L'articolo 15 del Regolamento generale sulla protezione dei dati (GDPR), recepito nella legislazione olandese attraverso l'Algemene Verordening Gegevensbescherming (AVG), garantisce a ogni individuo il diritto inequivocabile di scoprire se un'organizzazione tratta i suoi dati personali, di ottenerne una copia e di conoscere il contesto circostante, come finalità, destinatari e periodi di conservazione. Questo diritto è il fondamento della trasparenza e della responsabilità: consente agli individui di verificare cosa viene conservato su di loro e obbliga le aziende a mantenere le proprie pratiche in materia di dati pulite, documentate e difendibili.
Che si tratti di richiedere il proprio fascicolo HR o di prepararsi a rispondere alla richiesta di accesso ai dati di un cliente, conoscere l'esatto ambito di applicazione e i limiti dell'Articolo 15 riduce il rischio di sanzioni, controversie e danni alla reputazione. Nelle pagine che seguono traduciamo il testo legale in un inglese semplice, guidiamo gli interessati attraverso un modello di richiesta passo dopo passo, guidiamo i titolari del trattamento su tempistiche, tariffe e obblighi di redazione, segnaliamo le norme specifiche olandesi applicate dall'Autoriteit Persoonsgegevens e concludiamo con checklist pratiche per entrambe le parti.
Decodifica dell'articolo 15 AVG in parole semplici
«L'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso, di ottenere l'accesso a tali dati personali...» — Articolo 15(1) GDPR
In parole semplici: potete chiedere a qualsiasi organizzazione "Conservate dati che mi riguardano? Se sì, mostratemi quali, perché, con chi li condividete e per quanto tempo li conservate". Questa è l'essenza del diritto di accesso previsto dal GDPR; la portata dell'articolo 15 della legge olandese sulla protezione dei dati personali (AVG) è identica perché la legge olandese sulla protezione dei dati personali si limita a localizzare l'applicazione senza modificarne la sostanza.
Quando si presenta una richiesta, si hanno diritto a otto elementi concreti:
- Conferma dell'elaborazione
- Una copia dei dati personali
- Le finalità del trattamento
- Categorie di dati coinvolte
- Destinatari o categorie di destinatari
- Periodo di conservazione previsto o criteri per determinarlo
- Altri diritti GDPR che puoi esercitare
- Garanzie per eventuali trasferimenti al di fuori dello SEE
Il diritto è personale: solo l'interessato (o un suo rappresentante legittimo) può esercitarlo, ed è assoluto per quanto riguarda la ricezione dei propri dati. I titolari del trattamento possono tuttavia limitare o negare l'accesso qualora ciò pregiudichi altri diritti fondamentali (segreti commerciali, privacy di terzi).
Testo legale vs. Termini semplici
| Clausola dell'articolo 15 | Cosa significa davvero |
|---|---|
| 15 (1) conferma | Chiedi "sì/no" se elaborano i tuoi dati. |
| 15 (1) accesso | Ottieni i dati effettivi e il contesto. |
| 15 (1) (c) destinatari | Scopri chi vede o ottiene i dati, all'interno o all'esterno dell'azienda. |
| 15 (2) trasferimenti verso paesi terzi | Scopri di più sui dati inviati al di fuori dello SEE e sulle protezioni adottate. |
| 15 (3) copia | Ricevi le informazioni in un formato digitale riutilizzabile, gratuitamente. |
Punti chiave a colpo d'occhio
- Quanto tempo può impiegare un controllore? Un mese, estendibile a tre per i casi complessi.
- Possono farmi pagare? Non, a meno che la richiesta non sia “manifestamente infondata o eccessiva”.
- In quale formato riceverò i dati? File elettronico sicuro (ad esempio, PDF o CSV) a meno che non venga richiesto diversamente.
- Devo usare un modulo speciale? Non; conta l'e-mail, la lettera o anche una telefonata.
- E se non hanno nulla in mio possesso? Devono comunicarlo per iscritto entro la stessa scadenza.
Chi può esercitare il diritto e nei confronti di chi?
Ai sensi dell'articolo 4, paragrafo 1, del GDPR, per interessato si intende qualsiasi persona fisica vivente e identificabile, sia essa cliente, dipendente, paziente o minore. Ciascuno di essi può esercitare il diritto di accesso previsto dal GDPR: l'ambito di applicazione dell'articolo 15 della legge tedesca sulla protezione dei dati personali (AVG) non fa distinzioni in base all'età, alla nazionalità o alla residenza. Le richieste devono essere indirizzate al titolare del trattamento : la parte che decide perché e come i dati vengono trattati. Un fornitore di servizi cloud o un'azienda di elaborazione paghe che si limita a memorizzare i dati è un responsabile del trattamento ; deve inoltrare la richiesta al titolare del trattamento, ma non può rifiutarsi di eseguire un'istruzione diretta.
