Diritto di accesso e diritto alla cancellazione: rispondere entro un mese, senza panico

Per chi è

L’Oficina Rocha, Marta, Inês, Rui e le persone che scrivono loro sono fittizi. Le norme, i termini e le conclusioni delle autorità sono reali e con fonti.

Scena 1 · martedì 27 ottobre, 9:10

«Mandatemi tutto quello che avete su di me»

Marta è la responsabile amministrativa dell’Oficina Rocha, un mobilificio di 45 persone vicino a Braga, nel nord del Portogallo, con un negozio online. «Si occupa anche del GDPR», il venerdì pomeriggio. Oggi, svuotando la casella generica info@, trova questo:

Da: paulo.m…@gmail.com · A: info@ · 6 ottobre, 22:47

Buonasera. Ho lasciato l’azienda a giugno. Vorrei ricevere tutti i dati personali che l’Oficina Rocha conserva su di me. Grazie, Paulo Mendes

L’e-mail ha tre settimane. La prima reazione di Marta è molto comune: «L’ha mandata all’indirizzo sbagliato, conta lo stesso?». Conta. L’orologio è partito il 6 ottobre e si ferma il 6 novembre. Mancano dieci giorni.

Chiama Inês, la DPO esterna che segue l’azienda. Inês resta calma: «Dieci giorni bastano se cominciamo oggi. Facciamolo nell’ordine giusto». Questa guida è quell’ordine.

Succede spesso. Quando le autorità europee per la protezione dei dati hanno esaminato 1.185 organizzazioni nel 2024, uno dei problemi più frequenti era non riconoscere le richieste che non citano il GDPR o che arrivano da canali non pensati per questo. E il 74% di quelle organizzazioni aveva ricevuto tra zero e dieci richieste di accesso l’anno precedente. Con così poche richieste, nessuno si ricorda la procedura nel momento in cui serve.

Fonte: EDPB, relazione sull’azione coordinata 2024 sul diritto di accesso (adottata il 16 gennaio 2025, in inglese).

Modello gratuito: il Registro delle richieste di accesso e cancellazione trasforma questa guida in un foglio di calcolo pronto all’uso.

PASSO 1

Riconoscere la richiesta

Il GDPR non impone alcuna forma alla richiesta. Può arrivare per e-mail, posta, telefono, modulo web, social network o di persona a un collega. La persona non deve scrivere «articolo 15» né spiegare perché vuole i suoi dati. Il Comitato europeo per la protezione dei dati (EDPB) è chiaro: non spetta a voi giudicare il «perché», e non potete rifiutare solo perché la richiesta non cita la legge.

C’è un limite ragionevole. Se avete pubblicato un canale dedicato e qualcuno scrive a un indirizzo che non c’entra nulla (l’esempio dell’EDPB è l’indirizzo del personale delle pulizie), la richiesta può non contare. Ma un indirizzo generico come info@ o quello del servizio clienti conta, e l’EDPB si aspetta da voi «ogni ragionevole sforzo» per inoltrarla alla persona giusta. Il tempo che la richiesta passa dimenticata in una casella non proroga il termine.

EDPB, linee guida 01/2022 sul diritto di accesso, v2.1, punti 13, 50 e da 52 a 57 ed esempi 8 e 9.

PASSO 2

Contare il termine al giorno

Il GDPR dice «un mese», non 30 giorni. Il calcolo segue le regole dell’UE sui termini: il giorno in cui arriva la richiesta non conta, e il termine scade lo stesso giorno del mese successivo. Se quel giorno non esiste, scade l’ultimo giorno del mese. Se cade di sabato, di domenica o in un giorno festivo, slitta al primo giorno lavorativo successivo.

Alcune autorità, come la CNPD (l’autorità portoghese per la protezione dei dati), indicano al pubblico una risposta entro «30 giorni». Lavorare su 30 giorni è il modo più sicuro per non superare mai il mese.

Proroga. Potete aggiungere fino a due mesi «se necessario, tenuto conto della complessità e del numero delle richieste». A due condizioni: dirlo alla persona entro il primo mese e indicarne il motivo (modello 4). Una proroga inviata al 35° giorno arriva tardi.

Rispondete a richieste in Italia?

