European Data Protection Board: Linee Guida sul diritto di accesso dell’interessato

Lo scorso 19 gennaio, durante la sessione plenaria, l’EDPB - Comitato Europeo per la Protezione dei dati introdotto dal GDPR - ha adottato le Linee guida sul diritto di accesso ai dati personali da parte dell’interessato.

Già nel novembre 2019, nel corso di un evento su questo tema, i più importanti player avevano espresso le proprie opinioni in merito al diritto di accesso. Il Board, raccogliendo queste opinioni, ha sentito l’esigenza di pubblicare Linee guida per fornire, tra l’altro chiarimenti sulla portata del diritto di accesso, sulle informazioni che il titolare del trattamento deve fornire all’interessato, sul formato della richiesta di accesso, sulle principali modalità di fornitura dell’accesso e sulla nozione di “manifestamente infondata” o “richiesta eccessiva”.

Nell’ultima relazione annuale, relativa all’anno 2020, l’Autorità Garante per la protezione dei dati personali ha illustrato che, nella maggior parte dei casi, i mancati o inidonei riscontri alle istanze avanzate dall’interessato hanno avuto ad oggetto il diritto di accesso ai dati. A riprova di ciò, è solo di due mesi fa la notizia di una importante società telefonica sanzionata per ben 150.000 euro per non aver riscontrato tempestivamente una richiesta da parte di un interessato.

Un documento di estrema utilità

Sempre nell’ultima relazione annuale, il Garante ha spiegato che, sebbene talune istanze non riscontrate dai titolari fossero state formulate dagli interessati con richiami alla disciplina di protezione dei dati personali, in realtà esse erano finalizzate ad accedere alla documentazione amministrativa (spesso corposa). Ecco perché le Linee Guida saranno di estrema utilità per gli operatori del settore soprattutto in merito alla portata del diritto di accesso.

L’articolo 12 del Gdpr introduce il concetto di richiesta di “manifestamente infondata” o di richiesta “manifestamente eccessiva” in relazione alle quali poter addebitare un contributo spese ovvero rifiutare la richiesta. La qualificazione spetta al Titolare, sul quale graverà anche l’onere della prova di dimostrare il carattere manifestamente infondato o eccessivo della richiesta. Anche su tale punto, quindi, le indicazioni operative del board saranno di estrema utilità, permettendo così ai rispettivi titolari in indicazioni qualificate sulle quali ancorare le proprie scelte e le proprie decisioni.

Ora le linee guida saranno oggetto di consultazione pubblica per un periodo di 6 settimane, poi ulteriori indicazioni verranno fornite sul formato della richiesta di accesso e sulle modalità attraverso le quali fornire tale accesso. Sul punto, si ricorda che l’articolo 15, comma terzo del Gdpr indica che a richieste in formato elettronico andrà dato riscontro nello stesso formato, salvo diversa richiesta dell’interessato stesso.