I residenti olandesi possono anche indirizzare la loro richiesta a un'azienda straniera che si rivolge al mercato olandese (ad esempio, un social network con sede in Irlanda). Il termine di un mese decorre dal momento in cui il titolare del trattamento riceve la richiesta, indipendentemente da dove risiedano i suoi server.
Situazioni speciali: rappresentanti, persone decedute, genitori e tutori
- Minorenni e adulti incapaci: un genitore, un tutore o un curatore può agire per loro conto ai sensi del Libro 1 del Codice civile olandese.
- Scuole e i datori di lavoro: alunni e dipendenti si può presentare una richiesta di accesso ai dati personali (SAR); i rappresentanti sono facoltativi, non obbligatori.
- Le persone decedute non rientrano nel campo di applicazione del GDPR, ma medici, notai e assicuratori devono comunque rispettare le norme sul segreto professionale prima di divulgare i relativi file.
Responsabilità congiunta dei titolari nei sistemi condivisi
Quando due o più organizzazioni determinano congiuntamente le finalità o i mezzi del trattamento (articolo 26 del GDPR), ad esempio un datore di lavoro e il suo fornitore di software per le risorse umane, sono contitolari del trattamento. Devono concordare in modo trasparente chi risponde alle richieste di cui all'articolo 15 e informare l'interessato, ma ciascuna rimane responsabile se l'altra non adempie ai propri obblighi.
Cosa deve essere divulgato: dati e informazioni supplementari
Quando si esercita il diritto di accesso ai sensi del GDPR, l'ambito di applicazione dell'articolo 15 della legge tedesca sull'accesso ai dati personali (AVG) obbliga il titolare del trattamento a fornire due elementi: i dati personali effettivi e un insieme di dettagli contestuali . Si può pensare a questo come alla ricezione sia della foto che della sua didascalia. La normativa suddivide l'obbligo di divulgazione in otto categorie, elencate di seguito.
| Articolo 15(1) | Cosa dovresti ricevere |
|---|---|
| (a) Conferma | Un chiaro si No se i tuoi dati vengono elaborati |
| (b) Scopi | Le ragioni per cui i dati esistono (ad esempio, buste paga, marketing) |
| (c) Categorie | Tipi come dettagli di contatto, cronologia degli acquisti, registri GPS |
| (d) Destinatari | Squadre interne and partner o responsabili esterni |
| (e) Conservazione | Periodo o criteri esatti (ad esempio, "7 anni per il diritto tributario") |
| (f) Diritti | Promemoria: puoi rettificare, cancellare, limitare, opporti, lamentarti |
| (g) Fonte | Da dove provengono i dati se non sono stati raccolti da te |
| (h) Trasferimenti | Misure di salvaguardia per qualsiasi spedizione al di fuori dello SEE |
I dati personali non si limitano a nome e numero di telefono. Riguardano profili comportamentali, punteggi di credito dedotti, filmati di videosorveglianza, registrazioni vocali, ID di dispositivi e persino metadati apparentemente banali come i timestamp di accesso: qualsiasi cosa possa essere collegata, direttamente o indirettamente, a una persona identificabile.
“Copia dei dati personali” spiegata
Per copia si intende una riproduzione intelligibile, non il documento cartaceo originale. Aspettatevi:
- Un PDF del tuo registro delle buste paga
- Esportazione CSV delle note CRM
- ZIP con file audio delle chiamate di supporto
Se hai inviato la richiesta via e-mail, la consegna predefinita dovrebbe essere elettronica e in un formato "comunemente utilizzato", a meno che tu non chieda la versione cartacea.
Dati personali vs. documenti: dove tracciare il confine
I responsabili del trattamento dei dati devono estrarre solo le parti che ti riguardano. Ad esempio, in un verbale di riunione contenente le dichiarazioni di più dipendenti, le tue osservazioni orali possono essere divulgate, mentre i commenti dei colleghi vengono oscurati. Al contrario, un contratto di lavoro firmato viene divulgato integralmente perché ogni clausola ti riguarda.
