Il GDPR e i tuoi diritti come consumatore UE, in parole semplici

Il Regolamento Generale sulla Protezione dei Dati è una delle leggi più citate e fraintese degli ultimi dieci anni. La maggior parte della copertura mediatica cade in una di due categorie: l'allarmismo «ogni rivenditore ti nasconde qualcosa», o il cinismo «è solo una faccenda di banner sui cookie». Entrambi sbagliano. Il GDPR è un insieme chiaro di diritti che puoi esercitare senza pagare nessuno — e che qualsiasi rivenditore online minimamente serio deve rispettare senza costringerti a batterti.

I tuoi diritti, in ordine di frequenza d'uso

• Accesso. Puoi chiedere a qualsiasi titolare del trattamento una copia dei dati personali che detiene su di te. Hanno 30 giorni per fornirla (60 nei casi complessi, con avviso entro il 30° giorno).
• Rettifica. Se detengono informazioni inesatte su di te, puoi esigerne la correzione.
• Cancellazione («diritto all'oblio»). Puoi chiedere la rimozione dei dati. Ci sono eccezioni — la più importante per i rivenditori è che i documenti di verifica dell'identità richiesti dalla normativa AML devono essere conservati per il periodo previsto dalla legge — ma quelle eccezioni sono limitate e devono essere giustificate, non semplicemente affermate.
• Limitazione. Puoi chiedere al titolare di sospendere il trattamento mentre si risolve una controversia sulla correttezza o liceità dei dati.
• Portabilità. I dati che hai fornito devono essere esportabili in un formato leggibile da una macchina.
• Opposizione. Puoi opporti al trattamento basato su legittimo interesse, inclusa la profilazione.

Come esercitarli, senza un avvocato

Basta una richiesta scritta al titolare del trattamento. La Privacy Policy di qualsiasi sito gestito correttamente indica l'indirizzo — per noi è [email protected]. Sii preciso su cosa vuoi (una copia di tutti i dati? la cancellazione di un ordine specifico? la correzione di un indirizzo?) e includi informazioni sufficienti perché il titolare possa verificare che sei davvero tu.

Non devi fornire una motivazione per una richiesta di accesso o cancellazione. Devi verificare la tua identità — questa è una tutela per te, non un ostacolo.

Se non sei soddisfatto della risposta, l'autorità di controllo del tuo paese (o il UK ICO se il titolare ha sede nel Regno Unito) gestisce i reclami gratuitamente. Non ci sono costi giudiziari, non serve un avvocato.

Dove il GDPR non aiuta

Il GDPR riguarda i dati personali. Non è una politica di reso (quella è la Direttiva UE sui diritti dei consumatori, recepita separatamente — vedi la Politica rimborsi e resi), e non è un meccanismo di rimborso per questioni che non hanno nulla a che fare con i dati.

Il GDPR non impedisce neanche a un rivenditore di conservare i dati che altre leggi gli impongono di tenere. La normativa antiriciclaggio obbliga rivenditori e altre imprese regolamentate a conservare i documenti di verifica dell'identità per un numero minimo di anni dalla fine del rapporto con il cliente. Una richiesta di cancellazione non può aggirare un obbligo legale parallelo; il rivenditore deve comunicartelo, con riferimento alla norma specifica.