Articolo a cura di: Redazione - Studio Legale Calvello

Quando un cliente chiede di cancellare i propri dati personali, l’azienda deve verificare quali informazioni tratta, per quali finalità e se esistono ragioni giuridiche che ne impongono o consentono ancora la conservazione. La richiesta non comporta necessariamente l’eliminazione immediata di tutti i dati, ma non può essere ignorata o respinta con una risposta generica. Il GDPR prevede termini precisi, obblighi di verifica e condizioni specifiche per esercitare il diritto alla cancellazione.

Il problema si presenta frequentemente dopo la chiusura di un rapporto commerciale, la revoca del consenso al marketing, la disattivazione di un account o una contestazione tra cliente e impresa. Una risposta incompleta, una cancellazione indiscriminata di documenti necessari oppure il mancato coordinamento con i fornitori informatici possono esporre l’azienda a reclami e responsabilità. Nei casi controversi, soprattutto quando sono coinvolti obblighi fiscali, crediti o procedimenti giudiziari, può essere necessario un esame legale della richiesta prima di intervenire.

Cliente che chiede la cancellazione dei dati personali: quali verifiche deve fare subito l’azienda

La prima attività consiste nel registrare la richiesta e individuare esattamente i dati ai quali si riferisce. Il cliente potrebbe chiedere di non ricevere più comunicazioni pubblicitarie, eliminare il proprio account, cancellare informazioni contenute nel gestionale oppure ottenere la rimozione di ogni dato riconducibile alla propria persona. Queste situazioni richiedono verifiche differenti, perché non tutte le informazioni sono trattate per le medesime finalità e non tutte sono soggette agli stessi obblighi di conservazione.

Il Regolamento (UE) 2016/679 disciplina il diritto alla cancellazione all’articolo 17. Il titolare del trattamento deve valutare se ricorre uno dei presupposti previsti dalla disposizione, tra cui il venir meno della necessità dei dati rispetto alle finalità originarie, la revoca del consenso in assenza di un’altra base giuridica, l’opposizione al trattamento nelle condizioni previste dal GDPR oppure l’illiceità del trattamento stesso.

Un esempio frequente riguarda il cliente che, dopo aver acquistato un prodotto, chiede di essere eliminato da tutti gli archivi aziendali. L’impresa potrebbe dover cancellare i dati utilizzati esclusivamente per determinate attività promozionali, ma conservare quelli contenuti nelle fatture per adempiere agli obblighi fiscali e contabili. La decisione deve essere presa distinguendo le singole finalità del trattamento, non considerando il nominativo del cliente come un insieme indivisibile di informazioni.

Occorre poi verificare dove si trovano i dati. Le informazioni possono essere distribuite tra CRM, software amministrativi, piattaforme di e-commerce, servizi di email marketing, archivi documentali e fornitori cloud. Una cancellazione effettuata soltanto nel gestionale principale potrebbe lasciare attivi altri trattamenti incompatibili con la richiesta accolta. È quindi necessario individuare i sistemi coinvolti e le persone autorizzate a intervenire, senza procedere a eliminazioni indiscriminate che compromettano documenti soggetti a obblighi di conservazione.

La richiesta può arrivare tramite email, PEC, modulo online o altro canale utilizzato dal cliente. Il GDPR non impone all’interessato di servirsi esclusivamente di un indirizzo dedicato. L’azienda deve quindi organizzarsi affinché anche una comunicazione ricevuta dal servizio clienti o dall’ufficio commerciale venga riconosciuta e trasmessa tempestivamente a chi gestisce i diritti degli interessati.

Se esistono ragionevoli dubbi sull’identità del richiedente, il titolare può domandare le informazioni aggiuntive necessarie per verificarla, secondo l’articolo 12, paragrafo 6, del GDPR. La verifica deve essere proporzionata: chiedere sistematicamente una copia del documento d’identità, anche quando il cliente è già identificabile con mezzi adeguati, può comportare una raccolta non necessaria di ulteriori dati personali.

Il responsabile privacy o il DPO, quando designato, può supportare questa valutazione. La responsabilità di assicurare il rispetto del GDPR rimane però in capo al titolare del trattamento. Per questo la gestione delle richieste dovrebbe essere integrata nelle procedure aziendali e non dipendere esclusivamente dall’iniziativa del singolo dipendente che riceve la comunicazione.

Quando l’azienda deve cancellare i dati e quando può conservarli nonostante la richiesta

Il diritto alla cancellazione non è assoluto. L’articolo 17 del GDPR individua le condizioni che impongono la cancellazione senza ingiustificato ritardo, ma prevede anche eccezioni, tra cui la necessità del trattamento per adempiere un obbligo legale oppure per accertare, esercitare o difendere un diritto in sede giudiziaria.

