritto alla cancellazione non è assoluto. Questo è probabilmente l’aspetto più importante da conoscere prima di inviare una richiesta. Il GDPR prevede diverse eccezioni nelle quali il trattamento può continuare nonostante la domanda dell’interessato.

Un’azienda può, per esempio, dover conservare determinate informazioni perché una legge glielo impone. È il motivo per cui chiedere la cancellazione dell’account a un’impresa dalla quale abbiamo acquistato un prodotto non significa necessariamente ottenere l’eliminazione immediata di qualsiasi documento amministrativo e fiscale collegato alla transazione.

Altre eccezioni possono riguardare l’esercizio della libertà di espressione e di informazione, ragioni di interesse pubblico nel settore della sanità pubblica, finalità di archiviazione nel pubblico interesse, ricerca scientifica o storica e finalità statistiche nelle condizioni previste dal GDPR. La cancellazione può inoltre essere esclusa quando i dati sono necessari per accertare, esercitare o difendere un diritto in sede giudiziaria.

Di conseguenza, una risposta dell’azienda che dichiara di non poter eliminare alcuni dati non è automaticamente illegittima. Bisogna verificare quali informazioni intende conservare, per quale ragione e per quanto tempo. Una società potrebbe, per esempio, cancellare il profilo utilizzato per finalità commerciali ma mantenere una parte limitata delle informazioni necessarie per adempiere a obblighi specifici.

Individuare il titolare del trattamento

La richiesta deve essere indirizzata al titolare del trattamento. Nel linguaggio del GDPR, il titolare è il soggetto che determina finalità e mezzi del trattamento dei dati personali. Nella pratica sarà spesso la società con la quale abbiamo sottoscritto il servizio, effettuato l’acquisto o creato l’account.

Per sapere con precisione chi è il titolare conviene leggere l’informativa privacy pubblicata sul sito dell’azienda. Normalmente contiene denominazione sociale, recapiti e informazioni sulle modalità con cui esercitare i diritti. Può indicare un indirizzo e-mail dedicato alla privacy oppure i dati del Responsabile della Protezione dei Dati, chiamato anche RPD o DPO, quando ne è stato designato uno.

Il Garante per la protezione dei dati personali precisa che l’istanza può essere presentata direttamente al titolare anche tramite il Responsabile della Protezione dei Dati, ove presente. Non sono richieste particolari formalità.

Questo significa che non è sempre necessario inviare una PEC o una raccomandata. Una normale e-mail può essere sufficiente, salvo che si preferisca utilizzare un mezzo che permetta di dimostrare più facilmente invio e ricezione.

Quali informazioni inserire nella richiesta

Una richiesta efficace deve permettere all’azienda di capire chi la presenta e quali dati devono essere cancellati. Conviene quindi indicare nome e cognome e gli elementi necessari a individuare il rapporto con la società, per esempio l’indirizzo e-mail associato all’account o un codice cliente, evitando però di trasmettere dati personali ulteriori che non servono.

Bisogna poi formulare chiaramente la richiesta. Si può specificare che si intende esercitare il diritto alla cancellazione previsto dall’articolo 17 del Regolamento UE 2016/679 e chiedere l’eliminazione dei dati personali trattati dall’azienda. Se si conoscono le informazioni da eliminare, è utile descriverle.

Una richiesta mirata può risultare persino più efficace di una domanda generica. Per esempio, si può chiedere la cancellazione dei dati associati a un vecchio profilo online, degli indirizzi utilizzati per finalità promozionali oppure di una particolare categoria di informazioni non più necessaria.

Il Garante mette a disposizione un modello ufficiale per l’esercizio dei diritti in materia di protezione dei dati personali. Il modello consente, tra le varie possibilità, di chiedere espressamente la cancellazione prevista dall’articolo 17 e di indicarne le ragioni.

Bisogna allegare il documento di identità?

Non esiste una regola secondo cui qualsiasi richiesta di cancellazione debba sempre essere accompagnata dalla copia completa di un documento di identità. Il titolare deve però essere ragionevolmente sicuro che chi esercita il diritto sia effettivamente la persona cui si riferiscono i dati.

La questione è importante perché sarebbe molto pericoloso consentire a chiunque conosca un nome e un indirizzo e-mail di cancellare l’account e le informazioni di un’altra persona. In caso di dubbi ragionevoli sull’identità del richiedente, il GDPR permette al titolare di chiedere ulteriori informazioni necessarie per confermarla.

