# Diritto di accesso e diritto alla cancellazione: rispondere entro un mese, senza panico URL: https://pulsaiq.com/it/guide/diritto-accesso-cancellazione/ Ultima revisione: 2026-10-23 Lingua: it Base giuridica: GDPR, artt. 12, 15 e 17 Un metodo per le richieste di accesso e di cancellazione da ripetere ogni volta che qualcuno chiede «che dati avete su di me?» o dice «cancellate tutto». Con i termini contati al giorno e sette risposte tipo pronte da adattare. ## In due minuti - **Termine: un mese dal ricevimento** della richiesta, anche se nessuno l’ha ancora letta. Potete prorogarlo di due mesi se le richieste sono complesse o numerose, ma dovete dirlo alla persona, con i motivi, *entro* il primo mese. Art. 12, paragrafo 3 - **Gratis.** Potete chiedere un contributo spese ragionevole solo per copie ulteriori, oppure rifiutare o addebitare un contributo quando la richiesta è manifestamente infondata o eccessiva, e dovete poterlo dimostrare. Art. 12, paragrafo 5; art. 15, paragrafo 3 - **Nessuna formula magica.** Un’e-mail a info@, una lettera o un messaggio a un collega possono essere una richiesta valida. La persona non deve giustificarsi né citare il GDPR. EDPB, linee guida 01/2022 - **L’accesso** è una copia dei dati più otto informazioni precise su come li usate. Rimandare all’informativa privacy non basta. Art. 15 - **La cancellazione** ha sei casi e cinque eccezioni. Spesso la risposta giusta è «abbiamo cancellato questo e conserviamo quello fino a questa data, per questo motivo». Art. 17 ## Per chi è
Fa per voi se

Ricevete queste richieste in una piccola o media organizzazione (direzione, risorse umane, servizio clienti), oppure siete il responsabile della protezione dei dati (DPO) che la segue.

Non fa per voi se

Cercate un’analisi delle richieste di accesso in un contenzioso, o in enti pubblici soggetti a regole proprie. Per questo, parlate con un avvocato.

L’Oficina Rocha, Marta, Inês, Rui e le persone che scrivono loro sono fittizi. Le norme, i termini e le conclusioni delle autorità sono reali e con fonti.

## «Mandatemi tutto quello che avete su di me» Marta è la responsabile amministrativa dell’Oficina Rocha, un mobilificio di 45 persone vicino a Braga, nel nord del Portogallo, con un negozio online. «Si occupa anche del GDPR», il venerdì pomeriggio. Oggi, svuotando la casella generica info@, trova questo: > **Da:** paulo.m…@gmail.com · **A:** info@ · 6 ottobre, 22:47 > > Buonasera. Ho lasciato l’azienda a giugno. Vorrei ricevere tutti i dati personali che l’Oficina Rocha conserva su di me. Grazie, Paulo Mendes L’e-mail ha tre settimane. La prima reazione di Marta è molto comune: «L’ha mandata all’indirizzo sbagliato, conta lo stesso?». Conta. L’orologio è partito il 6 ottobre e si ferma il 6 novembre. Mancano dieci giorni. Chiama Inês, la DPO esterna che segue l’azienda. Inês resta calma: «Dieci giorni bastano se cominciamo oggi. Facciamolo nell’ordine giusto». Questa guida è quell’ordine. Succede spesso. Quando le autorità europee per la protezione dei dati hanno esaminato 1.185 organizzazioni nel 2024, uno dei problemi più frequenti era non riconoscere le richieste che non citano il GDPR o che arrivano da canali non pensati per questo. E il 74% di quelle organizzazioni aveva ricevuto tra zero e dieci richieste di accesso l’anno precedente. Con così poche richieste, nessuno si ricorda la procedura nel momento in cui serve. Fonte: [EDPB, relazione sull’azione coordinata 2024 sul diritto di accesso](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf) (adottata il 16 gennaio 2025, in inglese). ## Riconoscere la richiesta Il GDPR non impone alcuna forma alla richiesta. Può arrivare per e-mail, posta, telefono, modulo web, social network o di persona a un collega. La persona non deve scrivere «articolo 15» né spiegare perché vuole i suoi dati. Il Comitato europeo per la protezione dei dati (EDPB) è chiaro: non spetta a voi giudicare il «perché», e non potete rifiutare solo perché la richiesta non cita la legge. C’è un limite ragionevole. Se avete pubblicato un canale dedicato e qualcuno scrive a un indirizzo che non c’entra nulla (l’esempio dell’EDPB è l’indirizzo del personale delle pulizie), la richiesta può non contare. Ma un indirizzo generico come info@ o quello del servizio clienti conta, e l’EDPB si aspetta da voi «ogni ragionevole sforzo» per inoltrarla alla persona giusta. Il tempo che la richiesta passa dimenticata in una casella non proroga il termine.

