Articolo a cura di: Redazione - Studio Legale Calvello

Quando un cliente chiede di conoscere tutti i dati personali che un’azienda conserva su di lui, la richiesta deve essere gestita secondo le regole del GDPR. Non è sufficiente inviare l’informativa privacy o una copia dei dati anagrafici: l’impresa deve verificare quali informazioni personali tratta, dove sono conservate, per quali finalità vengono utilizzate e quali devono essere comunicate all’interessato. Una risposta incompleta, tardiva o ingiustificatamente negata può esporre l’azienda a un reclamo al Garante Privacy, a provvedimenti correttivi e, nei casi previsti, a sanzioni. La gestione diventa particolarmente delicata quando i dati sono distribuiti tra gestionali, email, CRM e fornitori esterni oppure quando la richiesta nasce da una controversia commerciale. In queste situazioni, un’assistenza legale specializzata può aiutare l’impresa a individuare correttamente gli obblighi e a predisporre un riscontro adeguato.

Il cliente chiede accesso a tutti i suoi dati: quali obblighi ha l’azienda?

Il diritto di accesso è disciplinato dall’articolo 15 del Regolamento (UE) 2016/679. Consente all’interessato di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in caso affermativo, di accedere a tali dati e ricevere le informazioni previste dalla normativa. Per l’azienda significa dover ricostruire concretamente i trattamenti riferibili al cliente, senza limitarsi alle informazioni immediatamente disponibili nel sistema gestionale principale.

La richiesta può arrivare tramite PEC, email ordinaria, modulo di contatto o direttamente al servizio clienti. Non è necessario che il cliente utilizzi un modulo predisposto dall’azienda, citi l’articolo 15 o impieghi la terminologia giuridica corretta. Anche una comunicazione come «Voglio sapere quali informazioni avete su di me e riceverne una copia» può costituire esercizio del diritto di accesso. Il personale che riceve il messaggio deve quindi riconoscerne la natura e trasmetterlo tempestivamente alla funzione competente.

Il primo errore da evitare è considerare la richiesta come una normale domanda commerciale. Una risposta generica, oppure il semplice rinvio all’informativa pubblicata sul sito, non soddisfa necessariamente gli obblighi previsti dal GDPR. L’azienda deve accertare se tratta dati personali del richiedente e, quando il trattamento esiste, fornire una risposta che comprenda le informazioni dovute e una copia dei dati oggetto di trattamento, nel rispetto dei limiti previsti dalla legge.

La ricerca può riguardare dati identificativi, recapiti, contratti, ordini, pagamenti, comunicazioni con l’assistenza, registrazioni telefoniche, ticket, informazioni di profilazione e altri elementi riferibili al cliente. Anche valutazioni, annotazioni e comunicazioni interne possono contenere dati personali soggetti al diritto di accesso, quando riguardano una persona identificata o identificabile. Non è quindi corretto escludere automaticamente un’informazione soltanto perché è stata prodotta per uso interno.

Questo non significa che il cliente abbia un diritto indiscriminato a ottenere ogni documento aziendale nel quale compare il suo nome. Occorre distinguere tra il diritto di ricevere una copia dei dati personali e la pretesa di ottenere interi documenti, fascicoli o corrispondenza. In determinate circostanze, la riproduzione di estratti o documenti completi può essere necessaria per rendere i dati comprensibili; in altre, è possibile fornire le informazioni attraverso una diversa rappresentazione fedele e intelligibile. La valutazione deve tenere conto anche dei diritti e delle libertà di altre persone.

Particolare attenzione è necessaria quando la richiesta arriva dopo la cessazione di un rapporto contrattuale o durante una contestazione. Il fatto che il cliente abbia avviato una controversia con l’impresa non esclude, di per sé, il diritto di accesso. L’azienda deve esaminare la richiesta secondo la disciplina privacy, verificando separatamente gli eventuali limiti applicabili e senza confondere l’accesso ai dati personali con gli strumenti di acquisizione documentale previsti nel processo civile.

Come individuare i dati da consegnare e rispettare i termini previsti dal GDPR

Una volta ricevuta la richiesta, l’azienda deve organizzare la ricerca delle informazioni e verificare l’identità del richiedente quando sussistono ragionevoli dubbi. L’articolo 12 del GDPR consente di chiedere ulteriori informazioni necessarie a confermare l’identità, ma non autorizza a pretendere sistematicamente una copia del documento di riconoscimento in ogni situazione. Se il cliente utilizza un canale già autenticato e non emergono dubbi concreti, ulteriori verifiche potrebbero risultare sproporzionate.

