Richiesta di accesso ai dati personali: cos’è una SAR

Una richiesta di accesso ai dati personali consente a una persona di sapere come un’organizzazione usa le informazioni che la riguardano e di riceverne una copia intelligibile. Può arrivare in una normale email, a voce o attraverso l’assistenza, senza formule obbligatorie ¹. Riconoscerla subito protegge il termine e impedisce che i dati pertinenti scompaiano.

Risposta rapida Una richiesta di accesso ai dati personali chiede conferma del trattamento, una copia dei dati e informazioni sul loro uso. Non serve un modulo né una frase speciale. L’organizzazione deve riconoscerla ovunque arrivi, fissare il termine di un mese, verificare l’identità in modo proporzionato e coordinare ricerca, revisione e consegna sicura ².

Ultimo aggiornamento: 26 agosto 2026

Il diritto comprende più della copia di un documento

La persona non chiede necessariamente «il suo fascicolo». Chiede accesso ai dati personali trattati e alle informazioni che spiegano quel trattamento. Una risposta composta soltanto da documenti esportati, senza contesto, può essere incompleta anche quando contiene molti file ¹.

Il diritto riguarda i dati, non automaticamente ogni documento intero che li contiene. In una catena di email, alcune frasi possono costituire dati del richiedente, altre informazioni di colleghi e altre puro contenuto operativo. Il lavoro consiste nell’individuare e presentare i dati dovuti proteggendo, nello stesso tempo, diritti e libertà altrui.

La Corte di giustizia ha chiarito che la copia deve permettere alla persona di esercitare effettivamente i propri diritti. Estratti o interi documenti possono quindi essere necessari quando il contesto è indispensabile per rendere i dati comprensibili ³. La forma segue la funzione del diritto, non la comodità del formato di origine.

La prima copia è gratuita, anche quando produrla richiede attività interne: la Corte di giustizia ha confermato che un’altra disciplina nazionale non può trasformare quel primo accesso in una prestazione a pagamento ⁴; ulteriori copie possono giustificare un contributo ragionevole basato sui costi amministrativi, mentre il contributo o il rifiuto dell’articolo 12, paragrafo 5, richiedono di dimostrare il carattere manifestamente infondato o eccessivo. Il registro distingue quindi prima copia, ulteriori copie e risposta a una richiesta eccessiva, senza applicare una tariffa unica ai tre casi.

Una richiesta può arrivare in qualsiasi punto dell’impresa

La sigla «SAR» aiuta, ma non è necessaria. «Quali note avete su di me?», «mandatemi le registrazioni delle chiamate» o «voglio vedere quello che il mio responsabile ha scritto sul mio rendimento» possono esprimere lo stesso diritto. Anche una richiesta orale conta; il canale informale non la rende meno valida. Reception, assistenza, vendite e gestione del personale devono sapere a chi inoltrare questi messaggi. Non occorre trasformare tutti in specialisti: basta riconoscere i segnali, registrare le parole originali e trasferire la richiesta senza promettere un esito o restringerne il significato. Un modulo facilita la raccolta di dettagli, ma non può diventare una condizione.

Se il perimetro è molto ampio, il titolare può chiedere quali informazioni o attività interessino alla persona. Il dialogo serve a comprendere la richiesta e trovare i dati, non a sospendere silenziosamente il lavoro. Richiesta originaria, chiarimenti e decisioni restano nella stessa cronologia.

La persona che riceve il messaggio non dovrebbe rispondere dalla propria casella con documenti non revisionati. Conserva invece testo, allegati, canale e ora, segnala ogni rischio di cancellazione e attiva il responsabile del termine. Una risposta rapida ma insicura può creare una nuova divulgazione.

Il mese ha bisogno di un responsabile e di una cronologia

La regola generale è rispondere senza ingiustificato ritardo e, di norma, entro un mese. Stabilire subito la data di ricevimento impedisce di calcolare il termine dal passaggio al team privacy, magari avvenuto giorni dopo. Ogni fase deve avere proprietario, stato e prossimo momento di controllo ¹.

Quando complessità e numero delle richieste lo rendono necessario, il termine può essere prorogato di altri due mesi. La persona va informata entro il primo mese, con i motivi del ritardo e l’indicazione dei rimedi; la proroga non nasce automaticamente da un volume elevato ¹.

Se esistono dubbi ragionevoli sull’identità, la verifica parte subito e chiede solo quanto necessario. Pretendere sempre un documento fotografico, quando l’organizzazione dispone di un canale autenticato o di elementi meno invasivi, non è una procedura proporzionata. Il record spiega il dubbio, la prova richiesta e quando è arrivata.

Il responsabile del termine coordina senza concentrare tutto il lavoro. I custodi dei sistemi raccolgono i risultati; chi conosce il contesto spiega codici e abbreviazioni; il revisore applica limiti e oscuramenti; una persona controlla che la copia finale corrisponda al registro. Questa separazione riduce sia omissioni sia divulgazioni improprie.

La ricerca europea segue i dati entro il perimetro compreso

Cercare significa seguire i dati personali responsivi alla richiesta, non limitarsi al sistema più comodo. Account cliente, email, ticket, registrazioni, cartelle condivise, dispositivi, carta e sistemi di fornitori possono tutti contenere informazioni pertinenti. Identificativi indiretti, vecchi indirizzi, numeri pratica o soprannomi possono restituire risultati che il solo nome perde ².