Il Codice in materia di protezione dei dati personali (D.Lgs. 196/2003, modificato dal D.Lgs. 101/2018) non cambia questi termini per un’impresa: sono quelli del GDPR. Il Codice prevede alcune limitazioni specifiche ai diritti (art. 2-undecies), per esempio quando la risposta potrebbe pregiudicare indagini difensive o la riservatezza dell’identità di chi segnala illeciti, e il loro uso va motivato caso per caso. Il Garante per la protezione dei dati personali spiega i diritti nella sua pagina dedicata e mette a disposizione dei cittadini un modello per l’esercizio dei diritti. Vale la pena conoscerlo, perché è quello che vi arriverà.

Art. 12, paragrafo 3, del GDPR; regolamento (CEE, Euratom) 1182/71, art. 3; Codice privacy, art. 2-undecies; CNPD, Direito ao apagamento dos dados (in portoghese).

PASSO 3

Verificare l’identità, con misura

Chiedete informazioni aggiuntive solo se avete ragionevoli dubbi sull’identità di chi fa la richiesta, e solo ciò che vi serve davvero. L’abitudine di chiedere a tutti una copia della carta d’identità è un errore: l’EDPB ritiene che in generale non sia un mezzo adeguato per autenticare qualcuno e che crei un rischio per la sicurezza. Nella relazione del 2024, le autorità hanno scritto che chiedere un documento d’identità in modo sistematico «può costituire un trattamento eccessivo».

Usate quello che avete già. Un cliente con un account sul negozio online può confermare dal suo account. Un ex dipendente può confermare un’informazione che conoscono solo lui e l’azienda, o ricevere la risposta ai recapiti che già figurano nel suo fascicolo. Nel caso di Paulo, la sua e-mail personale era già nel fascicolo del personale, quindi Inês non ha chiesto altro.

Se dovete davvero verificare, chiedetelo nei primi giorni (modello 2) per non passare il mese ad aspettare.

Art. 12, paragrafo 6, e considerando 64 del GDPR; EDPB, linee guida 01/2022, punti da 73 a 77 ed esempi 13 e 14; EDPB, relazione sull’azione coordinata 2024.

PASSO 4

Accesso: cosa dovete inviare

Una risposta di accesso ha due parti. Pensate a una cartellina con una copia dentro e una lettera di accompagnamento sopra.

Cosa ha già deciso la Corte di giustizia

Art. 15 del GDPR; CGUE C-154/21, C-487/21, C-307/22, C-579/21; EDPB, linee guida 01/2022.

PASSO 5

Dove cercare

Il primo problema rilevato dalle autorità nel 2024 sono ricerche troppo ristrette: guardare solo il database principale e dimenticare le e-mail, i metadati, i file non testuali o i backup. Ricordano che non potete limitare la risposta ai dati che ritenete pertinenti.

All’Oficina Rocha, Rui, dell’informatica, ha cercato il nome e gli indirizzi e-mail di Paulo nelle caselle, nel file server e nel software paghe, e ha confermato che le registrazioni video di giugno erano già state cancellate nel ciclo normale. Gli è servita una mattinata. Marta ha tirato fuori il fascicolo del personale. Inês ha riletto tutto e oscurato i dati di clienti e colleghi.

EDPB, relazione sull’azione coordinata 2024, problema 1 e raccomandazioni; art. 30 del GDPR.

Scena 2 · due settimane dopo

«Cancellate il mio account e tutto quello che avete su di me»

Paulo ha ricevuto la risposta il 4 novembre, due giorni prima della scadenza. Marta tira il fiato. Poi arriva un messaggio, dal modulo del negozio online, da Sofia, una cliente che ha comprato un tavolo nel 2024 e riceve la newsletter.

Cancellare tutto sembra semplice. Ma la fattura del tavolo riporta nome e indirizzo di Sofia, e la legge fiscale obbliga a conservarla. La newsletter parte da una piattaforma esterna. E ogni notte ci sono i backup. Marta scrive a Inês: «Cancello o no?». La risposta: «Tutte e due le cose. Vediamo cosa è cosa».

PASSO 6

Cancellazione: quando cancellare, quando conservare

Il diritto alla cancellazione, detto anche «diritto all’oblio», non è assoluto. Verificate prima se si applica uno dei casi. Poi verificate se scatta un’eccezione, caso per caso e per iscritto.

