Il diritto di accesso ai propri dati personali (disciplinato dall’art. 15 del GDPR) è un fondamentale strumento previso a tutela dell’interessato. Attraverso l’esercizio del diritto d’accesso, infatti, egli può sapere quali sono i dati personali (ovviamente quelli a lui riferibili) in possesso del titolare del trattamento. Non solo: può anche ricevere informazioni sulle modalità del trattamento stesso. Si tratta, praticamente, di esercitare quel controllo sui propri dati personali che è alla base del concetto di privacy, così come inteso e valorizzato dalla normativa comunitaria.
L’importanza del diritto d’accesso presenta un interessante risvolto della medaglia: il titolare che non fornisce una risposta, o non ne fornisce una completa, va incontro a sanzioni piuttosto rilevanti. È pertanto estremamente importante che chi tratta dati personali si trovi sempre pronto a dar corso ad una istanza di accesso e a farlo nei tempi previsti dalla norma (trenta giorni). In particolare, il personale incaricato deve essere adeguatamente istruito e formato, per fare in modo che le risposte siano tempestive e complete.
Il rating creditizio e il diritto d’accesso
Due recenti provvedimenti del Garante Privacy chiariscono bene questo concetto. In entrambi i casi, infatti, il titolare del trattamento è stato sanzionato per non aver dato adeguato riscontro ad un’istanza di accesso. Ad accomunare le due vicende, inoltre, sono le ragioni che hanno mosso l’interessato a presentare un’istanza di accesso. Da una parte, la persona in questione si era vista rifiutare la richiesta di leasing a lungo termine da parte di una casa automobilistica. Dall’altra, l’interessato chiedeva l’accesso ai dati detenuti da una banca con cui, anni prima, aveva sottoscritto un contratto di mutuo, non interamente onerato.
A venire in rilievo è quindi il cosiddetto rating creditizio, ovvero il punteggio attribuito ad un singolo consumatore e che determina il suo grado di affidabilità e, conseguentemente, stabilisce se un prestito può essere concesso. Perfettamente superfluo notare come questo tipo di valutazione si presti ad essere estremamente rilevante per una persona. I dati che concorrono a determinare il rating creditizio, quindi, vanno trattati con estrema delicatezza, avendo cura che siano esatti e aggiornati. In questo senso, il potere di controllo che viene garantito dal diritto di accesso, diventa uno strumento fondamentale per verificare la correttezza del trattamento dei dati personali.
L’istanza di accesso e gli errori più comuni
Il titolare del trattamento che riceve una richiesta di accesso, spesso tende a trattarla con superficialità. Questo soprattutto quando, come in casi simili, i dati che qui rilevano (ovvero la valutazione creditizia) finiscono sulla sua scrivania per mano di un soggetto diverso, ovvero quello che si occupa specificamente di calcolare il rating del potenziale debitore. Erroneamente, quindi, il titolare crede di non essere direttamente tenuto a fornire tali dati all’interessato e di potersi limitare ad invitarlo a rivolgere altrove la propria richiesta. Al contrario: sono proprio tali informazioni che determinano la scelta (non concedere un finanziamento/leasing) pregiudizievole per l’interessato. È su tali informazioni, quindi, che egli vuole esercitare il potere di controllo.
Nei due casi sopra citati, il Garante ha rilevato che nessuno dei due titolari ha adeguatamente risposto alla richiesta di accesso. Quanto alla casa automobilistica, infatti, la stessa ha semplicemente restituito all’interessato il modulo di richiesta leasing che questi aveva presentato. Al contrario, il titolare del trattamento avrebbe dovuto rendere edotto il consumatore circa il rapporto di affidabilità ricevuto. Parimenti, la banca ha cercato di “rimbalzare” la richiesta. L’istituto, infatti, pensava (erroneamente) di non essere titolare del trattamento in quanto una società di factoring aveva, tempo addietro, acquistato il credito verso l’ex cliente.
All’accertamento della violazione è seguita una sanzione di 10000 euro. Anche questo aspetto dovrebbe portare le aziende a prestare maggiore attenzione alle istanze di accesso che possono ricevere. Serve infatti istruire il personale, dedicare un canale alla ricezione delle istanze e alla loro evasione nei tempi di legge, nonché verificare che tutti questi meccanismi siano rodati ed efficienti. Diversamente, ci si espone non solo alle sanzioni del Garante, ma anche alle richieste di risarcimento del danno che gli interessati potrebbero avanzare.
Avv. Andrea MARTINIS
diritto civile (responsabilità civile, assicurazioni, recupero crediti), privacy, diritto penale