Questo significa che la cessazione del rapporto commerciale non determina automaticamente l’obbligo di cancellare tutta la documentazione riferita al cliente. Fatture, registrazioni contabili, contratti e corrispondenza rilevante possono essere soggetti a termini di conservazione diversi. L’azienda deve individuare le disposizioni applicabili e verificare quali informazioni siano effettivamente necessarie, evitando di utilizzare un generico richiamo agli obblighi amministrativi per conservare indiscriminatamente ogni dato raccolto.

Per esempio, se un cliente revoca il consenso all’invio di newsletter, l’impresa deve interrompere i trattamenti fondati su quel consenso, salvo che sussista un’altra base giuridica pertinente. Ciò non comporta necessariamente la cancellazione delle informazioni necessarie per gestire precedenti acquisti, obblighi di garanzia o documentazione fiscale. Per approfondire il rapporto tra obblighi di legge e durata della conservazione, abbiamo trattato specificamente la conservazione dei dati contabili e fiscali nel rispetto della privacy.

Un’altra situazione delicata riguarda il cliente che chiede la cancellazione mentre esiste una controversia commerciale, un credito insoluto o una contestazione contrattuale. L’articolo 17, paragrafo 3, lettera e), consente di mantenere i dati nella misura in cui il trattamento sia necessario per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria. Non basta però affermare che potrebbe nascere una controversia qualsiasi: occorre valutare la concreta necessità delle informazioni, la loro pertinenza e il periodo per il quale conservarle.

Quando una parte dei dati deve essere conservata, l’azienda può dover procedere a una cancellazione selettiva. Le informazioni non più necessarie per il marketing, per esempio, non devono continuare a essere utilizzate per quella finalità soltanto perché altri dati dello stesso cliente devono rimanere negli archivi amministrativi. In determinate circostanze può essere opportuno separare gli archivi o limitare gli accessi, così da impedire utilizzi incompatibili con le finalità residue.

La valutazione deve considerare anche l’eventuale opposizione al trattamento ai sensi dell’articolo 21 del GDPR. Per il marketing diretto, l’opposizione impone di cessare il trattamento per quella finalità. Può essere lecito conservare un’informazione minima necessaria a documentare e rispettare l’opposizione, evitando che il contatto venga reinserito nelle campagne promozionali. Questa conservazione deve essere circoscritta allo scopo e non può giustificare la prosecuzione dell’attività pubblicitaria.

La disciplina della cancellazione deve essere coordinata con le regole generali sulla durata del trattamento, approfondite nel nostro articolo dedicato a privacy e conservazione dei dati personali. In presenza di documenti con finalità differenti o obblighi normativi concorrenti, una valutazione legale preventiva permette di definire quali informazioni eliminare, quali mantenere e con quali limitazioni operative, evitando che la risposta al cliente si traduca in una nuova irregolarità.

Termini di risposta, cancellazione dai sistemi aziendali e responsabilità in caso di mancato adempimento

Una volta verificati i presupposti della richiesta, l’azienda deve organizzare gli interventi e rispettare i termini previsti dall’articolo 12 del GDPR. Il titolare del trattamento deve fornire riscontro senza ingiustificato ritardo e, comunque, entro un mese dal ricevimento della richiesta. Il termine può essere prorogato di altri due mesi quando necessario, tenendo conto della complessità e del numero delle richieste. In questo caso, il cliente deve essere informato della proroga e delle relative ragioni entro il primo mese.

Il termine di un mese non deve essere confuso con un’autorizzazione a rinviare automaticamente ogni intervento fino alla scadenza. Quando sussistono le condizioni dell’articolo 17, la cancellazione deve avvenire senza ingiustificato ritardo. Se l’azienda decide di non accogliere la richiesta, deve comunicare le ragioni del mancato intervento entro il termine applicabile, informando l’interessato della possibilità di proporre reclamo a un’autorità di controllo e di ricorrere all’autorità giudiziaria.

Dal punto di vista operativo, la difficoltà maggiore riguarda spesso la distribuzione delle informazioni tra sistemi differenti. Un cliente può essere presente nel CRM commerciale, nel gestionale amministrativo, nella piattaforma di email marketing e negli archivi di un fornitore esterno. Eliminare il nominativo da un solo database non significa necessariamente aver adempiuto alla richiesta di cancellazione. Occorre verificare quali trattamenti debbano cessare e quali sistemi conservino informazioni che non hanno più una giustificazione giuridica.