Tre punti in cui le organizzazioni inciampano

Chiudere un account non è cancellare i dati. Le autorità hanno chiesto più consapevolezza di questa differenza, perché molte organizzazioni trattano le due cose come una sola.

In Italia, le fatture restano dieci anni. Il codice civile impone di conservare le scritture contabili e le fatture per dieci anni (art. 2220). Quello che tenete per questo motivo, come la fattura di Sofia, esce dai sistemi operativi: archiviatelo a parte, con accesso solo a chi ne ha bisogno, e cancellatelo alla fine del periodo. Verificate i termini con il vostro commercialista.

Artt. 17 e 19 del GDPR; codice civile, art. 2220; EDPB, relazione sull’azione coordinata 2025 sul diritto alla cancellazione (adottata il 10 febbraio 2026, in inglese); Garante, diritti degli interessati.

PASSO 7

Rifiutare o limitare, su basi solide

Potete rifiutare, o chiedere un contributo spese ragionevole, solo se la richiesta è manifestamente infondata o eccessiva, in particolare per il suo carattere ripetitivo. L’EDPB dice che queste nozioni vanno interpretate in modo restrittivo, e spetta a voi dimostrare che la richiesta lo è. Una richiesta ripetuta perché la vostra prima risposta era incompleta è solo un sollecito, non una nuova richiesta.

Non usate nemmeno il rifiuto per risparmiarvi lavoro. Se qualcuno chiede tutto e avete anni di dati in molti sistemi, potete chiedergli se preferisce cominciare da un ambito preciso (modello 3). Ma l’EDPB avverte che questa richiesta di precisazione non può servire a limitare la risposta. Se dice «tutto», mandate tutto.

Ogni volta che non date seguito a una richiesta, in tutto o in parte, dovete rispondere entro il mese con i motivi e informare la persona che può proporre reclamo a un’autorità di controllo e ricorso giurisdizionale (modello 7).

Art. 12, paragrafi 4 e 5, e art. 15, paragrafo 4, del GDPR; EDPB, linee guida 01/2022, punto 29 e sezione 6.

Cosa hanno trovato le autorità

Sette cose da non fare

Questi problemi sono tornati ancora e ancora.

1. 1
   Non avere una procedura scritta.Diciassette autorità hanno trovato organizzazioni senza una procedura di cancellazione documentata e aggiornata. Alcune rivedono la loro ogni cinque anni, o mai.
2. 2
   Non riconoscere la richiesta né confermarne il ricevimento.Le richieste che non citano il GDPR, o che arrivano da canali non previsti, restano senza risposta.
3. 3
   Chiedere a tutti un documento d’identità.Moduli web obbligatori, richieste solo per iscritto e documento d’identità di default sono altrettanti ostacoli all’esercizio del diritto.
4. 4
   Cercare solo nel database principale.Le e-mail, i metadati, i file non testuali e i backup restano fuori.
5. 5
   Rispondere con l’informativa privacy.Informazioni generiche, destinatari solo per categorie e periodi di conservazione vaghi, invece di risposte specifiche per la persona.
6. 6
   Tenere il registro delle richieste per sempre.Periodi di conservazione delle richieste stesse da sei mesi a 45 anni, o nessuno. Fissate un periodo e tenete questi registri a parte.
7. 7
   Applicare le eccezioni in automatico.Più di una decina di autorità hanno visto eccezioni dell’art. 17, paragrafo 3, applicate senza un’analisi caso per caso, e rifiuti senza un motivo documentato.

EDPB, relazione 2024 (accesso); EDPB, relazione 2025 (cancellazione).

Da stampare

Il mese, giorno per giorno

Risposte tipo

Sette risposte pronte da adattare

Sostituite tutto ciò che è tra [parentesi quadre]. Scrivete come una persona scrive a un’altra: queste risposte le legge chi ha fatto la richiesta e, a volte, un’autorità di controllo.