Cosa fare adesso

Tre gesti, il giorno stesso
  1. 1InoltrarlaDate a chi legge le caselle condivise (reception, info@, servizio clienti, risorse umane) una regola semplice: ogni messaggio che chiede «i miei dati», «cancellatemi», «toglietemi dalla lista» o qualcosa di simile va il giorno stesso a una persona con nome e cognome.
  2. 2RegistrarlaAnnotate ogni richiesta in un registro delle richieste: data di ricevimento, canale, tipo, scadenza e responsabile.
  3. 3Confermare il ricevimentoInviate una conferma di ricevimento con la scadenza. L’EDPB raccomanda di confermare per iscritto quando il termine inizia e quando finisce.Usare il modello 1
[EDPB, linee guida 01/2022 sul diritto di accesso, v2.1](https://www.edpb.europa.eu/documents/guideline/guidelines-012022-on-data-subject-rights-right-of-access_en), punti 13, 50 e da 52 a 57 ed esempi 8 e 9. ## Contare il termine al giorno Il GDPR dice «un mese», non 30 giorni. Il calcolo segue le regole dell’UE sui termini: il giorno in cui arriva la richiesta non conta, e il termine scade lo stesso giorno del mese successivo. Se quel giorno non esiste, scade l’ultimo giorno del mese. Se cade di sabato, di domenica o in un giorno festivo, slitta al primo giorno lavorativo successivo. | Richiesta ricevuta | Termine di un mese | Perché | |--------------------|--------------------|-----------------------------------------------------------------------------| | 6 ott 2026 (mar) | 6 nov 2026 (ven) | Lo stesso giorno del mese successivo. È il caso di Paulo. | | 31 gen 2027 (dom) | 1 mar 2027 (lun) | Il 31 febbraio non esiste, quindi il 28. È domenica, quindi il lunedì. | | 3 mar 2027 (mer) | 5 apr 2027 (lun) | Il 3 aprile è sabato, quindi il primo giorno lavorativo successivo. | Alcune autorità, come la CNPD (l’autorità portoghese per la protezione dei dati), indicano al pubblico una risposta entro «30 giorni». Lavorare su 30 giorni è il modo più sicuro per non superare mai il mese. **Proroga.** Potete aggiungere fino a due mesi «se necessario, tenuto conto della complessità e del numero delle richieste». A due condizioni: dirlo alla persona entro il primo mese e indicarne il motivo ([modello 4](#r4)). Una proroga inviata al 35° giorno arriva tardi. **Rispondete a richieste in Italia?** Il Codice in materia di protezione dei dati personali (D.Lgs. 196/2003, modificato dal D.Lgs. 101/2018) non cambia questi termini per un’impresa: sono quelli del GDPR. Il Codice prevede alcune limitazioni specifiche ai diritti (art. 2-undecies), per esempio quando la risposta potrebbe pregiudicare indagini difensive o la riservatezza dell’identità di chi segnala illeciti, e il loro uso va motivato caso per caso. Il Garante per la protezione dei dati personali spiega i diritti nella sua [pagina dedicata](https://www.garanteprivacy.it/regolamentoue/diritti-degli-interessati) e mette a disposizione dei cittadini un [modello per l’esercizio dei diritti](https://www.garanteprivacy.it/garante/document?ID=1089924). Vale la pena conoscerlo, perché è quello che vi arriverà. Art. 12, paragrafo 3, del GDPR; [regolamento (CEE, Euratom) 1182/71](https://eur-lex.europa.eu/legal-content/IT/ALL/?uri=CELEX:31971R1182), art. 3; [Codice privacy](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2003-06-30;196), art. 2-undecies; [CNPD, Direito ao apagamento dos dados](https://www.cnpd.pt/cidadaos/direitos/direito-ao-apagamento-dos-dados/) (in portoghese). ## Verificare l’identità, con misura Chiedete informazioni aggiuntive solo se avete ragionevoli dubbi sull’identità di chi fa la richiesta, e solo ciò che vi serve davvero. L’abitudine di chiedere a tutti una copia della carta d’identità è un errore: l’EDPB ritiene che in generale non sia un mezzo adeguato per autenticare qualcuno e che crei un rischio per la sicurezza. Nella relazione del 2024, le autorità hanno scritto che chiedere un documento d’identità in modo sistematico «può costituire un trattamento eccessivo». Usate quello che avete già. Un cliente con un account sul negozio online può confermare dal suo account. Un ex dipendente può confermare un’informazione che conoscono solo lui e l’azienda, o ricevere la risposta ai recapiti che già figurano nel suo fascicolo. Nel caso di Paulo, la sua e-mail personale era già nel fascicolo del personale, quindi Inês non ha chiesto altro. Se dovete davvero verificare, chiedetelo nei primi giorni ([modello 2](#r2)) per non passare il mese ad aspettare. Art. 12, paragrafo 6, e considerando 64 del GDPR; EDPB, linee guida 01/2022, punti da 73 a 77 ed esempi 13 e 14; [EDPB, relazione sull’azione coordinata 2024](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf). ## Accesso: cosa dovete inviare Una risposta di accesso ha due parti. Pensate a una cartellina con una copia dentro e una lettera di accompagnamento sopra.
Parte A · art. 15, paragrafo 3

