Caso d’uso · Caso d'uso · DPO
Richieste di accesso ai dati: consegnare la copia e proteggere i terzi
Team Anonimatum
In breve
L'art. 15 del GDPR impone di fornire all'interessato copia dei suoi dati entro un mese, senza ledere i diritti altrui (art. 15, par. 4). La soluzione: consegnare tutto e oscurare solo ciò che riguarda i terzi.
Un ex dipendente chiede «tutti i dati che avete su di me». Una paziente vuole copia della propria cartella. Un cliente in contenzioso domanda le email in cui si parlava di lui. Per il titolare del trattamento ognuna di queste richieste è un esercizio del diritto di accesso dell'art. 15 GDPR, con un termine di legge e un rischio meno evidente: i dati del richiedente sono quasi sempre mescolati a quelli di colleghi, altri pazienti, fornitori o testimoni.
Questa pagina spiega cosa richiede la normativa, come organizzare la risposta nei tempi e come preparare una copia utile senza rivelare dati di terzi. È una guida pratica, non una consulenza legale: per i casi dubbi, rivolgetevi al vostro responsabile della protezione dei dati.
Che cosa impone l'art. 15 del GDPR
Il diritto di accesso ha tre livelli: la conferma che sia in corso un trattamento, l'accesso ai dati tramite una copia e le informazioni sul trattamento (finalità, categorie, destinatari, periodo di conservazione, origine, processi decisionali automatizzati, diritto di proporre reclamo al Garante per la protezione dei dati personali). La prima copia è gratuita; solo per copie ulteriori si può chiedere un contributo spese ragionevole.
Le Linee guida 01/2022 del Comitato europeo per la protezione dei dati chiariscono che la copia deve essere completa, salvo che l'interessato limiti la richiesta, e che non si può pretendere una motivazione. La Corte di giustizia UE, nella causa C-307/22 (sentenza del 26 ottobre 2023), ha stabilito che il paziente ha diritto a una prima copia gratuita della propria cartella clinica anche se persegue scopi estranei alla protezione dei dati.
Termini: un mese, prorogabile di due
L'art. 12, par. 3, fissa un mese dal ricevimento. Il termine può essere prorogato di due mesi per richieste complesse o numerose, informando l'interessato entro il primo mese e indicandone i motivi. Nell'ordinamento italiano, l'art. 2-undecies del Codice privacy (d.lgs. 196/2003, come modificato dal d.lgs. 101/2018) prevede limitazioni specifiche, ad esempio per la riservatezza dell'identità di chi segnala illeciti.
Il limite dell'art. 15, par. 4: i diritti altrui
Secondo l'art. 15, par. 4, il diritto di ottenere una copia non deve ledere i diritti e le libertà altrui. Il Comitato europeo sottolinea che questo limite non autorizza un rifiuto generalizzato: occorre bilanciare caso per caso e, quando possibile, consegnare il documento oscurando solo le parti che danneggerebbero altre persone. Una risposta parziale non giustificata espone il titolare a provvedimenti del Garante.
- Email interne: nomi, indirizzi e firme di colleghi diversi dal richiedente.
- Cartelle cliniche: informazioni fornite da familiari e dati di altri pazienti.
- Procedimenti disciplinari o segnalazioni: identità di segnalanti e testimoni.
- Assistenza clienti: dati di altri clienti in inoltri o screenshot.
- Segreti commerciali e proprietà intellettuale, richiamati dal considerando 63.
Un flusso di lavoro per rispettare i termini
Dalla ricezione della richiesta alla consegna
- Registrare la data di ricezione e calcolare la scadenza del mese.
- Verificare l'identità solo in caso di dubbi ragionevoli, senza chiedere dati eccessivi.
- Individuare le fonti: gestionale del personale, CRM, cartella clinica, caselle email, cartelle condivise, archivi cartacei.
- Estrarre documenti ed email pertinenti con i relativi allegati.