Gentile [nome],
abbiamo ricevuto il [data di ricevimento] la sua richiesta relativa a [sintesi: l’accesso ai suoi dati personali / la cancellazione dei suoi dati].
Le risponderemo entro il [scadenza]. Se la richiesta si rivelasse particolarmente complessa e avessimo bisogno di più tempo, glielo diremo prima di quella data spiegandole il motivo.
Il riferimento della sua richiesta è [numero]. Per qualsiasi domanda, basta rispondere a questa e-mail.
Cordiali saluti,
[Nome]
[Ruolo] · [Organizzazione]

Gentile [nome],

per proteggere i suoi dati dobbiamo essere sicuri che la richiesta venga proprio da lei. In questo caso specifico, [motivo concreto: l’indirizzo e-mail usato non è quello associato al suo account].
Può confermarlo in uno di questi modi:
– [opzione proporzionata 1: rispondere dall’indirizzo associato al suo account]
– [opzione proporzionata 2: indicarci il numero di un ordine recente]
Non è necessario inviarci una copia del documento d’identità. Appena riceveremo la sua conferma, proseguiremo con la richiesta.
Cordiali saluti,
[Nome] · [Organizzazione]

Gentile [nome],

abbiamo iniziato a raccogliere i suoi dati. Conserviamo informazioni che la riguardano in [elenco: il suo fascicolo del personale, e-mail di lavoro dal [anno] al [anno], i registri degli accessi all’edificio].
Per inviarle prima ciò che le interessa di più, preferisce ricevere per primo un ambito o un periodo in particolare? Se preferisce ricevere tutto, ce lo dica e le invieremo l’insieme nel termine, entro il [scadenza].
Cordiali saluti,
[Nome] · [Organizzazione]

Gentile [nome],
stiamo lavorando alla sua richiesta del [data di ricevimento]. Abbiamo bisogno di più tempo perché [motivo concreto: i suoi dati si trovano in sette sistemi diversi e comprendono circa [N] e-mail di diversi anni, che dobbiamo rileggere per proteggere i dati di altre persone].
Per questo motivo, come consente l’articolo 12, paragrafo 3, del GDPR, prorogheremo il termine. Le risponderemo entro il [nuova data, al massimo tre mesi dal ricevimento].
[Facoltativo: Nel frattempo, le inviamo in allegato [la parte già pronta].]
Se non è d’accordo con questa proroga, può proporre reclamo a [autorità di controllo, ad es. il Garante per la protezione dei dati personali: www.garanteprivacy.it].
Cordiali saluti,
[Nome] · [Organizzazione]

Gentile [nome],
in risposta alla sua richiesta del [data di ricevimento], le inviamo in allegato una copia dei dati personali che trattiamo su di lei [formato: file PDF / archivio zip protetto da password, che le inviamo separatamente].

Perché usiamo i suoi dati: [finalità precise, ad es. gestire il suo rapporto di lavoro, pagare le retribuzioni, adempiere i nostri obblighi fiscali e previdenziali].
Quali dati trattiamo: [categorie: identità, recapiti, coordinate bancarie, orari di lavoro, valutazioni].
A chi li abbiamo comunicati: [destinatari precisi: INPS, Agenzia delle Entrate, [nome dello studio del consulente del lavoro], [nome del fondo sanitario integrativo]].
Per quanto tempo li conserviamo: [periodo o criteri per ogni categoria].
I suoi diritti: può chiederci di rettificare o cancellare i suoi dati, o di limitarne il trattamento, e può opporsi al trattamento.
Può proporre reclamo a [autorità di controllo, ad es. il Garante per la protezione dei dati personali: www.garanteprivacy.it].
Da dove provengono i dati: [ce li ha forniti lei / li abbiamo ottenuti da [fonte]].
Decisioni automatizzate: [non prendiamo decisioni basate unicamente su un trattamento automatizzato che la riguardino / descrizione e logica utilizzata].
[Se applicabile: Trasferimenti fuori dallo SEE: [paese, garanzia utilizzata].]