Una copia dei dati

Una riproduzione fedele e comprensibile. Può includere estratti di documenti, o anche documenti interi, quando serve perché la persona capisca i dati e possa esercitare i suoi diritti. Se la richiesta è arrivata per e-mail, rispondete in un formato elettronico di uso comune.

La prima copia è gratuita, anche se la persona la vuole per altro, come preparare una causa.

Parte B · art. 15, paragrafo 1

Otto informazioni, specifiche per la persona

  1. aPerché usate i dati (finalità)
  2. bQuali categorie di dati conservate
  3. cA chi li avete comunicati. Se la persona lo chiede, i destinatari precisi, non solo le categorie
  4. dPer quanto tempo li conservate, o i criteri
  5. eI diritti di rettifica, cancellazione, limitazione e opposizione
  6. fIl diritto di proporre reclamo a un’autorità di controllo
  7. gDa dove vengono i dati, se non li ha forniti la persona
  8. hLe decisioni automatizzate o la profilazione, e la logica utilizzata
In più · art. 15, paragrafo 2Se i dati sono stati trasferiti fuori dallo Spazio economico europeo, le garanzie che coprono il trasferimento.

Cosa ha già deciso la Corte di giustizia

C-154/21 · Österreichische PostDestinatari precisiSe la persona lo chiede, si indicano i destinatari precisi, non solo le categorie, salvo che sia impossibile o che la richiesta sia manifestamente infondata o eccessiva.
C-487/21 · CRIFChe cos’è una copiaUna riproduzione fedele e comprensibile dei dati.
C-307/22 · FTPrima copia gratuitaLa prima copia è gratuita e la persona non deve motivare la richiesta.
Oscurate ciò che riguarda altre persone, non rifiutateLa copia non può ledere i diritti altrui (art. 15, paragrafo 4). Le e-mail di Paulo citano clienti e colleghi. La risposta non è rifiutare, ma oscurare ciò che appartiene ad altri e consegnare il resto. La Corte ha anche stabilito che la persona ha diritto di sapere quando e perché i suoi dati sono stati consultati, ma in generale non il nome di ogni dipendente che li ha consultati (C-579/21).
Art. 15 del GDPR; CGUE [C-154/21](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:62021CJ0154), [C-487/21](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A62021CJ0487), [C-307/22](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=celex%3A62022CJ0307), [C-579/21](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A62021CJ0579); EDPB, linee guida 01/2022. ## Dove cercare Il primo problema rilevato dalle autorità nel 2024 sono ricerche troppo ristrette: guardare solo il database principale e dimenticare le e-mail, i metadati, i file non testuali o i backup. Ricordano che non potete limitare la risposta ai dati che ritenete pertinenti.
Sei posti da controllare, uno per uno
La mappa esiste giàSe avete un registro delle attività di trattamento, ogni riga dice quali dati avete, per cosa e dove. L’EDPB raccomanda di usarlo proprio per questo.
Guida 1: il vostro registro in un pomeriggio
All’Oficina Rocha, Rui, dell’informatica, ha cercato il nome e gli indirizzi e-mail di Paulo nelle caselle, nel file server e nel software paghe, e ha confermato che le registrazioni video di giugno erano già state cancellate nel ciclo normale. Gli è servita una mattinata. Marta ha tirato fuori il fascicolo del personale. Inês ha riletto tutto e oscurato i dati di clienti e colleghi. [EDPB, relazione sull’azione coordinata 2024](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf), problema 1 e raccomandazioni; art. 30 del GDPR. ## «Cancellate il mio account e tutto quello che avete su di me» Paulo ha ricevuto la risposta il 4 novembre, due giorni prima della scadenza. Marta tira il fiato. Poi arriva un messaggio, dal modulo del negozio online, da Sofia, una cliente che ha comprato un tavolo nel 2024 e riceve la newsletter. Cancellare tutto sembra semplice. Ma la fattura del tavolo riporta nome e indirizzo di Sofia, e la legge fiscale obbliga a conservarla. La newsletter parte da una piattaforma esterna. E ogni notte ci sono i backup. Marta scrive a Inês: «Cancello o no?». La risposta: «Tutte e due le cose. Vediamo cosa è cosa». ## Cancellazione: quando cancellare, quando conservare Il diritto alla cancellazione, detto anche «diritto all’oblio», non è assoluto. Verificate prima se si applica uno dei casi. Poi verificate se scatta un’eccezione, caso per caso e per iscritto.
1

