Diritto di accesso ai dati personali: come chiederli e come rispondere

Come chiedere i tuoi dati, passo per passo

1. Individua a chi scrivere

   La richiesta va al titolare: l’azienda, lo studio, l’ospedale, il datore di lavoro. L’indirizzo giusto è nell’informativa privacy; in mancanza, usa la PEC o la sede legale.

2. Scrivi cosa vuoi, in modo preciso

   Puoi chiedere tutto, ma se ti interessa qualcosa di specifico (email, una telefonata, le immagini di un giorno) indica date e riferimenti.

3. Fatti identificare senza esagerare

   Scrivi dall’indirizzo email o dal contatto che il titolare conosce già, e indica nome, codice cliente o numero di matricola. Il documento d’identità serve solo se ci sono dubbi ragionevoli su chi sei.

4. Invia in modo da avere la prova

   PEC, raccomandata o il modulo online del titolare: il mese parte dal giorno in cui la richiesta arriva.

5. Segna la scadenza

   Un mese da quel giorno. Una proroga va motivata entro il primo mese.

6. Se non rispondono, sollecita una volta e poi agisci

   Un sollecito breve, poi reclamo al Garante o ricorso al giudice. Conserva tutto.

Cosa puoi ottenere con la richiesta di accesso

Il diritto di accesso spetta a chiunque i cui dati vengano trattati: cliente, dipendente, ex dipendente, candidato, paziente, utente di un sito. Ti dà diritto a una conferma (sì, trattiamo i tuoi dati, oppure no) e, se la risposta è sì, a queste informazioni:

Non devi spiegare perché fai la richiesta: anche se ti servono i dati per una causa contro chi li tiene, resta legittima. Non confonderla con l’accesso agli atti della pubblica amministrazione, che riguarda documenti di un procedimento e richiede un interesse.

Entro quando devono risponderti e quanto costa

• Un mese dal ricevimento della richiesta, e comunque senza ritardi inutili.
• Proroga di due mesi solo se la richiesta è complessa o se ne sono arrivate molte. Il titolare deve avvisarti entro il primo mese e spiegare il motivo.
• Se decide di non dare seguito, deve dirtelo entro un mese, con le ragioni: il silenzio non è mai una risposta valida.
• La risposta e la prima copia sono gratuite. Per copie ulteriori può chiedere un contributo ragionevole, basato sui costi reali.
• Se hai scritto per email, la risposta arriva in formato elettronico di uso comune.

Una richiesta può essere rifiutata, o soggetta a un contributo, solo se è manifestamente infondata o eccessiva, per esempio ripetuta a pochi giorni di distanza senza che nulla sia cambiato. Tocca al titolare dimostrarlo: chiedere i propri dati durante una lite non è di per sé un abuso.

Modello di richiesta di accesso

Sostituisci le parti tra parentesi quadre e togli quelle che non ti servono.

I casi più frequenti

Il dipendente che chiede email, log e documenti

Un dipendente o un ex dipendente può chiedere buste paga, presenze, valutazioni, ma anche le email della casella aziendale individuale e i documenti che lo riguardano. In un provvedimento reso noto nel 2026, il Garante ha sanzionato per 50.000 euro una compagnia assicurativa che aveva consegnato a un ex dipendente solo le email «strettamente personali»: le email di lavoro che riguardano una persona sono comunque suoi dati, e l’azienda non può scegliere da sola cosa dare. Può oscurare in modo mirato dati di terzi o segreti aziendali concreti, spiegando perché.

Dai log di chi ha consultato i tuoi dati hai diritto, per la Corte di giustizia, a sapere date e motivi delle consultazioni; l’identità dei colleghi che le hanno fatte, di regola no. Se la richiesta nasce da una contestazione, vedi anche come rispondere a una contestazione disciplinare.

Il cliente che chiede la registrazione di una telefonata

La tua voce è un dato personale. Se il call center o il servizio clienti ha registrato la chiamata, puoi chiederne copia, o almeno una trascrizione completa se il file non può essere consegnato. Indica giorno, ora e numero. La voce dell’operatore, di regola, non giustifica il rifiuto: è la stessa conversazione a cui hai partecipato.

Le immagini delle telecamere

Puoi chiedere le immagini in cui compari, ma di solito si cancellano dopo 24-72 ore: scrivi subito e chiedi di conservarle. Le altre persone riprese vanno oscurate. Se le immagini sono già state cancellate, il titolare deve dirtelo. Le regole sugli impianti nei luoghi di lavoro sono in telecamere sul posto di lavoro.