Per proteggere altre persone, abbiamo oscurato [i dati di colleghi e clienti] in [documenti].
Se manca qualcosa, o per qualsiasi domanda, basta rispondere a questa e-mail.
Cordiali saluti,
[Nome] · [Organizzazione]

Gentile [nome],

abbiamo dato seguito alla sua richiesta del [data di ricevimento].
Cosa abbiamo cancellato: [il suo account sul negozio online, lo storico degli ordini che conteneva, le sue preferenze e il suo contatto nella nostra lista di invio].
Cosa dobbiamo conservare: [le fatture dei suoi acquisti], perché [obbligo di legge preciso: la normativa civilistica e fiscale ci impone di conservarle per dieci anni (codice civile, art. 2220)]. Le conserviamo solo per questa finalità, in un archivio ad accesso limitato, e le cancelleremo il [data o criterio].
Chi altro abbiamo avvisato: abbiamo chiesto a [nome della piattaforma di e-mail marketing / altri destinatari] di cancellare i suoi dati.
Backup: i suoi dati esistono ancora nei backup effettuati prima di oggi. Questi backup vengono eliminati automaticamente entro il [data], e non riutilizzeremo i suoi dati se un backup dovesse essere ripristinato.
Se non è d’accordo con questa risposta, può proporre reclamo a [autorità di controllo, ad es. il Garante per la protezione dei dati personali: www.garanteprivacy.it] o ricorso all’autorità giudiziaria.
Cordiali saluti,
[Nome] · [Organizzazione]

Gentile [nome],

abbiamo esaminato la sua richiesta del [data di ricevimento] e non le daremo seguito [in tutto / in parte: precisate quale parte].
Il motivo: [spiegazione concreta, ad es. il [data] abbiamo risposto a una richiesta di accesso identica con una copia completa dei suoi dati, e da allora non abbiamo trattato nuovi dati che la riguardino. / I dati di cui chiede la cancellazione sono necessari alla nostra difesa in un procedimento giudiziario in corso, rif. [numero] (articolo 17, paragrafo 3, lettera e, del GDPR), e saranno cancellati alla fine del procedimento.]
Se non è d’accordo, ha il diritto di proporre reclamo a [autorità di controllo, ad es. il Garante per la protezione dei dati personali: www.garanteprivacy.it] e ricorso all’autorità giudiziaria.
Cordiali saluti,
[Nome] · [Organizzazione]

Cosa potrebbe cambiare · aggiornato il 21 ott 2026

Una proposta dell’UE punta alle richieste di accesso «abusive»

A novembre 2025 la Commissione europea ha presentato il pacchetto Digital Omnibus, COM(2025) 837. Per il diritto di accesso propone tre modifiche all’art. 12, paragrafo 5: permettere al titolare di rifiutare o addebitare un contributo quando il diritto di accesso è usato per fini diversi dalla protezione dei propri dati; alleggerire l’onere della prova, così che al titolare basti avere «motivi ragionevoli per ritenere» che una richiesta sia eccessiva; e, in un considerando, trattare come eccessive le richieste «eccessivamente ampie e indifferenziate».

L’EDPB e il Garante europeo della protezione dei dati (GEPD) hanno condiviso l’obiettivo di chiarezza, ma hanno chiesto di eliminare queste tre formulazioni (parere congiunto 2/2026, del 10 febbraio 2026). Ricordano che, secondo la sentenza della Corte di giustizia nella causa C-307/22, le persone non devono motivare le loro richieste.

A ottobre 2026 gli ambasciatori dell’UE avevano all’ordine del giorno il mandato del Consiglio per negoziare con il Parlamento europeo. La proposta non è legge. Le regole di questa guida si applicano oggi. Aggiorneremo questo riquadro quando un testo definitivo sarà pubblicato nella Gazzetta ufficiale. Analizziamo la proposta più in dettaglio, data breach compresi, nel nostro articolo sul Digital Omnibus.

Inoltre, un’altra proposta (Omnibus IV) estenderà l’esenzione dalla tenuta del registro delle attività di trattamento alle organizzazioni con meno di 1.000 persone, salvo per le attività ad alto rischio (accordo provvisorio del 26 giugno 2026). Anche se esentati, avrete comunque bisogno di sapere dove sono i vostri dati per rispondere a queste richieste.

COM(2025) 837; parere congiunto EDPB-GEPD 2/2026; ordine del giorno del Coreper, ottobre 2026; procedura 2025/0130(COD).

Prima di inviare

Checklist

Domande ricorrenti

Domande frequenti

Quanto tempo ho per rispondere a una richiesta di accesso?

Un mese dal ricevimento, fino allo stesso giorno del mese successivo (art. 12, paragrafo 3). Se la richiesta è complessa o ne avete molte, potete prorogare di due mesi al massimo, purché lo diciate alla persona entro il primo mese e le spieghiate perché.

