Quale termine si applica?
Secondo la LPD le informazioni vengono di regola fornite entro 30 giorni (art. 25 cpv. 7 LPD). Se ciò non è possibile, l'azienda deve avvisare la persona interessata e comunicarle entro quando le fornirà (art. 18 OPDa).
Secondo il GDPR le informazioni vanno fornite senza ingiustificato ritardo e al più tardi entro un mese. Il termine può essere prorogato di altri due mesi, se la complessità o il numero delle richieste lo rendono necessario; la persona va informata entro il primo mese, con i motivi (art. 12 cpv. 3 GDPR).
Che cosa devono contenere le informazioni?
Entrambe le leggi richiedono più di un elenco di dati:
| Contenuto | LPD (art. 25 cpv. 2) | GDPR (art. 15) |
|---|---|---|
| I dati personali trattati in quanto tali | sì | sì, come copia |
| Scopo del trattamento | sì | sì |
| Durata di conservazione o criteri per determinarla | sì | sì |
| Provenienza, se non raccolti presso la persona | sì, se disponibile | sì, se disponibile |
| Destinatari o categorie di destinatari | se del caso | sì |
| Decisione individuale automatizzata e relativa logica | se del caso | se del caso |
| Identità e dati di contatto del titolare del trattamento | sì | – |
| Indicazione degli altri diritti e del diritto di reclamo | – | sì |
Come si verifica l'identità?
Le informazioni le riceve solo la persona legittimata. Chi consegna i dati alla persona sbagliata causa a sua volta una violazione della protezione dei dati. La verifica deve essere adeguata: una copia di un documento d'identità, un accesso tramite un conto cliente esistente o un'identificazione video – a seconda di quanto sono delicati i dati.
Perché la completezza è così difficile?
I dati di una persona si trovano in molte applicazioni, cartelle di file e caselle di posta. Alcuni sistemi si possono interrogare direttamente, per altri devono verificare i responsabili dei sistemi. Nel frattempo il termine decorre, e alla fine deve essere tracciabile chi ha fornito che cosa.
Si è dimostrato efficace stabilire una volta per tutte quali sistemi rientrano in una richiesta di accesso, chi ne è responsabile e quali informazioni contiene la risposta. Così ogni richiesta viene gestita allo stesso modo, i termini sono monitorati e ogni passo è registrato.
Quando si possono limitare le informazioni?
La LPD consente di rifiutare, limitare o differire le informazioni, per esempio se una legge lo prevede, se interessi preponderanti di terzi lo esigono o se la domanda è manifestamente infondata o querulomane (art. 26 LPD). I motivi vanno comunicati alla persona. Il GDPR prevede limiti simili per le richieste manifestamente infondate o eccessive (art. 12 cpv. 5 GDPR).