Dovete cancellare, senza ingiustificato ritardo, quando

Art. 17, paragrafo 1
  1. aI dati non sono più necessari rispetto alle finalità per cui sono stati raccolti.
  2. bLa persona revoca il consenso e non c’è un altro fondamento giuridico.
  3. cLa persona si oppone al trattamento (art. 21) e non c’è un motivo legittimo prevalente, oppure si oppone al marketing diretto.
  4. dI dati sono stati trattati illecitamente.
  5. eUn obbligo di legge impone di cancellarli.
  6. fSono stati raccolti da un minore nell’ambito di servizi online (art. 8).
2

Potete conservarli, nella misura necessaria, per

Art. 17, paragrafo 3
  1. aLa libertà di espressione e di informazione.
  2. bAdempiere un obbligo di legge, o eseguire un compito di interesse pubblico.
  3. cMotivi di interesse pubblico nel settore della sanità pubblica.
  4. dFini di archiviazione nel pubblico interesse, di ricerca scientifica o storica, o statistici.
  5. eL’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.
Il caso di Sofia
Cancellato
  • L’account sul negozio online, chiuso
  • La cronologia di navigazione e le preferenze
  • L’iscrizione alla newsletter
  • Il contatto sulla piattaforma di e-mail marketing, su richiesta dell’azienda
Conservato
  • La fattura, perché la legge fiscale lo impone, ma solo per il periodo previsto e solo per quella finalità
La risposta a Sofia: modello 6

Tre punti in cui le organizzazioni inciampano

BackupLa metà delle autorità dell’azione coordinata 2025 ha rilevato problemi con i backup. Se non potete cancellare un singolo record da un backup, documentate quando quel backup scade, assicuratevi che i dati non vengano riutilizzati in caso di ripristino e ditelo alla persona.
«Anonimizzato» che non lo èSostituire un nome con un codice o oscurare metà di un indirizzo e-mail è quasi sempre pseudonimizzazione. I dati restano dati personali e la richiesta non è soddisfatta.
Avvisare i destinatariDovete comunicare la cancellazione a ogni destinatario a cui i dati sono stati trasmessi, salvo che sia impossibile o richieda uno sforzo sproporzionato, e indicare quei destinatari alla persona se lo chiede.

Chiudere un account non è cancellare i dati. Le autorità hanno chiesto più consapevolezza di questa differenza, perché molte organizzazioni trattano le due cose come una sola.

In Italia, le fatture restano dieci anni. Il codice civile impone di conservare le scritture contabili e le fatture per dieci anni (art. 2220). Quello che tenete per questo motivo, come la fattura di Sofia, esce dai sistemi operativi: archiviatelo a parte, con accesso solo a chi ne ha bisogno, e cancellatelo alla fine del periodo. Verificate i termini con il vostro commercialista.

Artt. 17 e 19 del GDPR; codice civile, art. 2220; [EDPB, relazione sull’azione coordinata 2025 sul diritto alla cancellazione](https://www.edpb.europa.eu/system/files/2026-02/edpb_cef-report_2025_right-to-erasure_en.pdf) (adottata il 10 febbraio 2026, in inglese); [Garante, diritti degli interessati](https://www.garanteprivacy.it/regolamentoue/diritti-degli-interessati). ## Rifiutare o limitare, su basi solide Potete rifiutare, o chiedere un contributo spese ragionevole, solo se la richiesta è manifestamente infondata o eccessiva, in particolare per il suo carattere ripetitivo. L’EDPB dice che queste nozioni vanno interpretate in modo restrittivo, e spetta a voi dimostrare che la richiesta lo è. Una richiesta ripetuta perché la vostra prima risposta era incompleta è solo un sollecito, non una nuova richiesta. Non usate nemmeno il rifiuto per risparmiarvi lavoro. Se qualcuno chiede tutto e avete anni di dati in molti sistemi, potete chiedergli se preferisce cominciare da un ambito preciso ([modello 3](#r3)). Ma l’EDPB avverte che questa richiesta di precisazione non può servire a limitare la risposta. Se dice «tutto», mandate tutto. Ogni volta che non date seguito a una richiesta, in tutto o in parte, dovete rispondere entro il mese con i motivi e informare la persona che può proporre reclamo a un’autorità di controllo e ricorso giurisdizionale ([modello 7](#r7)). Art. 12, paragrafi 4 e 5, e art. 15, paragrafo 4, del GDPR; EDPB, linee guida 01/2022, punto 29 e sezione 6. ## Sette cose da non fare
2024 · Diritto di accesso1.185 organizzazioniesaminate da 30 autorità
2025 · Diritto alla cancellazione764 organizzazioniesaminate da 32 autorità, compresa la CNPD portoghese

Questi problemi sono tornati ancora e ancora.