- Individuare i dati di terzi e applicare il bilanciamento dell'art. 15, par. 4, annotando la motivazione.
- Produrre la copia con i dati di terzi oscurati o pseudonimizzati e senza metadati superflui.
- Allegare le informazioni dell'art. 15, par. 1.
- Trasmettere tramite un canale sicuro e conservare la prova della risposta.
Email e allegati
La posta elettronica è spesso la fonte più onerosa: intestazioni con decine di destinatari, catene inoltrate, allegati PDF, Word o Excel. Stampare e oscurare a mano ogni messaggio richiede giorni e lascia passare dati, soprattutto nelle intestazioni. È più rapido esportare i messaggi in formato .eml o Outlook .msg e trattarli in blocco; vedi la guida per anonimizzare email e allegati.
Oscurare o pseudonimizzare: una copia comprensibile
Se una catena di venti email arriva con tutti i nomi altrui coperti da barre nere, il richiedente non capisce se due messaggi provengono dalla stessa persona. La pseudonimizzazione coerente risolve il problema: ogni terzo riceve sempre lo stesso sostituto («Persona A», «Persona B»). La differenza rispetto all'anonimizzazione è spiegata nella voce pseudonimizzazione.
| Tecnica | Quando usarla | Rischio da controllare |
|---|---|---|
| Oscuramento irreversibile | Dati senza valore per il richiedente (telefoni, indirizzi, codici fiscali di terzi) | Testo rimasto sotto la barra nera nel PDF |
| Sostituzione coerente | Catene di email e fascicoli con più soggetti | Contesto che permette di capire chi è chi |
| Esclusione del documento | Documenti con soli dati di terzi | Motivare e documentare la scelta |
Come aiuta Anonimatum
Anonimatum rileva con un'IA proprietaria, eseguita su server nell'Unione europea, nomi, organizzazioni, indirizzi, date e importi, e tramite pattern email, telefoni, IBAN e codici identificativi. Per il diritto di accesso la funzione chiave è la lista bianca: si inseriscono nome, email e codice fiscale del richiedente, così i suoi dati restano visibili mentre quelli altrui vengono nascosti. Tutto si controlla in anteprima prima di applicarlo.
- Dalla versione 1.9.0 tratta le email .eml e Outlook .msg: intestazioni, oggetto, corpo e allegati compatibili, con lo stesso sostituto per lo stesso dato. Gli allegati non anonimizzabili non vengono mai inclusi.
- La pseudonimizzazione sostituisce ogni terzo in modo coerente e conserva la tabella di corrispondenza cifrata.
- I documenti scansionati passano per l'OCR; Word, Excel e PDF escono nel formato originale, senza metadati residui.
- I fascicoli con cronologia delle versioni raccolgono quanto consegnato per ogni richiesta.
In ambito sanitario lo stesso flusso consente di consegnare copia della cartella senza dati di familiari o altri pazienti; vedi anonimizzare cartelle cliniche.
Domande frequenti
Posso rifiutare un documento perché contiene dati di terzi?
Non automaticamente. L'art. 15, par. 4, richiede un bilanciamento e, se possibile, la consegna del documento con l'oscuramento delle sole informazioni lesive per altri.
Entro quanto devo rispondere?
Entro un mese dal ricevimento, prorogabile di due mesi per richieste complesse o numerose, informando l'interessato entro il primo mese (art. 12, par. 3, GDPR).
Posso chiedere un contributo per la copia?
Non per la prima copia. Un contributo ragionevole è ammesso solo per copie ulteriori. La Corte di giustizia lo ha confermato per la cartella clinica nella causa C-307/22.
Devo consegnare le email in cui si parla del richiedente?
I dati del richiedente contenuti in quelle email rientrano nel diritto di accesso. Di norma si consegnano i messaggi o gli estratti pertinenti, oscurando i dati di terzi.
Molte richieste di accesso da gestire?
Scoprite i piani e iniziate a preparare copie di email e fascicoli con i dati dei terzi protetti e quelli del richiedente leggibili.