Bisogna quindi seguire la procedura indicata dall’azienda e fornire soltanto quanto effettivamente necessario per l’identificazione. Se la richiesta viene inviata dall’indirizzo e-mail già verificato e collegato all’account, in alcuni contesti può essere possibile identificare l’utente senza richiedere documentazione aggiuntiva. In altri casi saranno necessari ulteriori controlli.

Se un’impresa domanda una quantità di informazioni apparentemente sproporzionata rispetto allo scopo di identificazione, è ragionevole chiedere perché siano necessarie prima di trasmetterle.

È possibile chiedere la cancellazione soltanto di alcuni dati?

Sì. Non è obbligatorio chiedere sempre l’eliminazione di tutto ciò che l’azienda possiede. Il Garante chiarisce che l’istanza può riguardare dati specifici, categorie di dati, un determinato trattamento oppure tutti i dati personali dell’interessato.

Immaginiamo di essere ancora clienti di un’azienda e di voler continuare a utilizzare il servizio, ma di non desiderare più attività di marketing. In questo caso la richiesta di cancellare indiscriminatamente tutti i dati potrebbe essere incompatibile con la prosecuzione del contratto. Potrebbe essere più appropriato revocare il consenso al marketing o esercitare il diritto di opposizione al trattamento per finalità promozionali.

Il GDPR consente infatti di opporsi in qualsiasi momento al trattamento dei dati per marketing diretto senza dover fornire una particolare motivazione. Il Garante ricorda espressamente questa possibilità.

Prima di chiedere la cancellazione totale, quindi, conviene capire quale risultato si vuole ottenere. Se il problema sono solo newsletter ed e-mail pubblicitarie, un’opposizione al marketing può essere più semplice e precisa. Se invece il rapporto con l’azienda è terminato e non esiste più una ragione per conservare il profilo, la cancellazione può essere lo strumento più appropriato.

Cancellare un account e cancellare i dati non sono sempre la stessa cosa

Molti servizi online prevedono un comando “Elimina account”. Utilizzarlo può certamente avviare una procedura di cancellazione, ma ciò che avviene ai dati dipende dalla struttura del servizio, dall’informativa privacy e dagli obblighi che rimangono in capo all’azienda.

Per esempio, l’eliminazione del profilo pubblico può essere immediata, mentre alcune informazioni amministrative possono continuare a essere conservate per il periodo necessario. In altri casi può essere prevista inizialmente una disattivazione dell’account seguita dalla cancellazione definitiva dopo un certo intervallo.

Chi vuole avere una conferma formale può quindi chiedere all’azienda quali categorie di dati sono state eliminate e quali, eventualmente, continuano a essere conservate, insieme alla relativa giustificazione. Non bisogna confondere l’impossibilità di accedere nuovamente al proprio account con la certezza che qualsiasi dato presente nei sistemi aziendali sia già stato cancellato.

Quanto tempo ha l’azienda per rispondere

Il titolare deve rispondere alla richiesta senza ingiustificato ritardo e, di regola, entro un mese dalla sua ricezione. Se la richiesta è particolarmente complessa o sono state ricevute numerose istanze, il termine può essere prorogato di ulteriori due mesi. L’interessato deve però essere informato della proroga e delle relative ragioni entro il primo mese.

Questo significa che non basta all’azienda ignorare l’istanza per tre mesi e poi rispondere. Anche quando ritiene necessario più tempo deve comunicare la proroga entro il termine iniziale.

Se decide di non accogliere la richiesta, il titolare deve comunque fornire un riscontro spiegando le ragioni della mancata azione e informando l’interessato delle possibilità di tutela previste dalla normativa.

È quindi utile conservare copia dell’istanza inviata e una prova della data di trasmissione. Servirà per sapere quando è decorso il termine e, se necessario, dimostrare di essersi prima rivolti all’azienda.

La richiesta di cancellazione è gratuita?

L’esercizio dei diritti riconosciuti dal GDPR è normalmente gratuito. Il titolare non può quindi imporre una tariffa semplicemente perché un cliente chiede la cancellazione dei propri dati.

Il Regolamento prevede tuttavia un’eccezione per richieste manifestamente infondate o eccessive, in particolare quando sono ripetitive. In tali circostanze il titolare può, nelle condizioni stabilite dall’articolo 12, chiedere un contributo ragionevole oppure rifiutarsi di soddisfare la richiesta, dovendo essere in grado di dimostrare il carattere manifestamente infondato o eccessivo dell’istanza.