Informazioni supplementari obbligatorie
Oltre alla copia dei dati, il titolare del trattamento deve fornire spiegazioni su: finalità, categorie, destinatari, conservazione, diritti disponibili, fonti dei dati, logica alla base delle decisioni automatizzate (se presenti) e garanzie per il trasferimento. È importante prestare attenzione alle risposte vaghe: "per scopi aziendali" o "conservati per il tempo necessario" difficilmente soddisferanno l'Autorità per la protezione dei dati personali. Spiegazioni complete e chiare sono la migliore protezione contro reclami e sanzioni.
Come inviare e gestire una richiesta di accesso ai dati personali (SAR) nei Paesi Bassi
Una richiesta di accesso ai dati personali può essere effettuata in qualsiasi modo l'interessato preferisca: per telefono, e-mail , lettera, messaggio privato sui social media o persino tramite chatbot. L'articolo 12 del GDPR vieta ai titolari del trattamento di richiedere una forma specifica, quindi "Desidero una copia di tutti i dati personali che detenete su di me" è sufficiente per avviare il conteggio dei giorni. La prassi migliore, tuttavia, è quella di depositare una documentazione scritta in modo che entrambe le parti possano monitorare le scadenze. Una volta ricevuta la richiesta, il titolare del trattamento deve immediatamente (1) confermarne la ricezione e (2) annotare in agenda il periodo di risposta di un mese . Il silenzio o il ritardo dopo il primo mese comportano il rischio di una denuncia all'Autorità Garante per la protezione dei dati personali (Persoonsgegevens - AP) e potenziali sanzioni.
Di seguito è riportato un modello conciso e bilingue che gli interessati possono copiare e incollare; non è necessario alcun gergo legale.
Subject: Subject Access Request – Article 15 GDPR/AVG
Dear [Controller],
I hereby request, under Article 15 GDPR/AVG, confirmation of whether you process my personal data.
If so, please provide a copy and the supplementary information listed in Article 15(1)(a-h).
Kind regards,
[Name] | [Email] | [Any reference number]
---
Onderwerp: Verzoek om inzage – Artikel 15 AVG/GDPR
Geachte [Verwerkingsverantwoordelijke],
Ik verzoek u op grond van artikel 15 AVG om bevestiging of u mijn persoonsgegevens verwerkt.
Indien dit het geval is, ontvang ik graag een kopie en de aanvullende informatie zoals genoemd in artikel 15 lid 1 onder a-h.
Met vriendelijke groet,
[Naam] | [E-mail] | [Eventuele referentie]
I responsabili del controllo dovrebbero creare un flusso di lavoro di acquisizione dati semplice, che includa la casella di posta elettronica [email protected] , il numero del ticket e una conferma automatica, per poter dimostrare la conformità in un secondo momento.
Verifica dell'identità senza sovraccaricare la riscossione
Il titolare del trattamento deve essere "ragionevole" nel verificare chi sta richiedendo i dati, senza però impossessarsi di più dati del necessario. L'AP raccomanda:
- Ove possibile, abbinare i dettagli della richiesta ai dati dell'account esistente (nome utente, ID cliente).
- Se non è possibile evitare prove aggiuntive, richiedere un passaporto redatto o scansione della patente di guida con BSN, foto e MRZ oscurati.
- Non conservare mai copie più a lungo del necessario per la verifica; registra l'avvenuta verifica e poi elimina il file.
Registrazione e tenuta dei registri per la responsabilità
Un registro SAR di base rende felici gli enti regolatori e il tuo DPO. Registra:
- Data di ricezione e canale (e-mail, chiamata, ecc.)
- Passaggi intrapresi per la verifica dell'identità
- Ambito dei dati localizzati
- Team interni coinvolti
- Data e modalità di risposta + eventuali proroghe richieste
- Riepilogo delle informazioni fornite o motivi del rifiuto
La tenuta di questo registro sostiene il principio di “responsabilità” dell’articolo 5 e fornisce una traccia di controllo pronta all’uso nel caso in cui l’AP bussi alla tua porta.
Tempistiche, tariffe e formati di consegna dei controllori
Una volta iniziato il conteggio, i titolari del trattamento hanno un mese di tempo per rispondere a una richiesta di accesso ai dati personali. Possono prorogare il termine una sola volta, fino a un massimo di due mesi aggiuntivi , ma solo per richieste complesse o numerose e devono motivare il ritardo entro il primo mese. Se non vengono conservati dati personali, il titolare del trattamento deve comunque rispondere entro lo stesso termine e specificarlo esplicitamente.
L'articolo 12(5) stabilisce una regola di esenzione dal pagamento: l'accesso è gratuito. È consentito un addebito solo quando la richiesta è "manifestamente infondata o eccessiva" — si pensi a un dipendente che chiede copie identiche ogni settimana, o a uno spammer che richiede dati su centinaia di profili falsi.