Particolare attenzione richiedono i fornitori che trattano dati personali per conto dell’azienda. L’articolo 28 del GDPR impone di disciplinare contrattualmente il rapporto con i responsabili del trattamento, prevedendo anche l’assistenza al titolare nel dare seguito alle richieste degli interessati. Se i dati sono gestiti da una software house, da un provider cloud o da una piattaforma esterna, l’impresa deve verificare le istruzioni impartite, le funzionalità disponibili e le modalità con cui ottenere l’esecuzione delle operazioni necessarie. Il fatto che il fornitore gestisca materialmente il sistema non esonera il titolare dalle proprie responsabilità.

Un ulteriore problema riguarda i backup. Le copie di sicurezza possono contenere dati che sono già stati eliminati dagli archivi operativi. La loro gestione richiede una valutazione tecnica e organizzativa che consideri la struttura dei sistemi, i tempi di conservazione, le possibilità di cancellazione selettiva e il rischio che un successivo ripristino renda nuovamente disponibili informazioni da eliminare. Quando non è tecnicamente possibile intervenire immediatamente sulle singole copie, l’azienda deve verificare se siano giustificabili misure alternative, come la segregazione dei dati, il divieto di ulteriori utilizzi e procedure che assicurino il rispetto della cancellazione in caso di ripristino. La semplice difficoltà tecnica non costituisce, da sola, un’eccezione al diritto previsto dal GDPR.

Quando i dati sono stati comunicati ad altri destinatari, trova applicazione anche l’articolo 19 del GDPR, che prevede la comunicazione della cancellazione ai destinatari ai quali i dati personali sono stati trasmessi, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato. Se l’interessato lo richiede, il titolare deve informarlo riguardo a tali destinatari. Questa disposizione deve essere coordinata con gli obblighi dell’articolo 17, paragrafo 2, quando il titolare ha reso pubblici i dati personali ed è tenuto a cancellarli.

L’azienda deve poter ricostruire le attività svolte: data di ricevimento della richiesta, verifiche effettuate, decisione adottata, sistemi interessati, comunicazioni ai fornitori e risposta trasmessa al cliente. La documentazione deve essere proporzionata e conservata per un periodo giustificabile. La tracciabilità permette di dimostrare le valutazioni compiute, soprattutto se l’interessato sostiene successivamente che i dati non siano stati cancellati o che l’impresa abbia continuato a utilizzarli.

La mancata gestione della richiesta può determinare un reclamo al Garante per la protezione dei dati personali e l’avvio di accertamenti. Le violazioni dei diritti degli interessati previsti dagli articoli da 12 a 22 rientrano nel regime sanzionatorio dell’articolo 83, paragrafo 5, del GDPR, che contempla, per le imprese, sanzioni amministrative pecuniarie fino a 20 milioni di euro o al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Questi importi rappresentano i massimi normativi, non una sanzione automatica: l’eventuale provvedimento dipende dalle circostanze della violazione e dai criteri di valutazione stabiliti dal Regolamento.

Il cliente può anche avanzare una richiesta risarcitoria ai sensi dell’articolo 82 del GDPR, qualora ricorrano i presupposti previsti dalla norma, compresa l’esistenza di un danno materiale o immateriale e il nesso causale con la violazione. Per questo, quando l’azienda riceve una diffida, una contestazione formale o una comunicazione da un legale, è opportuno esaminare sia la fondatezza della richiesta originaria sia le attività già compiute. Abbiamo approfondito la gestione delle contestazioni nell’articolo dedicato al cliente che minaccia un reclamo al Garante Privacy.

Esempio pratico: un cliente chiede di eliminare tutti i dati dopo la chiusura del rapporto commerciale

Consideriamo il caso di una società che vende prodotti attraverso un e-commerce e riceve da un ex cliente una richiesta di cancellazione integrale dei dati personali. Il cliente ha chiuso il proprio account, non desidera più ricevere comunicazioni commerciali e pretende che vengano eliminati anche lo storico degli acquisti e le informazioni conservate dai fornitori informatici.

Una gestione corretta richiede innanzitutto di distinguere i dati utilizzati per il marketing da quelli necessari per gli adempimenti fiscali, contabili e per eventuali obblighi connessi ai contratti conclusi. La verifica deve comprendere il gestionale amministrativo, la piattaforma e-commerce, il servizio di newsletter e gli eventuali responsabili esterni del trattamento.

Il profilo più delicato riguarda la richiesta di eliminare ogni informazione, comprese quelle che la società potrebbe essere obbligata a conservare. In una situazione simile, l’intervento professionale consiste nel valutare le basi giuridiche dei singoli trattamenti, individuare i dati effettivamente cancellabili e definire le istruzioni operative per i sistemi interessati. La risposta al cliente deve specificare quali operazioni sono state effettuate e motivare l’eventuale conservazione residua, senza utilizzare formule generiche come il richiamo indistinto agli obblighi di legge.