  1. 1
    Non avere una procedura scritta.Diciassette autorità hanno trovato organizzazioni senza una procedura di cancellazione documentata e aggiornata. Alcune rivedono la loro ogni cinque anni, o mai.
  2. 2
    Non riconoscere la richiesta né confermarne il ricevimento.Le richieste che non citano il GDPR, o che arrivano da canali non previsti, restano senza risposta.
  3. 3
    Chiedere a tutti un documento d’identità.Moduli web obbligatori, richieste solo per iscritto e documento d’identità di default sono altrettanti ostacoli all’esercizio del diritto.
  4. 4
    Cercare solo nel database principale.Le e-mail, i metadati, i file non testuali e i backup restano fuori.
  5. 5
    Rispondere con l’informativa privacy.Informazioni generiche, destinatari solo per categorie e periodi di conservazione vaghi, invece di risposte specifiche per la persona.
  6. 6
    Tenere il registro delle richieste per sempre.Periodi di conservazione delle richieste stesse da sei mesi a 45 anni, o nessuno. Fissate un periodo e tenete questi registri a parte.
  7. 7
    Applicare le eccezioni in automatico.Più di una decina di autorità hanno visto eccezioni dell’art. 17, paragrafo 3, applicate senza un’analisi caso per caso, e rifiuti senza un motivo documentato.
[EDPB, relazione 2024 (accesso)](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf); [EDPB, relazione 2025 (cancellazione)](https://www.edpb.europa.eu/system/files/2026-02/edpb_cef-report_2025_right-to-erasure_en.pdf). ## Il mese, giorno per giorno

Lo stesso percorso vale per l’accesso e per la cancellazione. I giorni si contano dal ricevimento della richiesta.

  1. Giorno 0Registrare. Annotarla e confermarne il ricevimento.
  2. Giorni 1–5Verificare. L’identità, solo in caso di dubbio. La portata della richiesta.
  3. Giorni 5–20Raccogliere. Cercare in ogni sistema e presso ogni fornitore, con il registro delle attività come mappa. Per la cancellazione: decidere cosa va via, cosa resta e perché.
  4. Giorni 20–25Rileggere. Oscurare i dati di terzi. Preparare le otto informazioni.Prorogare ora, se serve
  5. Entro il giorno 30Inviare. Risposta, copia, prova dell’invio. Chiudere la riga del registro.
## Sette risposte pronte da adattare Sostituite tutto ciò che è tra \[parentesi quadre\]. Scrivete come una persona scrive a un’altra: queste risposte le legge chi ha fatto la richiesta e, a volte, un’autorità di controllo.
All’inizio
01Conferma di ricevimentoGiorno 0. Per tutte le richieste.
Oggetto: Abbiamo ricevuto la sua richiesta – rif. [numero]
Gentile [nome],

abbiamo ricevuto il [data di ricevimento] la sua richiesta relativa a [sintesi: l’accesso ai suoi dati personali / la cancellazione dei suoi dati].

Le risponderemo entro il [scadenza]. Se la richiesta si rivelasse particolarmente complessa e avessimo bisogno di più tempo, glielo diremo prima di quella data spiegandole il motivo.

Il riferimento della sua richiesta è [numero]. Per qualsiasi domanda, basta rispondere a questa e-mail.

Cordiali saluti,
[Nome]
[Ruolo] · [Organizzazione]
Base: art. 12, paragrafo 3, del GDPR. L’EDPB raccomanda di confermare per iscritto quando il termine inizia e quando finisce (linee guida 01/2022, punto 57).
02Verifica dell’identitàSolo in caso di dubbio ragionevole. Da inviare nei primi giorni.
Oggetto: La sua richiesta – rif. [numero] – conferma
Gentile [nome],

per proteggere i suoi dati dobbiamo essere sicuri che la richiesta venga proprio da lei. In questo caso specifico, [motivo concreto: l’indirizzo e-mail usato non è quello associato al suo account].

Può confermarlo in uno di questi modi:
– [opzione proporzionata 1: rispondere dall’indirizzo associato al suo account]
– [opzione proporzionata 2: indicarci il numero di un ordine recente]

Non è necessario inviarci una copia del documento d’identità. Appena riceveremo la sua conferma, proseguiremo con la richiesta.

Cordiali saluti,
[Nome] · [Organizzazione]
Base: art. 12, paragrafo 6, del GDPR; EDPB, linee guida 01/2022, punti da 73 a 77.
03Domanda sulla portataPer grandi volumi di dati. Mai per limitare la risposta.
Oggetto: La sua richiesta di accesso – rif. [numero]
Gentile [nome],

abbiamo iniziato a raccogliere i suoi dati. Conserviamo informazioni che la riguardano in [elenco: il suo fascicolo del personale, e-mail di lavoro dal [anno] al [anno], i registri degli accessi all’edificio].

