Il Regolamento (UE) 2016/679 (GDPR) non si limita a imporre obblighi a chi tratta i dati: riconosce alla persona cui i dati si riferiscono — l’interessato — un fascio di diritti azionabili, che ne costituiscono il contrappeso. Saperli riconoscere ed evadere correttamente non è un adempimento accessorio: è uno dei terreni su cui il Garante interviene con maggiore frequenza, e una risposta tardiva o evasiva è di per sé una violazione. Conviene dunque ricostruire quali siano tali diritti, come si esercitino, entro quali termini vadano soddisfatti e che cosa accada in caso di inerzia.
Quali sono i diritti
Gli articoli da 15 a 22 del Regolamento delineano un catalogo articolato:
- Accesso (art. 15): ottenere conferma che sia in corso un trattamento e accedere ai dati, ricevendone copia, unitamente alle informazioni sulle finalità, i destinatari, la conservazione e l’origine.
- Rettifica (art. 16): ottenere la correzione dei dati inesatti e l’integrazione di quelli incompleti.
- Cancellazione o «diritto all’oblio» (art. 17): ottenere la rimozione dei dati, entro i limiti previsti, quando non siano più necessari, il consenso sia revocato, vi sia opposizione efficace o il trattamento sia illecito.
- Limitazione (art. 18): «congelare» il trattamento in talune ipotesi, ad esempio in pendenza della verifica sull’esattezza dei dati.
- Portabilità (art. 20): ricevere i dati forniti in un formato strutturato e di uso comune e trasmetterli ad altro titolare, quando il trattamento si fondi sul consenso o sul contratto e sia automatizzato.
- Opposizione (art. 21): opporsi, per motivi connessi alla propria situazione, ai trattamenti fondati sul legittimo interesse; l’opposizione al marketing diretto è invece sempre incondizionata.
- Non essere sottoposto a decisioni automatizzate (art. 22), compresa la profilazione, che producano effetti giuridici significativi, salve le eccezioni di legge.
A corredo, l’art. 19 impone al titolare di comunicare le rettifiche e le cancellazioni ai destinatari cui i dati erano stati trasmessi.
Come si esercitano e in quali tempi
Le modalità sono governate dall’articolo 12. L’esercizio del diritto non è soggetto a forme rigide: l’istanza è valida anche se non richiama l’esatta disposizione, purché ne risulti riconoscibile il contenuto. Il titolare deve agevolarne l’esercizio e, di regola, provvedere a titolo gratuito.
Quanto ai tempi, il riscontro va fornito senza ingiustificato ritardo e comunque entro un mese dalla richiesta, prorogabile di ulteriori due mesi in caso di particolare complessità, dandone motivata comunicazione all’interessato. Il dato dirimente è che una risposta è sempre dovuta: anche il diniego o il differimento vanno comunicati, motivati e accompagnati dall’indicazione della facoltà di proporre reclamo al Garante o ricorso all’autorità giudiziaria. Il silenzio non è un’opzione.
Il diritto di accesso, in particolare
Tra tutti, l’accesso è il diritto più esercitato ed è opportuno chiarirne l’ampiezza, sovente sottovalutata. L’accesso può essere esercitato anche con riguardo a dati che l’interessato già conosce o che gli erano stati in precedenza consegnati: l’art. 15 non pone limitazioni in tal senso, giacché la funzione del diritto è consentire una verifica, anche periodica, della liceità e correttezza del trattamento in corso. A fronte di una mole rilevante di dati, il titolare può chiedere all’interessato di precisare l’oggetto dell’istanza (considerando 63; Linee guida EDPB 01/2022 sul diritto di accesso), ma ciò non lo esonera dall’attivarsi nei termini.
Cosa dice la giurisprudenza
La materia è presidiata dalla fascia sanzionatoria più grave: la violazione dei diritti degli interessati (artt. 12-22) è ricondotta all’art. 83, paragrafo 5, del Regolamento — fino a 20 milioni di euro o, per le imprese, al 4% del fatturato mondiale annuo.
Particolarmente istruttivo è il provvedimento del 18 luglio 2023 (doc. web n. 9929053), con cui il Garante ha sanzionato per 15.000 euro una società che, a fronte di un’istanza di accesso e cancellazione presentata da un ex dipendente, aveva opposto un riscontro «del tutto generico», limitandosi ad assicurare di trattare i dati «in conformità alla normativa di legge». L’Autorità ha ribadito che il riscontro deve essere tempestivo, completo e specifico, non potendo risolversi in formule di stile, e — richiamando la giurisprudenza di legittimità (Cass. 14 dicembre 2018, n. 32533) — ha confermato che il diritto di accesso si esercita anche sui dati già noti all’interessato.
Sul versante dei tempi, con provvedimento del 16 novembre 2023 (doc. web n. 9960875) il Garante ha sanzionato per 40.000 euro una società che aveva dato riscontro a una richiesta di accesso di un ex dipendente con un ritardo di oltre tre mesi sul termine di legge (riscontro reso a circa quattro mesi dall’istanza), e unicamente dopo l’apertura dell’istruttoria. Né le difficoltà organizzative né la pendenza di un contenzioso di lavoro sono state ritenute idonee a giustificare l’inerzia: il riscontro andava comunque reso nei termini, eventualmente chiedendo all’interessato di circoscrivere la richiesta.
Gestire i diritti degli interessati con metodo — una procedura interna, tempi presidiati, risposte specifiche — non è dunque un vezzo formale, bensì un presidio di conformità. È il completamento naturale degli altri adempimenti privacy: dall’informativa al registro dei trattamenti, fino al complessivo adeguamento al GDPR di imprese e professionisti. Affianchiamo i titolari nella predisposizione di procedure di riscontro alle istanze degli interessati nell’ambito della consulenza GDPR per aziende e professionisti.
Domande frequenti
Quanto tempo ho per rispondere a una richiesta di accesso? Un mese dalla richiesta, prorogabile fino a tre mesi per le istanze particolarmente complesse, dandone motivata comunicazione all’interessato entro il primo mese.
L’interessato deve motivare la richiesta di accesso? No: il diritto di accesso non va motivato. Una motivazione è richiesta solo per l’opposizione ex art. 21, fondata su «motivi connessi alla situazione particolare» dell’interessato.
Posso rifiutare di cancellare i dati? Solo nei limiti dell’art. 17, paragrafo 3 (ad esempio per un obbligo di legge o per la difesa di un diritto in giudizio), e comunque fornendo una risposta specifica e motivata.
Il presente approfondimento ha finalità informative e fotografa la disciplina vigente alla data di pubblicazione; non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 17 giugno 2026.