Questo esempio mostra come una richiesta apparentemente semplice possa richiedere un coordinamento tra amministrazione, ufficio commerciale, responsabili informatici e consulenza privacy. La soluzione dipende dalla natura dei dati, dai trattamenti effettivamente svolti e dalle disposizioni applicabili alla singola attività aziendale.

Domande frequenti sulla richiesta di cancellazione dei dati personali da parte di un cliente

Un cliente può pretendere la cancellazione di tutti i propri dati, comprese fatture e contratti?

No, non necessariamente. Il diritto alla cancellazione previsto dall’articolo 17 del GDPR incontra specifiche eccezioni, tra cui la necessità di conservare informazioni per adempiere obblighi legali o per accertare, esercitare o difendere un diritto in sede giudiziaria. L’azienda deve verificare separatamente le diverse categorie di dati e le rispettive finalità, evitando sia la cancellazione di documenti che devono essere conservati sia il mantenimento ingiustificato di informazioni non più necessarie.

Il cliente può chiedere la cancellazione dei dati anche se non ha mai prestato il consenso?

Sì. Il diritto alla cancellazione non dipende esclusivamente dalla revoca del consenso. Può essere esercitato anche quando i dati non sono più necessari rispetto alle finalità per cui sono stati raccolti, quando ricorrono determinate condizioni di opposizione al trattamento oppure quando il trattamento risulta illecito. L’azienda deve valutare i presupposti dell’articolo 17 del GDPR e le eventuali eccezioni applicabili, indipendentemente dal fatto che il trattamento originario fosse fondato sul consenso, sul contratto o su un’altra base giuridica.

Se il cliente chiede di cancellare i dati ma l’azienda ha ancora un credito da recuperare, come deve comportarsi?

La presenza di un credito può giustificare la conservazione delle informazioni effettivamente necessarie per documentare il rapporto contrattuale, accertare il credito ed esercitare o difendere i relativi diritti. Non autorizza però a mantenere qualsiasi dato personale del cliente o a continuare trattamenti per finalità differenti, come il marketing. Occorre verificare la documentazione pertinente, la base giuridica del trattamento e i termini di conservazione applicabili.

L’azienda può chiedere al cliente di pagare per ottenere la cancellazione dei dati?

Di regola no. L’articolo 12, paragrafo 5, del GDPR stabilisce che le informazioni, le comunicazioni e le azioni intraprese per dare seguito all’esercizio dei diritti degli interessati sono gratuite. Soltanto quando le richieste sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare può addebitare un contributo spese ragionevole oppure rifiutare di soddisfarle. Spetta al titolare dimostrare il carattere manifestamente infondato o eccessivo della richiesta.

Chi risponde se il fornitore del software non cancella i dati del cliente?

Quando il fornitore opera come responsabile del trattamento, il titolare deve impartire istruzioni adeguate e verificare che il rapporto sia disciplinato conformemente all’articolo 28 del GDPR. Il responsabile è tenuto a prestare assistenza al titolare per consentirgli di rispondere alle richieste degli interessati, nei limiti previsti dal Regolamento e dal contratto. L’eventuale inadempimento del fornitore non elimina automaticamente le responsabilità dell’azienda titolare, mentre la responsabilità del responsabile deve essere valutata secondo le disposizioni applicabili e le condotte concretamente accertate.

Richiesta di cancellazione dati cliente: assistenza legale GDPR per la tua azienda

Se la tua azienda ha ricevuto una richiesta di cancellazione dei dati personali da parte di un cliente e deve stabilire quali informazioni eliminare, quali conservare e come rispondere nei termini previsti dal GDPR, una valutazione giuridica può essere necessaria soprattutto in presenza di obblighi fiscali, rapporti contrattuali ancora rilevanti, dati distribuiti tra più fornitori o contestazioni già formulate dall’interessato.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza, assiste le imprese nella gestione degli obblighi privacy, nell’esame delle richieste di esercizio dei diritti degli interessati, nella predisposizione delle risposte e nella valutazione delle responsabilità connesse a eventuali violazioni del GDPR.

Se hai ricevuto una richiesta di cancellazione e desideri verificare come procedere, richiedi una valutazione legale per la tua azienda attraverso il modulo dedicato. Potrai descrivere la situazione e le eventuali criticità già emerse, consentendoci di esaminare la richiesta e valutare le possibili modalità di intervento.