La consegna deve avvenire in un formato sicuro "di uso comune". Un rapido confronto:
| Formato | Pro | Contro |
|---|---|---|
| PDF crittografato | Leggibile; facile redazione | Possibili password deboli |
| CSV esportazione | Leggibile dalla macchina; piccole dimensioni | Più difficile per i profani |
| Portale sicuro | 2FA e traccia di controllo | Costoso da mantenere |
Qualunque sia la strada scelta, i controllori devono rispettare le preferenze ragionevoli ed evitare il lock-in proprietario.
Trasmissione sicura e minimizzazione dei dati
Non inviare mai fogli di calcolo non protetti via e-mail. Utilizza file protetti da password (condividere la chiave separatamente), portali HTTPS con autenticazione a due fattori o posta raccomandata per i fascicoli cartacei. Prima della trasmissione, ripulisci i dati di terze parti con un software di redazione e rimuovi i campi superflui. Ciò soddisfa la norma di minimizzazione prevista dall'Articolo 5(1)(c) e, al contempo, protegge colleghi, segreti commerciali e astanti.
Motivi legittimi per limitare o rifiutare l'accesso
L'articolo 15 è potente, ma non illimitato. Il paragrafo 4 e il considerando 63 chiariscono che il titolare del trattamento può ridurre o persino rifiutare la divulgazione quando la consegna delle informazioni entrerebbe in conflitto con altri diritti fondamentali o sarebbe manifestamente irragionevole. L'onere della prova spetta al titolare del trattamento: è necessario documentare perché l'accesso completo comprometterebbe tali interessi contrapposti e come è stato mitigato l'impatto (ad esempio, mediante oscuramento parziale).
Protezione della privacy di terze parti
La divulgazione di una catena di email che include anche i nomi di colleghi o clienti può rivelare i loro dati personali. La giurisprudenza olandese (Rb. Midden-Nederland, ECLI:NL:RBMNE:2023:1204) conferma che i titolari del trattamento possono oscurare o riassumere gli identificativi di terzi, a condizione che il richiedente comprenda comunque il contesto. Tecniche:
- Nomi e numeri di telefono in nero
- Sostituire con termini neutri ("un altro dipendente")
- Fornire estratti anziché l'intero file
Segreti commerciali, proprietà intellettuale e copyright
Le aziende non sono obbligate a svelare il loro kimono algoritmico. Se la divulgazione di codice sorgente, formule di prezzo o materiale protetto da copyright dovesse rivelare know-how riservato, l'Articolo 15(4) consente una risposta calibrata. Una tipica soluzione alternativa: descrivere la logica di una decisione automatizzata in un linguaggio semplice, non il codice completo; fornire estratti di un contratto, non il modello proprietario. Spiegare sempre perché una divulgazione più approfondita danneggerebbe gli interessi commerciali.
Prevenire l'abuso dei diritti
Una richiesta è manifestamente infondata o eccessiva quando è ripetitiva, molesta o deliberatamente gravosa, si pensi alle richieste settimanali di accesso ai dati personali (SAR) copiate e incollate dopo che i dati completi sono già stati forniti. I titolari del trattamento possono quindi:
- Addebitare una “tariffa ragionevole” che rifletta i costi amministrativi, or
- Rifiutarsi del tutto di agire.
In ogni caso, è necessario giustificare la propria posizione per iscritto e informare l'interessato del suo diritto di presentare reclamo all'Autoriteit Persoonsgegevens.
Ricerca di risarcimento: reclami e contenziosi nei Paesi Bassi
Quando un titolare del trattamento non centra il bersaglio, gli interessati hanno a disposizione opzioni rapide e crescenti per far valere il diritto di accesso previsto dal GDPR (ambito di applicazione dell'articolo 15 dell'AVG).
- Spinta interna. Inviare un promemoria datato che faccia riferimento all'articolo 15 e alla scadenza; la maggior parte delle organizzazioni si conforma una volta sollecitata.
- Reclamo di Autoriteit Persoonsgegevens. Presentare la domanda online. L'AP può ordinare la divulgazione, imporre penali giornaliere o imporre sanzioni amministrative. I casi semplici spesso si chiudono entro tre mesi.
- Azione giudiziaria civile. Ai sensi dell'articolo 82 del GDPR tribunali olandesi può emettere ingiunzioni e concedere risarcimenti. Recenti sentenze hanno concesso risarcimenti da 250 a 2.500 euro per disagio, con procedura accelerata kort geding agevolazioni disponibili per urgenti controversie lavorative.
