Rispondere a una richiesta di accesso ai dati senza esporre i terzi

Un ex dipendente scrive all'ufficio del personale: «Chiedo copia di tutti i miei dati personali, comprese le email in cui vengo citato». La richiesta è legittima e il termine decorre dal giorno in cui arriva. Poi qualcuno apre la casella di posta: nelle email compaiono anche colleghi, un cliente che aveva presentato un reclamo, la responsabile che ha gestito una contestazione disciplinare e un fornitore con il cellulare nella firma. Consegnare tutto così com'è lede i diritti di queste persone; oscurare tutto svuota la risposta e apre la strada a un reclamo al Garante.

Ecco un metodo ripetibile per trovare l'equilibrio: cosa chiede la norma, dove si nascondono i dati di terzi, come oscurarli davvero e cosa conservare per dimostrare in seguito di aver agito correttamente.

Cosa prevede il diritto di accesso e quali sono i limiti

L'articolo 15 del GDPR riconosce all'interessato il diritto di sapere se i suoi dati sono trattati, di ricevere informazioni sul trattamento (finalità, categorie, destinatari, periodo di conservazione, origine) e di ottenere una copia dei dati personali oggetto di trattamento. Il paragrafo 4 fissa il contrappeso: il diritto di ottenere una copia non deve ledere i diritti e le libertà altrui.

La Corte di giustizia UE, nella sentenza C-487/21 (maggio 2023), ha chiarito che la copia deve essere una riproduzione fedele e intelligibile dei dati e può comprendere estratti di documenti o documenti interi quando ciò sia indispensabile per comprendere i dati ed esercitare i diritti, sempre tenendo conto dei diritti dei terzi. In pratica, spesso si consegnerà l'email stessa, con i dati delle altre persone oscurati.

In Italia il Codice privacy (d.lgs. 196/2003, come modificato dal d.lgs. 101/2018) prevede all'art. 2-undecies alcune limitazioni specifiche, ad esempio quando dall'accesso potrebbe derivare un pregiudizio alla riservatezza dell'identità di chi segnala illeciti o allo svolgimento di indagini difensive. La scheda informativa del Garante ricorda che la richiesta non va motivata e che l'accesso non deve ledere i diritti di terzi. Non va confuso con l'accesso documentale della legge 241/1990 o con l'accesso civico del d.lgs. 33/2013, che seguono regole diverse.

I termini da segnare in agenda

• Un mese dal ricevimento per rispondere (art. 12, par. 3, GDPR).
• Proroga fino a due mesi se la richiesta è complessa o le richieste sono numerose, comunicandola con i motivi entro il primo mese.
• La risposta è gratuita: un contributo spese ragionevole o il rifiuto sono possibili solo per copie ulteriori o richieste manifestamente infondate o eccessive, e vanno motivati.
• Se non si dà seguito alla richiesta, l'interessato va informato entro un mese dei motivi e della possibilità di proporre reclamo al Garante o ricorso giurisdizionale.

Dove si nascondono i dati di terzi

I nomi nel corpo di una lettera si vedono subito. Ciò che sfugge sta nei punti che nessuno controlla perché «non sono contenuto»:

• Intestazioni delle email: destinatari in copia e in copia nascosta, liste di distribuzione, indirizzi di inoltro e la catena di risposte citate in fondo.
• Firme con interno, ruolo o cellulare personale di colleghi e fornitori.
• Allegati: fogli di calcolo con colonne relative ad altri dipendenti, verbali con l'elenco dei presenti, certificati medici che citano familiari.
• Commenti e revisioni in Word, note del relatore nelle presentazioni.
• Metadati: autore, ultimo utente che ha modificato il file, percorsi di rete con il nome utente.
• Immagini e scansioni: il documento d'identità di un'altra persona nello stesso file, un timbro nominativo, uno screenshot di una chat.

Un metodo in sei passaggi

1. Delimitare e cercare

Verifica l'identità in modo proporzionato e chiedi chiarimenti solo se davvero necessario. Cerca in tutti i sistemi che contengono dati del richiedente: posta, CRM, paghe, gestione documentale, applicativi di settore. Annota cosa hai cercato, dove e con quali criteri: sarà la tua migliore difesa in caso di contestazione.

2. Classificare ogni documento

Crea tre gruppi: documenti con soli dati del richiedente (da consegnare), documenti senza suoi dati (fuori perimetro) e documenti misti, che richiedono lavoro. Per questi decidi se basta un estratto o se serve il documento completo per capire il contesto.

3. Bilanciare cosa oscurare

Non ogni dato di un terzo va oscurato in automatico. Chiediti se il richiedente conosce già l'informazione, se la persona agiva nell'esercizio delle sue funzioni e quale pregiudizio potrebbe derivarle. Il giudizio di un collega sul richiedente è un dato di entrambi: di solito si comunica il contenuto e si oscura l'identità di chi lo ha espresso se esiste un rischio per lui.

4. Oscurare in modo irreversibile

Un rettangolo nero disegnato sopra il testo non elimina nulla: le parole restano sotto e si possono copiare. Usa uno strumento che cancella davvero il contenuto, appiattisci il risultato e rimuovi i metadati del PDF prima dell'invio. Nei documenti scansionati controlla anche il livello di testo OCR invisibile.

5. Controllo a quattro occhi

Una seconda persona apre il file finale, cerca con Ctrl+F i nomi dei terzi presenti nell'originale e copia e incolla alcune zone oscurate. Se ricompare qualcosa, si torna al passaggio 4.

6. Consegnare in modo sicuro

Se la richiesta è arrivata per via elettronica, la risposta si fornisce in un formato elettronico di uso comune, salvo diversa indicazione. Usa link a scadenza o file protetti con password trasmessa per altro canale ed evita nomi di file come «Accesso_Mario_Rossi_reclamo_di_Anna.pdf».

Email e allegati: il caso più frequente

La maggior parte delle richieste di dipendenti e clienti finisce nella posta elettronica. Stampare in PDF un messaggio alla volta e oscurarlo a mano è lento e soggetto a dimenticanze, perché la stessa persona compare decine di volte in forme diverse («Giulia», «G. Rossi», «grossi@…»). Conviene lavorare sul messaggio originale (.eml o .msg) per non perdere intestazioni e allegati, applicare un'unica regola a tutto il thread e trattare ogni allegato come un documento a sé. La guida su come anonimizzare email e allegati entra nel dettaglio.

Cosa documentare per poterlo dimostrare

Il principio di responsabilizzazione richiede di poter dimostrare la corretta gestione della richiesta. Un fascicolo minimo per richiesta dovrebbe contenere:

Come aiuta Anonimatum

Anonimatum rileva con un'IA propria, eseguita su server nell'Unione europea, nomi, organizzazioni, indirizzi, numeri di telefono, codici identificativi e IBAN, e mostra un'anteprima per la revisione umana prima di applicare un oscuramento irreversibile. Dalla versione 1.9.0 tratta le email .eml e .msg con i loro allegati: intestazioni, oggetto e corpo vengono anonimizzati e gli allegati che non si possono anonimizzare non vengono mai inclusi nel risultato. La lista bianca lascia visibili i dati del richiedente, i fascicoli raggruppano tutti i documenti di una richiesta e il registro di audit del gruppo annota ogni operazione senza conservare nomi o contenuti dei documenti. Approfondisci nel caso d'uso sulle richieste di accesso ai dati personali.