Il percorso europeo non adotta una scorciatoia generale di ricerca «ragionevole e proporzionata» come limite autonomo. Una volta compreso il perimetro, il titolare cerca i dati responsivi e può limitare la risposta soltanto attraverso regole definite: l’articolo 12, paragrafo 5, l’articolo 15, paragrafo 4, oppure una limitazione valida dell’articolo 23. L’onere operativo, da solo, non crea una quarta eccezione.

La legge britannica vigente contiene oggi una formulazione espressa sulla ricerca ragionevole e proporzionata. Un gruppo presente nei due ordinamenti deve quindi evitare un modello unico che trasferisca quel limite nella risposta europea. Nel record dell’Unione, sistemi esclusi e termini non usati richiedono una ragione collegata al perimetro compreso o a un limite giuridico applicabile.

Una mappa ripetibile indica sistemi, custodi, varianti di ricerca, intervalli e risultati. Per un ex dipendente si possono usare nome, matricola, vecchio indirizzo email e numero della pratica nel periodo pertinente. I risultati vengono deduplicati senza eliminare differenze significative e conservati in un’area controllata separata dalle fonti operative.

Una casella pertinente destinata alla cancellazione richiede una conservazione mirata per completare la risposta; ciò non autorizza a copiare indiscriminatamente anni di dati. Il blocco registra sistema, ambito, responsabile ed evento di rilascio, così il diritto di accesso non diventa un’eccezione permanente al piano di conservazione.

La revisione protegge anche le altre persone

Una risposta può contenere nomi, valutazioni o conversazioni che riguardano terzi. L’articolo 15, paragrafo 4, impedisce che il diritto alla copia leda diritti e libertà altrui, ma non crea un rifiuto automatico dell’intero documento. Oscuramenti, estratti e contestualizzazione possono preservare i dati del richiedente senza esporre informazioni di altri ².

Il revisore distingue il semplice nome di un collega, il suo parere professionale divenuto dato del richiedente e le informazioni che rivelano aspetti privati del collega. La stessa frase può contenere tutte e tre le componenti e richiedere una decisione riga per riga. Non basta annerire i nomi: ruolo, contesto e dettagli indiretti possono rendere una persona riconoscibile.

Le limitazioni adottate in base all’articolo 23 richiedono una misura legislativa conforme e un’analisi concreta. Il modello di risposta non dovrebbe presentare categorie astratte come esclusioni automatiche. Il record indica il materiale trattenuto, la regola applicata e il motivo, evitando però di rivelare nella spiegazione proprio ciò che la limitazione protegge.

La copia finale deve essere intelligibile e sicura. Codici, abbreviazioni e dati estratti possono richiedere una legenda; il canale di consegna deve essere adeguato alla sensibilità e verificare il destinatario. Un archivio illeggibile o inviato alla persona sbagliata non soddisfa il diritto, anche se la ricerca era completa.

«Manifestamente eccessiva» è una conclusione esigente

Una richiesta lunga, scomoda o costosa non è automaticamente manifestamente eccessiva. Il carattere manifesto richiede evidenza chiara; natura, frequenza, sovrapposizione e onere vanno valutati nel contesto. Prima di rifiutare o chiedere un contributo, un confronto sul perimetro può produrre una risposta utile senza togliere il diritto ².

Ripetizioni ravvicinate possono essere ragionevoli quando i dati sono cambiati o la prima risposta era incompleta. Allo stesso modo, un conflitto di lavoro non rende abusiva la richiesta: il motivo della persona non cancella il diritto. Qualunque rifiuto deve essere spiegato, registrato e accompagnato dalle informazioni sul reclamo e sul ricorso.

La decisione descrive l’onere con elementi controllabili: fonti, volume, sovrapposizione con risposte recenti, possibilità di chiarimento e risorse realmente necessarie. L’irritazione per il tono non prova nulla. Se il titolare addebita un contributo, deve collegarlo ai costi amministrativi consentiti e spiegare il calcolo, non usare una tariffa standard come deterrente.

La prova appartiene al titolare: il fascicolo collega ciascun costo al lavoro amministrativo consentito, mostra perché un chiarimento non risolverebbe il problema e distingue la parte eccessiva dall’eventuale parte a cui è ancora possibile rispondere, così una richiesta ampia non viene respinta interamente quando un risultato utile resta praticabile. Il volume non basta. Prima della firma, un secondo responsabile dovrebbe riuscire a ripercorrere fatti, alternative, contributo proposto e informazione da dare alla persona senza affidarsi all’etichetta scelta dal primo revisore.

Per rivolgersi all’autorità competente in Italia, la persona o il titolare può consultare il Garante per la protezione dei dati personali. Il contatto nazionale non modifica le soglie comuni degli articoli 12 e 15, ma rende praticabile il percorso di reclamo previsto dal GDPR.

Tre azioni nel giorno in cui arriva

Registrare. Conservare parole esatte, canale, data e persona che ha ricevuto la richiesta. Il testo originale evita che un riassunto interno ne restringa inconsapevolmente la portata.

Assegnare. Nominare chi governa il termine e avvisare i custodi dei sistemi più probabili. Responsabile non significa fare tutto, bensì mantenere una cronologia unica e risolvere conflitti di priorità.

Proteggere. Valutare se dati pertinenti rischino una cancellazione ordinaria e sospenderla in modo mirato, senza congelare l’intera organizzazione. Nel frattempo possono procedere verifica dell’identità, chiarimento e preparazione delle ricerche.

Queste mosse non completano la richiesta, ma impediscono gli errori più costosi: perdere giorni prima di riconoscerla, lasciare che informazioni pertinenti scompaiano e avviare ricerche diverse senza un record comune. Da quel momento il lavoro diventa una sequenza controllata che un collega può riprendere e che la persona può comprendere.