Per un normale consumatore che chiede una volta la cancellazione dei propri dati al termine di un rapporto commerciale, il punto di partenza resta quindi la gratuità.

Cosa succede ai dati comunicati ad altri soggetti

Un’azienda può avere comunicato alcuni dati a soggetti terzi. Il GDPR prevede che, quando viene effettuata la cancellazione ai sensi dell’articolo 17, il titolare comunichi tale cancellazione ai destinatari ai quali i dati erano stati trasmessi, salvo che ciò risulti impossibile o richieda uno sforzo sproporzionato. L’interessato può chiedere informazioni su tali destinatari.

C’è poi un’ulteriore previsione per i dati resi pubblici. Se il titolare è obbligato a cancellarli, deve adottare misure ragionevoli, tenendo conto della tecnologia disponibile e dei costi di attuazione, per informare gli altri titolari che li stanno trattando della richiesta di cancellare link, copie o riproduzioni dei dati stessi.

Non bisogna tuttavia interpretare questa norma come la garanzia che qualsiasi traccia di un’informazione sparirà istantaneamente da Internet. La diffusione online può coinvolgere soggetti diversi e copie create indipendentemente. Quando la situazione riguarda contenuti pubblicati da più siti, motori di ricerca o piattaforme, può essere necessario esercitare i propri diritti nei confronti di più titolari.

Cosa succede alle copie di backup

Uno dei dubbi più frequenti riguarda i backup aziendali. I sistemi informatici possono contenere copie di sicurezza che non vengono utilizzate quotidianamente ma servono per ripristinare i dati in caso di guasto o incidente.

La gestione concreta della cancellazione nei backup dipende dall’architettura tecnica e dalle politiche del titolare. Non sempre è tecnicamente ragionevole modificare immediatamente ogni copia di sicurezza storica. Questo non significa però che i dati possano essere recuperati da un vecchio backup e riprendere a essere utilizzati normalmente come se la richiesta non fosse mai esistita.

Quando questo aspetto è importante, si può chiedere all’azienda come vengano gestite le copie di sicurezza dopo l’esercizio del diritto alla cancellazione. Nelle situazioni tecnicamente o giuridicamente complesse, soprattutto se coinvolgono informazioni particolarmente delicate, può essere opportuno rivolgersi a un professionista esperto in protezione dei dati.

Cosa fare se l’azienda dice che deve conservare alcuni dati

Una risposta del tipo “non possiamo cancellare i suoi dati per obblighi di legge” non dovrebbe necessariamente chiudere la questione. È ragionevole chiedere quali dati debbano essere mantenuti e per quale finalità.

L’esistenza di un obbligo di conservazione relativo a una categoria di informazioni non autorizza automaticamente l’azienda a continuare a utilizzare tutti i dati per qualsiasi scopo. Per esempio, la necessità di conservare documentazione collegata a una transazione non implica di per sé la possibilità di continuare a utilizzare l’indirizzo e-mail per campagne promozionali.

Può quindi accadere che la risposta corretta sia una cancellazione parziale: alcuni dati vengono eliminati, altri rimangono conservati esclusivamente per le finalità che ne giustificano il mantenimento.

Se non si comprende la motivazione fornita dall’azienda o l’operazione riguarda dati particolarmente sensibili o una controversia importante, è prudente chiedere assistenza a un professionista prima di formulare conclusioni sulla legittimità del trattamento.

Quando chiedere la limitazione invece della cancellazione

Il GDPR prevede anche il diritto alla limitazione del trattamento. È uno strumento diverso dalla cancellazione e può essere utile quando non si vuole o non si può ottenere immediatamente l’eliminazione dei dati.

La limitazione può essere richiesta, per esempio, quando l’interessato contesta l’esattezza dei dati e serve tempo al titolare per verificarla, oppure quando il trattamento è illecito ma l’interessato preferisce limitarlo invece di cancellare le informazioni. Può trovare applicazione anche quando il titolare non ha più bisogno dei dati ma essi servono all’interessato per accertare, esercitare o difendere un diritto.

È una distinzione utile soprattutto nelle controversie. Cancellare tutto non è necessariamente la scelta migliore quando proprio quei dati potrebbero essere necessari per dimostrare quanto è accaduto.