Per inviarle prima ciò che le interessa di più, preferisce ricevere per primo un ambito o un periodo in particolare? Se preferisce ricevere tutto, ce lo dica e le invieremo l’insieme nel termine, entro il [scadenza].

Cordiali saluti,
[Nome] · [Organizzazione]
Base: considerando 63 del GDPR; EDPB, linee guida 01/2022, punto 35, lettera b. Senza risposta, proseguite con la richiesta completa.
Se vi serve più tempo
04ProrogaDeve arrivare entro il primo mese, con il motivo.
Oggetto: La sua richiesta – rif. [numero] – nuovo termine
Gentile [nome],

stiamo lavorando alla sua richiesta del [data di ricevimento]. Abbiamo bisogno di più tempo perché [motivo concreto: i suoi dati si trovano in sette sistemi diversi e comprendono circa [N] e-mail di diversi anni, che dobbiamo rileggere per proteggere i dati di altre persone].

Per questo motivo, come consente l’articolo 12, paragrafo 3, del GDPR, prorogheremo il termine. Le risponderemo entro il [nuova data, al massimo tre mesi dal ricevimento].

[Facoltativo: Nel frattempo, le inviamo in allegato [la parte già pronta].]

Se non è d’accordo con questa proroga, può proporre reclamo a [autorità di controllo, ad es. il Garante per la protezione dei dati personali: www.garanteprivacy.it].

Cordiali saluti,
[Nome] · [Organizzazione]
Base: art. 12, paragrafo 3, del GDPR. Inviatela prima della fine del primo mese, con un motivo concreto.
Nella risposta finale
05Risposta di accessoLa lettera che accompagna la copia dei dati.
Oggetto: Risposta alla sua richiesta di accesso – rif. [numero]
Gentile [nome],

in risposta alla sua richiesta del [data di ricevimento], le inviamo in allegato una copia dei dati personali che trattiamo su di lei [formato: file PDF / archivio zip protetto da password, che le inviamo separatamente].

1. Perché usiamo i suoi dati: [finalità precise, ad es. gestire il suo rapporto di lavoro, pagare le retribuzioni, adempiere i nostri obblighi fiscali e previdenziali].
2. Quali dati trattiamo: [categorie: identità, recapiti, coordinate bancarie, orari di lavoro, valutazioni].
3. A chi li abbiamo comunicati: [destinatari precisi: INPS, Agenzia delle Entrate, [nome dello studio del consulente del lavoro], [nome del fondo sanitario integrativo]].
4. Per quanto tempo li conserviamo: [periodo o criteri per ogni categoria].
5. I suoi diritti: può chiederci di rettificare o cancellare i suoi dati, o di limitarne il trattamento, e può opporsi al trattamento.
6. Può proporre reclamo a [autorità di controllo, ad es. il Garante per la protezione dei dati personali: www.garanteprivacy.it].
7. Da dove provengono i dati: [ce li ha forniti lei / li abbiamo ottenuti da [fonte]].
8. Decisioni automatizzate: [non prendiamo decisioni basate unicamente su un trattamento automatizzato che la riguardino / descrizione e logica utilizzata].
[Se applicabile: Trasferimenti fuori dallo SEE: [paese, garanzia utilizzata].]

Per proteggere altre persone, abbiamo oscurato [i dati di colleghi e clienti] in [documenti].

Se manca qualcosa, o per qualsiasi domanda, basta rispondere a questa e-mail.

Cordiali saluti,
[Nome] · [Organizzazione]
Base: art. 15, paragrafi da 1 a 4, del GDPR. Non sostituite i punti da 1 a 8 con un link all’informativa privacy.
06Conferma della cancellazioneTotale o parziale, con ciò che resta e fino a quando.
Oggetto: La sua richiesta di cancellazione – rif. [numero]
Gentile [nome],

abbiamo dato seguito alla sua richiesta del [data di ricevimento].

Cosa abbiamo cancellato: [il suo account sul negozio online, lo storico degli ordini che conteneva, le sue preferenze e il suo contatto nella nostra lista di invio].

Cosa dobbiamo conservare: [le fatture dei suoi acquisti], perché [obbligo di legge preciso: la normativa civilistica e fiscale ci impone di conservarle per dieci anni (codice civile, art. 2220)]. Le conserviamo solo per questa finalità, in un archivio ad accesso limitato, e le cancelleremo il [data o criterio].

Chi altro abbiamo avvisato: abbiamo chiesto a [nome della piattaforma di e-mail marketing / altri destinatari] di cancellare i suoi dati.