La cartella clinica

La legge sulla responsabilità sanitaria obbliga la struttura a consegnare la documentazione entro 7 giorni dalla richiesta, con eventuali integrazioni entro 30 giorni. Il GDPR aggiunge che la prima copia dei tuoi dati è gratuita: nel 2023 la Corte di giustizia l’ha detto proprio per la cartella clinica, anche quando serve a una causa contro il medico. Se la struttura chiede ancora diritti di copia, richiama l’articolo 15. Per i dati di un familiare deceduto, la richiesta può farla chi ha un interesse proprio o ragioni familiari meritevoli.

Quando il titolare può dire di no, o dare meno

• Diritti di altre persone: la copia non deve danneggiare altri. La soluzione normale è oscurare nomi e dati di terzi, non rifiutare tutto.
• Segreti aziendali: giustificano un oscuramento mirato se il rischio è concreto e spiegato, non un generico richiamo alla riservatezza.
• Limiti previsti dal Codice privacy (articolo 2-undecies): l’accesso può essere ritardato, limitato o escluso se causerebbe un pregiudizio effettivo e concreto, tra l’altro, ai controlli antiriciclaggio, alla difesa in una causa o alla riservatezza di chi ha segnalato illeciti (whistleblowing). Il titolare deve dirtelo con una risposta motivata, e puoi chiedere al Garante di verificare.

Il resto dei dati va consegnato comunque.

Se sei l’azienda: come rispondere bene

1. Registra la richiesta il giorno in cui arriva, anche se è arrivata a un collega o al centralino: il mese decorre da lì.
2. Verifica l’identità in modo proporzionato: se scrive dall’email che conosci, di regola basta. Per le Linee guida europee chiedere sempre la carta d’identità non è proporzionato.
3. Cerca i dati ovunque: gestionale, email, cartelle condivise, archivi cartacei e fornitori, che devono aiutarti come prevede il contratto: vedi responsabile esterno del trattamento.
4. Oscura solo ciò che è necessario, annotando il motivo.
5. Rispondi per iscritto con le informazioni dell’articolo 15 e la copia. Le informazioni generali le trovi nel registro e nell’informativa privacy.
6. Conserva la pratica: è la tua prova se arriva un reclamo.

Se ti serve più tempo, scrivilo entro il primo mese e manda intanto ciò che hai già. Non cancellare dati dopo aver ricevuto la richiesta.

Se non ti rispondono: reclamo, giudice e sanzioni

Se il mese passa senza risposta, o la risposta è incompleta, hai due strade, alternative tra loro per la stessa questione:

• Reclamo al Garante: è gratuito, si fa con il modello pubblicato sul sito del Garante, allegando la richiesta, la prova dell’invio e l’eventuale risposta. Il Garante può ordinare al titolare di rispondere e sanzionarlo.
• Ricorso al tribunale, di solito con un avvocato: da valutare se chiedi anche il risarcimento del danno.

Se hai già fatto causa per la stessa questione, il reclamo non si può più presentare, e viceversa, salvo impugnare in tribunale la decisione del Garante.

Le violazioni dei diritti degli interessati rientrano nella fascia più alta di sanzioni del GDPR: fino a 20 milioni di euro o al 4% del fatturato mondiale. Per le piccole aziende gli importi sono molto più bassi, ma la mancata risposta all’accesso compare spesso nei provvedimenti: per esempio 40.000 euro a un’azienda che non aveva risposto a un ex amministratore. Altri casi in GDPR per piccole aziende.

Un esempio concreto

Luca, commerciale dimissionario di una ditta di forniture, il 3 marzo chiede via PEC le email della sua casella aziendale degli ultimi sei mesi, i report di vendita e le note di valutazione.

• La scadenza è il 3 aprile. Luca indica la matricola e scrive da un indirizzo noto alla ditta: non serve altro per identificarlo.
• Le email sono circa 4.000. Il 20 marzo la ditta comunica una proroga di un mese, motivata dalla quantità di messaggi, e intanto manda note e report.
• Nelle email oscura i dati dei clienti che non riguardano Luca e le condizioni economiche riservate di due contratti, spiegando perché; il resto lo consegna in un archivio leggibile.
• Il 28 aprile Luca riceve tutto. Senza nessuna risposta, avrebbe potuto presentare reclamo al Garante dal 4 aprile.

Cosa fa il consulente privacy su Intervento

Allega la richiesta, le ricevute di invio ed eventuali risposte. L’orientamento gratuito ti dice se i termini sono scaduti. Con l’Analisi ottieni una lettura automatica della richiesta o della risposta. Con l’Esperto un consulente privacy verificato ti risponde per iscritto: se sei un cittadino, se la risposta che hai ricevuto è completa e come preparare il reclamo; se sei un’azienda, cosa devi consegnare, cosa puoi oscurare e come scrivere la risposta. Con il livello Soluzione, su preventivo, prepara la procedura interna per gestire le richieste o la risposta completa a un caso complesso.