Cooperazione transfrontaliera e sportello unico
Un residente olandese può comunque presentare un reclamo all'Autorità Garante per la protezione dei dati personali (AP) anche se la sede centrale europea del titolare del trattamento si trova in un altro Paese. L'AP inoltra il file tramite lo sportello unico GDPR e il Comitato europeo per la protezione dei dati (EDPB) può risolvere qualsiasi stallo normativo, quindi la geografia non rappresenta un ostacolo all'accesso ai propri dati.
Progetto di conformità per le organizzazioni
Un processo SAR ordinato inizia molto prima che arrivi la prima richiesta. Sviluppando questi elementi essenziali, il 90% dei problemi di accesso scomparirà:
- Pubblicare una politica SAR breve e semplice e segnalarla al personale.
- Mantieni aggiornati i tuoi Registri delle attività di elaborazione (RoPA), così saprai dove risiedono i dati.
- Periodi di conservazione delle mappe e trigger di eliminazione; i dati obsoleti sono dati che non è mai necessario consegnare.
- Mantenere un flusso di lavoro di redazione passo dopo passo con revisione a doppio controllo.
- Registrare ogni richiesta, decisione e scadenza per l'articolo 5 responsabilità.
- Eseguire esercitazioni annuali per testare velocità, chiarezza e catena di comando.
Formare il front-office, le risorse umane e l'IT su come individuare e gestire le richieste verbali; una telefonata persa può far partire il conto delle penalità.
Automazione e strumenti
Utilizza software di data discovery, API di verifica dell'identità e portali di download sicuri per trovare, impacchettare e trasmettere dati rapidamente, lasciando sempre spazio al controllo sensoriale umano e al contesto.
Integrazione con altri diritti dell'interessato
Progettare il flusso di lavoro SAR in modo che si ramifichi in azioni di rettifica, cancellazione o portabilità; un'unica pipeline coerente evita ricerche duplicate e risposte incoerenti.
Responsabilizzare gli interessati: consigli pratici per richieste efficaci
Un SAR chiaro e ben mirato fa risparmiare tempo a tutti e rende più difficile per il controllore di volo entrare in stallo. Provate queste tattiche:
- Localizzare che cosa vuoi: "Tutte le e-mail tra me e il manager Jansen dal 1° gennaio al 31 marzo 2024."
- Menzione where si legge: "Sistema HR e ticket dell'help desk".
- Dichiara il tuo formato preferito (CSV, PDF) e canale sicuro.
- Segnala l'urgenza quando pertinente ("imminente" valutazione delle prestazioni il 15 ottobre”).
Una volta ricevuti i dati, cerca errori o lacune e invia immediatamente una richiesta di rettifica o cancellazione: seguire sempre la stessa traccia di prove mantiene lo slancio.
Strategia di escalation se ignorata
Giorno 31 e ancora silenzio radio? Siate cortesi ma decisi:
Subject: Reminder – Article 15 GDPR/AVG request overdue
Dear [Controller],
On [date] I requested access to my personal data. The one-month term has passed without a response.
Please provide the information within seven days or explain the lawful basis for any refusal.
Failing that, I will file a complaint with the Autoriteit Persoonsgegevens and consider civil action.
Regards,
[Name]
Documenta ogni passaggio (date, e-mail, registri telefonici). Se la settimana extra scade, presenta un reclamo online all'AP e allega il tuo fascicolo di prove; tribunali e autorità di regolamentazione favoriscono i ricorrenti ben organizzati.
Conclusione del diritto di accesso
L'articolo 15 GDPR/AVG pone le persone al posto di comando: è possibile chiedere, vedere e contestare l'utilizzo che un'organizzazione fa dei propri dati. Per i titolari del trattamento, procedure chiare, registri ordinati e redazioni sensate non sono facoltativi: sono l'unico modo per rispettare la scadenza di un mese ed evitare l'attenzione dell'Autoriteit Persoonsgegevens.
Ricordate il copione di base:
- la richiesta può essere informale,
- la risposta deve essere libera, tempestiva e completa,
- i limiti sono ristretti e devono essere giustificati,
- la divulgazione parziale è preferibile al rifiuto assoluto.
Seguendo queste regole, il diritto di accesso diventerà un'attività di routine anziché un grattacapo da tribunale.
Hai bisogno di un modello SAR personalizzato, di aiuto per districare dati di terze parti o di una strategia per un titolare del trattamento ostinato? Gli avvocati specializzati in privacy di Law & More sono pronti a intervenire, che tu sia un interessato in cerca di risposte o un'azienda in cerca di certezze.