Posso chiedere una copia della carta d’identità per verificare l’identità?

Di regola, no. Potete chiedere informazioni aggiuntive solo se avete ragionevoli dubbi sull’identità di chi fa la richiesta (art. 12, paragrafo 6), e l’EDPB ritiene che una copia del documento d’identità in generale non sia un mezzo adeguato. Usate ciò che avete già, come l’account del cliente o i recapiti presenti nel suo fascicolo.

Posso far pagare la copia dei dati?

La prima copia è gratuita, e la persona non deve spiegare perché la vuole (C-307/22). Potete chiedere un contributo spese ragionevole solo per copie ulteriori (art. 15, paragrafo 3) o quando la richiesta è manifestamente infondata o eccessiva, e dovete poterlo dimostrare (art. 12, paragrafo 5).

Un cliente chiede la cancellazione. Devo cancellare anche le fatture?

No, finché la legge vi obbliga a conservarle. Il diritto alla cancellazione non si applica nella misura in cui il trattamento è necessario per adempiere un obbligo di legge (art. 17, paragrafo 3, lettera b). Tenete solo la fattura, solo per quella finalità e solo per il periodo previsto, cancellate il resto e spiegatelo nella risposta. In Italia, le fatture si conservano per dieci anni (codice civile, art. 2220).

Chi risponde alla richiesta: l’azienda o il DPO?

L’azienda, in quanto titolare del trattamento. Il DPO consiglia, sorveglia il termine e fa da punto di contatto per gli interessati (art. 38, paragrafo 4), ma la decisione e la risposta spettano al titolare. La guida sul DPO esterno con più clienti spiega dove finisce il ruolo del DPO.

E se la mia risposta invia per errore i dati di un’altra persona?

È una violazione dei dati personali. Provate a richiamare il messaggio o chiedetene la cancellazione, documentatelo e valutate il rischio: se c’è un rischio, avete 72 ore per notificarlo all’autorità di controllo, in Italia il Garante. La guida sulle prime 72 ore mostra come decidere.

Solo fonti ufficiali

Fonti

Legislazione e giurisprudenza

• Regolamento (UE) 2016/679 (GDPR), artt. 8, 12, 15, 17, 19, 21 e 30 e considerando 63 e 64 (EUR-Lex)
• D.Lgs. 196/2003, Codice in materia di protezione dei dati personali, art. 2-undecies (Normattiva)
• Regolamento (CEE, Euratom) 1182/71, norme applicabili ai termini (EUR-Lex)
• CGUE, C-154/21, Österreichische Post (12 gen 2023), destinatari
• CGUE, C-487/21, F.F. e CRIF (4 mag 2023), che cos’è una «copia»
• CGUE, C-579/21, J.M. e Pankki S (22 giu 2023), consultazioni da parte dei dipendenti
• CGUE, C-307/22, FT e DW (26 ott 2023), prima copia gratuita

Comitato europeo per la protezione dei dati (EDPB)

• Linee guida 01/2022 sul diritto di accesso, v2.1 (aprile 2023)
• Relazione sull’azione coordinata 2024, diritto di accesso (in inglese)
• Relazione sull’azione coordinata 2025, diritto alla cancellazione (in inglese)
• Parere congiunto EDPB-GEPD 2/2026 sul Digital Omnibus (in inglese)

Autorità nazionali e procedura legislativa

• Garante per la protezione dei dati personali, diritti degli interessati
• Garante, modello per l’esercizio dei diritti
• CNPD (Portogallo), Direito de acesso aos dados (in portoghese)
• CNPD (Portogallo), Direito ao apagamento dos dados (in portoghese)
• Commissione europea, COM(2025) 837, Digital Omnibus
• Consiglio dell’UE, ordine del giorno del Coreper, 9 ott 2026 (in inglese)
• Parlamento europeo, procedura 2025/0130(COD), Omnibus IV

Ultima revisione: 21 ottobre 2026. Rivediamo questa guida ogni volta che cambiano la legge o gli orientamenti delle autorità.

Questa guida è un’informazione generale sul GDPR e non costituisce consulenza legale. Per un caso specifico, parlate con il vostro DPO o con un avvocato.

L’Oficina Rocha e tutte le persone delle scene sono fittizie.