Cosa fare se l’azienda non risponde

Se trascorre il termine previsto senza ricevere un riscontro, oppure se la risposta appare incompleta o la richiesta viene respinta senza una motivazione ritenuta adeguata, è possibile valutare di rivolgersi al Garante per la protezione dei dati personali.

Il reclamo è lo strumento previsto dall’articolo 77 del GDPR attraverso il quale l’interessato può rappresentare all’Autorità una possibile violazione della normativa sulla protezione dei dati e richiedere una verifica. Il Garante precisa che la presentazione del reclamo è gratuita.

È utile allegare la documentazione che permette di ricostruire il caso: richiesta inviata all’azienda, eventuale risposta ricevuta, informativa privacy pertinente e altri elementi utili. Il Garante mette a disposizione anche un modello per la presentazione del reclamo.

Il reclamo non deve essere utilizzato automaticamente per qualsiasi ritardo di pochi giorni o incomprensione che possa essere risolta contattando nuovamente il titolare. Quando però l’azienda ignora la richiesta, nega l’esercizio del diritto senza una spiegazione adeguata o continua un trattamento contestato, rappresenta uno degli strumenti di tutela previsti dall’ordinamento.

Errori da evitare nella richiesta di cancellazione

Un errore comune consiste nell’inviare un messaggio estremamente generico come “cancellate tutto quello che avete su di me” senza fornire elementi sufficienti per identificare il rapporto con l’azienda. Non è necessario scrivere una lettera complessa, ma il destinatario deve capire chi presenta la richiesta e quali trattamenti sono coinvolti.

È altrettanto poco utile inviare documenti e informazioni personali non richiesti. L’obiettivo è esercitare il diritto riducendo al minimo i nuovi dati comunicati, non consegnare all’azienda una quantità di informazioni ancora maggiore.

Bisogna inoltre evitare di confondere la cancellazione con l’opposizione al marketing. Se l’unico problema sono le comunicazioni commerciali, chiedere di non essere più contattati per finalità promozionali può essere più preciso e compatibile con l’eventuale prosecuzione del rapporto commerciale.

Infine, conviene evitare di cancellare frettolosamente prove e corrispondenza quando esiste una controversia. Conservare copia delle richieste inviate e delle risposte ricevute può essere essenziale se successivamente occorre dimostrare l’accaduto.

Come procedere in pratica

Il modo più semplice per richiedere la rimozione dei dati personali all’azienda consiste nel partire dall’informativa privacy e individuare il titolare del trattamento dati e il recapito previsto per l’esercizio dei diritti. Poi si prepara una richiesta chiara, indicando i dati necessari all’identificazione e specificando che si intende esercitare il diritto alla cancellazione ai sensi dell’articolo 17 del GDPR.

Se possibile, è utile indicare quali dati o quale account devono essere eliminati e la ragione della richiesta. Si invia quindi l’istanza attraverso uno dei canali messi a disposizione dal titolare, conservandone copia. Il Garante ricorda che non sono necessarie particolari formalità e mette a disposizione un proprio modello utilizzabile dagli interessati.

Dopo l’invio bisogna attendere il riscontro entro il termine previsto. Se l’azienda cancella solo una parte delle informazioni, conviene leggere la motivazione relativa ai dati mantenuti. Se non risponde o si ritiene che la richiesta sia stata gestita in violazione della normativa, si può valutare il reclamo al Garante o, nei casi più complessi, l’assistenza di un professionista qualificato.

Conclusione

Per richiedere la rimozione dei dati personali a un’azienda non serve una procedura complicata. Bisogna individuare il titolare del trattamento, formulare chiaramente la richiesta di cancellazione ai sensi dell’articolo 17 del GDPR e conservarne prova. L’azienda deve normalmente rispondere entro un mese, anche quando ritiene di non poter accogliere integralmente la domanda.

Il punto decisivo è ricordare che cancellazione non significa necessariamente eliminazione immediata di qualsiasi informazione. Alcuni dati possono dover essere conservati per obblighi legali o per altre ragioni ammesse dal GDPR, mentre trattamenti diversi, come il marketing, possono comunque dover cessare. Se hai ancora un rapporto con l’azienda, individua quindi prima quali dati vuoi realmente eliminare. Se invece il rapporto è terminato, recupera l’informativa privacy, invia l’istanza al titolare e annota la data: da quel momento hai un riferimento preciso per valutare il successivo riscontro.