La risposta deve essere fornita senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta. Quando necessario, considerando la complessità e il numero delle richieste, il termine può essere prorogato di altri due mesi. L’azienda deve però informare l’interessato della proroga e delle relative ragioni entro il primo mese. La proroga non è automatica e non può essere utilizzata semplicemente perché gli uffici non hanno organizzato in tempo le attività necessarie.

Per rispettare questi termini occorre individuare i sistemi che contengono dati del cliente. Il CRM può conservare recapiti, storico delle interazioni e preferenze commerciali; il gestionale amministrativo può contenere informazioni contrattuali e contabili; il servizio clienti può disporre di registrazioni telefoniche e ticket. Anche le email aziendali possono contenere dati personali pertinenti alla richiesta. La ricerca deve essere ragionevolmente completa e commisurata ai trattamenti effettivamente svolti, evitando sia esclusioni arbitrarie sia raccolte indiscriminate di informazioni estranee.

Se i dati sono trattati attraverso software, servizi cloud o fornitori esterni, il titolare deve attivare tempestivamente i soggetti coinvolti. I responsabili del trattamento, ai sensi dell’articolo 28 del GDPR, devono assistere il titolare, per quanto possibile e tenendo conto della natura del trattamento, nel dare seguito alle richieste degli interessati. L’utilizzo di un fornitore esterno non trasferisce automaticamente a quest’ultimo la responsabilità del titolare di rispondere al cliente. Per questo è utile verificare che i contratti e le procedure operative consentano di recuperare i dati entro i termini previsti. Per individuare correttamente le rispettive funzioni, è utile distinguere tra titolare, responsabile e autorizzato al trattamento.

La risposta deve comprendere, quando applicabili, le finalità del trattamento, le categorie di dati personali, i destinatari o le categorie di destinatari, il periodo di conservazione previsto o i criteri utilizzati per determinarlo, l’origine dei dati quando non sono stati raccolti presso l’interessato e le ulteriori informazioni richieste dall’articolo 15. In presenza di processi decisionali automatizzati rientranti nelle disposizioni pertinenti, devono essere fornite anche le informazioni specificamente previste dal Regolamento.

La prima copia dei dati personali oggetto di trattamento deve essere fornita gratuitamente. Per ulteriori copie richieste dall’interessato può essere applicato un contributo spese ragionevole, basato sui costi amministrativi. L’eventuale rifiuto o richiesta di un contributo per domande manifestamente infondate o eccessive richiede invece una valutazione distinta, secondo l’articolo 12, paragrafo 5, del GDPR, e l’onere di dimostrarne i presupposti ricade sul titolare.

Quando la richiesta è presentata con mezzi elettronici, le informazioni devono essere fornite in un formato elettronico di uso comune, salvo diversa indicazione dell’interessato. La trasmissione deve avvenire con modalità adeguate alla sensibilità e alla quantità dei dati, evitando che una risposta predisposta correttamente si trasformi in una comunicazione non autorizzata. L’azienda deve anche conservare evidenza della richiesta ricevuta, delle verifiche effettuate, delle eventuali limitazioni applicate e del riscontro trasmesso, così da poter dimostrare come ha gestito l’adempimento.

Risposta incompleta, rifiuto dell’accesso e reclamo al Garante Privacy: quali rischi corre l’azienda?

La difficoltà maggiore nella gestione di una richiesta di accesso non consiste soltanto nel recuperare le informazioni, ma nel determinare quali dati debbano essere effettivamente comunicati e quali eventuali limitazioni siano giuridicamente giustificate. Un’azienda può aver individuato correttamente i dati anagrafici, contrattuali e amministrativi del cliente, trascurando però informazioni presenti nelle comunicazioni interne, nei sistemi di assistenza o nelle attività di profilazione. Una risposta formalmente tempestiva può comunque risultare non conforme al GDPR se omette dati personali rilevanti o non fornisce le informazioni previste dall’articolo 15.

Il problema diventa particolarmente delicato quando i documenti contengono informazioni relative ad altri clienti, dipendenti, collaboratori o soggetti terzi. L’articolo 15, paragrafo 4, del GDPR stabilisce che il diritto di ottenere una copia dei dati personali non deve ledere i diritti e le libertà altrui. Questa disposizione non consente però di respingere automaticamente l’intera richiesta. Occorre verificare se sia possibile fornire i dati attraverso estratti, oscuramenti o altre modalità che tutelino le informazioni riservate senza compromettere ingiustificatamente il diritto dell’interessato.