Backup: i suoi dati esistono ancora nei backup effettuati prima di oggi. Questi backup vengono eliminati automaticamente entro il [data], e non riutilizzeremo i suoi dati se un backup dovesse essere ripristinato.

Se non è d’accordo con questa risposta, può proporre reclamo a [autorità di controllo, ad es. il Garante per la protezione dei dati personali: www.garanteprivacy.it] o ricorso all’autorità giudiziaria.

Cordiali saluti,
[Nome] · [Organizzazione]
Base: art. 17, paragrafi 1 e 3, e art. 19 del GDPR. Verificate i periodi di conservazione obbligatori con il vostro commercialista.
07Rifiuto motivatoRaro. Sempre con i motivi e i mezzi di ricorso.
Oggetto: La sua richiesta – rif. [numero]
Gentile [nome],

abbiamo esaminato la sua richiesta del [data di ricevimento] e non le daremo seguito [in tutto / in parte: precisate quale parte].

Il motivo: [spiegazione concreta, ad es. il [data] abbiamo risposto a una richiesta di accesso identica con una copia completa dei suoi dati, e da allora non abbiamo trattato nuovi dati che la riguardino. / I dati di cui chiede la cancellazione sono necessari alla nostra difesa in un procedimento giudiziario in corso, rif. [numero] (articolo 17, paragrafo 3, lettera e, del GDPR), e saranno cancellati alla fine del procedimento.]

Se non è d’accordo, ha il diritto di proporre reclamo a [autorità di controllo, ad es. il Garante per la protezione dei dati personali: www.garanteprivacy.it] e ricorso all’autorità giudiziaria.