Lo stesso criterio richiede attenzione quando il cliente domanda comunicazioni interne, valutazioni commerciali, annotazioni relative alla sua affidabilità o documenti utilizzati in una controversia. L’azienda non può escludere indiscriminatamente queste informazioni sostenendo che appartengano alla propria organizzazione interna. Deve stabilire se contengano dati personali dell’interessato, quale sia il contesto necessario per comprenderli e se esistano diritti di terzi o specifiche disposizioni normative che giustifichino una limitazione. Il diritto di accesso non coincide con un diritto generalizzato a ottenere qualsiasi documento aziendale, ma neppure può essere ridotto ai soli dati che l’impresa decide spontaneamente di mostrare.

Un’ulteriore criticità riguarda le richieste ripetute, particolarmente ampie o formulate durante un conflitto commerciale. L’articolo 12, paragrafo 5, consente al titolare di applicare un contributo spese ragionevole oppure di rifiutare di soddisfare la richiesta quando questa sia manifestamente infondata o eccessiva, in particolare per il suo carattere ripetitivo. Si tratta di condizioni che devono essere dimostrate dall’azienda. La semplice circostanza che il cliente sia insistente, abbia avviato una contestazione o intenda utilizzare le informazioni in un procedimento giudiziario non rende automaticamente abusivo l’esercizio del diritto.

Quando il titolare decide di non dare seguito alla richiesta, deve comunicare all’interessato, senza ritardo e comunque entro un mese dal ricevimento, i motivi della propria decisione e informarlo della possibilità di proporre reclamo a un’autorità di controllo e di ricorrere all’autorità giudiziaria. Un diniego generico, privo di una motivazione verificabile, può aggravare una controversia già esistente.

Se il cliente ritiene che l’azienda non abbia rispettato i suoi diritti, può rivolgersi al Garante per la protezione dei dati personali. L’Autorità può richiedere chiarimenti, acquisire documentazione e verificare le modalità con cui il titolare ha gestito la richiesta. Nei casi previsti dal GDPR, le violazioni dei diritti degli interessati possono comportare misure correttive e sanzioni amministrative pecuniarie ai sensi dell’articolo 83, paragrafo 5, lettera b), del Regolamento. L’importo eventualmente applicabile dipende dalle circostanze concrete e dai criteri di valutazione previsti dalla normativa.

Il cliente può anche avanzare una richiesta di risarcimento qualora ritenga di aver subito un danno materiale o immateriale a causa di una violazione del GDPR. La violazione della normativa non determina automaticamente il diritto a un risarcimento: devono essere valutati il danno effettivamente subito, la violazione e il relativo nesso causale, secondo l’articolo 82 del Regolamento.

Quando riceviamo richieste di assistenza da aziende che hanno già risposto in modo incompleto, superato i termini o ricevuto una contestazione, la nostra valutazione riguarda innanzitutto la documentazione disponibile, i trattamenti effettivamente svolti e le comunicazioni intercorse con l’interessato. È necessario distinguere gli eventuali errori procedurali dalle questioni sostanziali ancora da risolvere, individuando quali informazioni possano essere legittimamente fornite e quali motivazioni debbano accompagnare eventuali limitazioni. Se il cliente ha già minacciato un’azione davanti all’Autorità, occorre considerare anche le problematiche illustrate nel nostro approfondimento su come gestire la minaccia di un reclamo al Garante Privacy.

Per ridurre il rischio di contestazioni future, l’azienda dovrebbe disporre di una procedura interna che consenta di identificare tempestivamente le richieste, assegnare le responsabilità operative, coinvolgere i fornitori interessati e verificare il contenuto della risposta prima dell’invio. Quando è stato nominato un DPO, questi deve essere coinvolto secondo le proprie funzioni di consulenza e sorveglianza, ferma restando la responsabilità del titolare del trattamento. Una corretta organizzazione deve permettere anche di dimostrare le attività svolte, in coerenza con il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, del GDPR.

Esempio pratico: un cliente chiede all’azienda copia di tutti i dati dopo una contestazione commerciale

Consideriamo il caso ipotetico di una società che vende prodotti attraverso un e-commerce e riceve da un cliente, dopo una contestazione relativa a un acquisto, una richiesta di accesso a tutti i suoi dati personali. Il cliente domanda espressamente lo storico degli ordini, le comunicazioni con il servizio assistenza, le informazioni utilizzate per le attività promozionali e le eventuali annotazioni interne che lo riguardano.