Cordiali saluti,
[Nome] · [Organizzazione]
Base: art. 12, paragrafi 4 e 5, del GDPR. Tenete una nota interna dell’analisi che giustifica il rifiuto.
## Una proposta dell’UE punta alle richieste di accesso «abusive» A novembre 2025 la Commissione europea ha presentato il pacchetto Digital Omnibus, COM(2025) 837. Per il diritto di accesso propone tre modifiche all’art. 12, paragrafo 5: permettere al titolare di rifiutare o addebitare un contributo quando il diritto di accesso è usato per fini diversi dalla protezione dei propri dati; alleggerire l’onere della prova, così che al titolare basti avere «motivi ragionevoli per ritenere» che una richiesta sia eccessiva; e, in un considerando, trattare come eccessive le richieste «eccessivamente ampie e indifferenziate». L’EDPB e il Garante europeo della protezione dei dati (GEPD) hanno condiviso l’obiettivo di chiarezza, ma hanno chiesto di eliminare queste tre formulazioni (parere congiunto 2/2026, del 10 febbraio 2026). Ricordano che, secondo la sentenza della Corte di giustizia nella causa C-307/22, le persone non devono motivare le loro richieste. A ottobre 2026 gli ambasciatori dell’UE avevano all’ordine del giorno il mandato del Consiglio per negoziare con il Parlamento europeo. La proposta non è legge. **Le regole di questa guida si applicano oggi.** Aggiorneremo questo riquadro quando un testo definitivo sarà pubblicato nella Gazzetta ufficiale. Analizziamo la proposta più in dettaglio, data breach compresi, nel nostro articolo sul Digital Omnibus. Inoltre, un’altra proposta (Omnibus IV) estenderà l’esenzione dalla tenuta del registro delle attività di trattamento alle organizzazioni con meno di 1.000 persone, salvo per le attività ad alto rischio (accordo provvisorio del 26 giugno 2026). Anche se esentati, avrete comunque bisogno di sapere dove sono i vostri dati per rispondere a queste richieste. [COM(2025) 837](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=celex:52025PC0837); [parere congiunto EDPB-GEPD 2/2026](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf); [ordine del giorno del Coreper, ottobre 2026](https://data.consilium.europa.eu/doc/document/ST-13654-2026-REV-3/en/pdf); [procedura 2025/0130(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025%2F0130%28COD%29). ## Checklist
0 su 10 spuntati
All’arrivo
Durante la preparazione
Prima di premere Invia
## Domande frequenti ### Quanto tempo ho per rispondere a una richiesta di accesso? Un mese dal ricevimento, fino allo stesso giorno del mese successivo (art. 12, paragrafo 3). Se la richiesta è complessa o ne avete molte, potete prorogare di due mesi al massimo, purché lo diciate alla persona entro il primo mese e le spieghiate perché. ### Posso chiedere una copia della carta d’identità per verificare l’identità? Di regola, no. Potete chiedere informazioni aggiuntive solo se avete ragionevoli dubbi sull’identità di chi fa la richiesta (art. 12, paragrafo 6), e l’EDPB ritiene che una copia del documento d’identità in generale non sia un mezzo adeguato. Usate ciò che avete già, come l’account del cliente o i recapiti presenti nel suo fascicolo. ### Posso far pagare la copia dei dati? La prima copia è gratuita, e la persona non deve spiegare perché la vuole (C-307/22). Potete chiedere un contributo spese ragionevole solo per copie ulteriori (art. 15, paragrafo 3) o quando la richiesta è manifestamente infondata o eccessiva, e dovete poterlo dimostrare (art. 12, paragrafo 5). ### Un cliente chiede la cancellazione. Devo cancellare anche le fatture? No, finché la legge vi obbliga a conservarle. Il diritto alla cancellazione non si applica nella misura in cui il trattamento è necessario per adempiere un obbligo di legge (art. 17, paragrafo 3, lettera b). Tenete solo la fattura, solo per quella finalità e solo per il periodo previsto, cancellate il resto e spiegatelo nella risposta. In Italia, le fatture si conservano per dieci anni (codice civile, art. 2220). ### Chi risponde alla richiesta: l’azienda o il DPO? L’azienda, in quanto titolare del trattamento. Il DPO consiglia, sorveglia il termine e fa da punto di contatto per gli interessati (art. 38, paragrafo 4), ma la decisione e la risposta spettano al titolare. La guida sul DPO esterno con più clienti spiega dove finisce il ruolo del DPO. ### E se la mia risposta invia per errore i dati di un’altra persona? È una violazione dei dati personali. Provate a richiamare il messaggio o chiedetene la cancellazione, documentatelo e valutate il rischio: se c’è un rischio, avete 72 ore per notificarlo all’autorità di controllo, in Italia il Garante. La guida sulle prime 72 ore mostra come decidere. ## Fonti ### Legislazione e giurisprudenza - [Regolamento (UE) 2016/679 (GDPR)](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32016R0679), artt. 8, 12, 15, 17, 19, 21 e 30 e considerando 63 e 64 (EUR-Lex) - [D.Lgs. 196/2003, Codice in materia di protezione dei dati personali](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2003-06-30;196), art. 2-undecies (Normattiva) - [Regolamento (CEE, Euratom) 1182/71](https://eur-lex.europa.eu/legal-content/IT/ALL/?uri=CELEX:31971R1182), norme applicabili ai termini (EUR-Lex) - [CGUE, C-154/21, Österreichische Post](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:62021CJ0154) (12 gen 2023), destinatari - [CGUE, C-487/21, F.F. e CRIF](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A62021CJ0487) (4 mag 2023), che cos’è una «copia» - [CGUE, C-579/21, J.M. e Pankki S](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A62021CJ0579) (22 giu 2023), consultazioni da parte dei dipendenti - [CGUE, C-307/22, FT e DW](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=celex%3A62022CJ0307) (26 ott 2023), prima copia gratuita ### Comitato europeo per la protezione dei dati (EDPB) - [Linee guida 01/2022 sul diritto di accesso, v2.1](https://www.edpb.europa.eu/documents/guideline/guidelines-012022-on-data-subject-rights-right-of-access_en) (aprile 2023) - [Relazione sull’azione coordinata 2024, diritto di accesso](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf) (in inglese) - [Relazione sull’azione coordinata 2025, diritto alla cancellazione](https://www.edpb.europa.eu/system/files/2026-02/edpb_cef-report_2025_right-to-erasure_en.pdf) (in inglese) - [Parere congiunto EDPB-GEPD 2/2026 sul Digital Omnibus](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf) (in inglese) ### Autorità nazionali e procedura legislativa - [Garante per la protezione dei dati personali, diritti degli interessati](https://www.garanteprivacy.it/regolamentoue/diritti-degli-interessati) - [Garante, modello per l’esercizio dei diritti](https://www.garanteprivacy.it/garante/document?ID=1089924) - [CNPD (Portogallo), Direito de acesso aos dados](https://www.cnpd.pt/cidadaos/direitos/direito-de-acesso-aos-dados/) (in portoghese) - [CNPD (Portogallo), Direito ao apagamento dos dados](https://www.cnpd.pt/cidadaos/direitos/direito-ao-apagamento-dos-dados/) (in portoghese) - [Commissione europea, COM(2025) 837, Digital Omnibus](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=celex:52025PC0837) - [Consiglio dell’UE, ordine del giorno del Coreper, 9 ott 2026](https://data.consilium.europa.eu/doc/document/ST-13654-2026-REV-3/en/pdf) (in inglese) - [Parlamento europeo, procedura 2025/0130(COD), Omnibus IV](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025%2F0130%28COD%29) **Ultima revisione:** 21 ottobre 2026. Rivediamo questa guida ogni volta che cambiano la legge o gli orientamenti delle autorità. Questa guida è un’informazione generale sul GDPR e non costituisce consulenza legale. Per un caso specifico, parlate con il vostro DPO o con un avvocato. L’Oficina Rocha e tutte le persone delle scene sono fittizie.