L’ufficio amministrativo prepara inizialmente una risposta contenente i dati anagrafici e le fatture, ritenendo che tali documenti siano sufficienti. Una verifica più approfondita mostra però che ulteriori dati personali sono conservati nel CRM, nei ticket dell’assistenza e presso un fornitore esterno che gestisce le comunicazioni commerciali. Alcune annotazioni contengono anche riferimenti a dipendenti e valutazioni interne, rendendo necessaria una verifica dei limiti di accesso e della tutela dei terzi.

In una situazione di questo tipo, l’intervento legale consiste nel ricostruire i trattamenti pertinenti, individuare i dati da comunicare e verificare le eventuali limitazioni giustificate dalla normativa. Occorre coordinare gli uffici aziendali e i responsabili esterni, controllare la completezza delle informazioni e predisporre una risposta comprensibile, documentata e trasmessa con modalità sicure. La controversia commerciale viene considerata nel suo contesto, senza utilizzarla come motivo automatico per negare l’accesso.

Domande frequenti sulle richieste di accesso ai dati personali dei clienti

Un cliente può chiedere tutti i suoi dati personali senza spiegare il motivo?

Sì. Il diritto di accesso previsto dall’articolo 15 del GDPR non è subordinato alla necessità di giustificare la richiesta. L’azienda non può pretendere che il cliente dimostri un particolare interesse o spieghi come intenda utilizzare le informazioni. Se la richiesta riguarda una grande quantità di dati, il titolare può chiedere all’interessato di precisare le informazioni o le attività di trattamento alle quali si riferisce, senza trasformare tale chiarimento in una condizione generalizzata per esercitare il diritto.

L’azienda deve consegnare anche le email interne che parlano del cliente?

Le comunicazioni interne possono contenere dati personali dell’interessato e, in quanto tali, rientrare nell’ambito del diritto di accesso. Non esiste però un obbligo generalizzato di consegnare integralmente ogni email. Occorre valutare quali informazioni costituiscano dati personali, quale contesto sia necessario per comprenderle e se la comunicazione possa pregiudicare i diritti e le libertà di terzi. In alcuni casi può essere necessario fornire estratti o copie opportunamente oscurate.

Se il cliente ha già ricevuto l’informativa privacy, l’azienda deve comunque rispondere?

Sì. L’informativa privacy e il diritto di accesso rispondono a obblighi differenti. La prima comunica le caratteristiche del trattamento secondo gli articoli 13 e 14 del GDPR; il secondo consente all’interessato di conoscere i dati personali effettivamente trattati e ottenere le informazioni previste dall’articolo 15. Il semplice invio dell’informativa non sostituisce una risposta individuale alla richiesta.

Cosa succede se il fornitore del gestionale non riesce a recuperare i dati entro il termine?

L’azienda deve attivarsi tempestivamente per ottenere la collaborazione del fornitore e verificare gli obblighi di assistenza previsti dal contratto di trattamento. Le difficoltà tecniche non determinano automaticamente una sospensione dei termini del GDPR. Se ricorrono le condizioni di complessità previste dall’articolo 12, paragrafo 3, può essere valutata una proroga, da comunicare all’interessato entro un mese dalla richiesta. Resta necessario documentare le attività svolte e le ragioni delle eventuali difficoltà.

Il cliente può rivolgersi al Garante Privacy anche se l’azienda ha risposto entro un mese?

Sì. Il rispetto del termine non esclude la possibilità di contestare il contenuto della risposta. Il cliente può ritenere che siano stati omessi dati personali, che le informazioni siano insufficienti o che un rifiuto non sia giustificato. Per questo la verifica della completezza e della correttezza giuridica del riscontro è importante quanto il rispetto della scadenza.

Richiesta di accesso ai dati personali di un cliente: assistenza legale per la tua azienda

Quando un cliente chiede tutti i propri dati personali, l’azienda deve fornire una risposta conforme al GDPR, rispettando i termini previsti e valutando correttamente le informazioni da comunicare. La presenza di dati distribuiti tra più sistemi, documenti riservati, fornitori esterni o controversie già avviate può rendere necessaria un’analisi legale specifica.

Da oltre 25 anni, noi dello Studio Legale Calvello assistiamo privati e imprese nelle questioni giuridiche che richiedono una valutazione professionale. In materia di privacy aziendale possiamo esaminare le richieste di accesso ricevute, verificare gli obblighi del titolare del trattamento, supportare la predisposizione delle risposte e assistere l’impresa in presenza di contestazioni o reclami.

Se la tua azienda ha ricevuto una richiesta di accesso ai dati personali e deve decidere come rispondere, richiedi una valutazione legale in materia di GDPR e privacy aziendale attraverso il modulo dedicato. Esamineremo la richiesta per valutare le possibili modalità di intervento in relazione alla situazione concreta dell’impresa.