Ti ha scritto il Garante privacy? Cosa fare con una richiesta di informazioni o un reclamo

Cosa fare adesso, passo per passo

1. Controlla che la lettera sia vera

   Le comunicazioni del Garante arrivano di regola per PEC, da un indirizzo del dominio gpdp.it, con un numero di fascicolo. Diffida di email ordinarie con link o richieste di pagamento: nel dubbio, cerca i contatti sul sito ufficiale del Garante e verifica.

2. Segna la data di ricezione e il termine

   La scadenza è indicata nella lettera e conta dal ricevimento. Scrivila subito in agenda: un termine mancato complica tutto.

3. Capisci che atto è

   Una richiesta di informazioni, l’invito a soddisfare le richieste di chi ha fatto reclamo, l’avvio del procedimento con le violazioni contestate o un provvedimento finale. La tabella più sotto ti aiuta a riconoscerlo.

4. Ricostruisci i fatti con i documenti

   Recupera la richiesta della persona, le tue risposte, le informative, il registro dei trattamenti, i contratti con i fornitori, le email. Scrivi una cronologia con le date.

5. Sistema subito quello che non va

   Se la persona aspettava una risposta, rispondile ora. Se un’informativa è incompleta, correggila. Le misure prese prima della decisione si possono indicare nella risposta.

6. Rispondi per iscritto, nei tempi

   Per PEC, punto per punto, citando il numero di fascicolo e allegando i documenti. Se il caso è complesso o rischi una sanzione, fai preparare la risposta da un consulente privacy o da un avvocato.

Che lettera hai ricevuto

Perché il Garante ti scrive

Nella grande maggioranza dei casi c’è dietro un reclamo: una persona ritiene che tu abbia trattato male i suoi dati e lo ha detto al Garante. Chiunque può farlo, gratis, per PEC, raccomandata o a mano. Le situazioni tipiche per una piccola attività:

• un cliente o un ex dipendente ha chiesto i suoi dati con il diritto di accesso e non ha avuto risposta entro un mese;
• qualcuno continua a ricevere newsletter o telefonate promozionali dopo aver chiesto di smettere;
• un dipendente contesta telecamere, geolocalizzazione o controlli sulla posta: vedi telecamere sul posto di lavoro;
• dati diffusi per errore, per esempio un’email con tutti i destinatari in chiaro: vedi email alla persona sbagliata;
• una notifica di violazione dei dati che hai fatto tu, su cui il Garante vuole approfondire.

Il Garante può anche agire d’ufficio, per esempio con i piani di ispezione su un settore. In ogni caso, all’inizio ti viene chiesto di spiegare: non sei ancora sanzionato.

Come scrivere la risposta

Una buona risposta è breve, ordinata e documentata. Segui l’ordine delle domande del Garante e per ognuna:

1. i fatti, con le date: quando è arrivata la richiesta della persona, chi l’ha gestita, cosa è stato risposto;
2. la base giuridica del trattamento contestato: contratto, obbligo di legge, consenso, interesse legittimo;
3. i documenti: informativa, registro dei trattamenti, nomine, contratti con i fornitori, registrazioni del consenso, log;
4. cosa hai già fatto per rimediare: risposta all’interessato, dati cancellati, informativa corretta, procedura nuova, formazione del personale;
5. un contatto per eventuali chiarimenti.

Cosa evitare: risposte generiche («siamo in regola con il GDPR»), attacchi alla persona che ha fatto reclamo, documenti preparati dopo e spacciati per vecchi. Se hai sbagliato, dillo e mostra il rimedio: il GDPR chiede di cooperare con l’autorità, e la cooperazione è tra i criteri con cui si decide se e quanto sanzionare. Dichiarare il falso al Garante, invece, è un reato punito con la reclusione da sei mesi a tre anni.

Se il termine è troppo stretto, per esempio perché devi recuperare dati da un fornitore, chiedi una proroga motivata prima della scadenza. Non darla per scontata.

Cosa succede se non rispondi

Non rispondere alla richiesta di informazioni è una violazione autonoma, punita con la stessa fascia di sanzioni delle violazioni più gravi del GDPR. In un caso del 2022 il Garante ha multato di 1.000 euro una ditta individuale che non aveva risposto a tre richieste via PEC, anche se poi la violazione segnalata all’inizio non era stata provata. In più il Garante può mandare la Guardia di Finanza a fare accertamenti sul posto.

Controlla quindi che la casella PEC dell’attività sia letta davvero: molte sanzioni per mancata risposta nascono da PEC finite in una casella che nessuno apre.

Le decisioni possibili e le sanzioni

Il Garante non sceglie solo tra «multa» e «niente». Può:

• archiviare, se il reclamo è infondato o il problema è già risolto;
• avvertire o ammonire, spesso per violazioni lievi o per chi ha collaborato e corretto;
• ordinare di soddisfare le richieste della persona, di correggere un trattamento, di limitarlo o di vietarlo;
• sanzionare con una somma di denaro, che si aggiunge agli ordini.

I massimi del GDPR sono 10 milioni di euro o il 2% del fatturato per alcune violazioni, 20 milioni o il 4% per le più gravi. Per le piccole attività gli importi reali sono molto più bassi, perché contano gravità, durata, numero di persone coinvolte, colpa, misure adottate, precedenti e collaborazione. Ricevuta un’ordinanza con sanzione, puoi chiudere pagando la metà e rispettando le prescrizioni, entro il termine per il ricorso; oppure puoi ricorrere al tribunale entro 30 giorni.

Il risarcimento dei danni alla persona è un’altra cosa: non lo decide il Garante, ma eventualmente un giudice.

Se il reclamo l’ha fatto un tuo dipendente o un cliente

Dentro l’azienda, questi casi vanno gestiti con calma e separati da tutto il resto:

• Nessuna ritorsione. Fare reclamo al Garante è un diritto: un provvedimento disciplinare o un cambio di mansione collegato al reclamo creerebbe un problema molto più grande, anche davanti al giudice del lavoro.
• Rispondi alla persona. Se aveva fatto una richiesta rimasta senza risposta, rispondi ora, per iscritto, e allega la risposta alla lettera per il Garante.
• Separa i piani. Se con il dipendente c’è anche una lite di lavoro, la risposta al Garante deve restare sui dati: chi li tratta, perché, come sono protetti. Per la lite vedi il settore Lavoro.
• Con il cliente, verifica prima di tutto se continua a ricevere comunicazioni che non vuole: blocca subito i contatti e conservane la prova.

Un esempio concreto

Elisa ha un centro estetico con tre dipendenti. Riceve una PEC dal Garante: una ex cliente, Martina, si lamenta di continuare a ricevere SMS promozionali nonostante due richieste di cancellazione. Il Garante chiede, entro 20 giorni, su quale base Elisa invia gli SMS, come gestisce le opposizioni e cosa ha fatto con le richieste di Martina.

• Elisa scopre che le richieste erano arrivate su WhatsApp e nessuno le aveva girate al gestionale degli SMS.
• Il giorno stesso cancella Martina dalla lista e le scrive per confermarlo.
• Con il consulente privacy recupera i consensi raccolti, corregge l’informativa sul marketing e scrive una procedura: ogni richiesta di stop, da qualunque canale, va registrata entro 48 ore.
• Risponde al Garante entro il termine, ammettendo il disguido e allegando i consensi, la conferma a Martina e la nuova procedura.
• Il fascicolo si chiude senza sanzione: un esito possibile, non garantito, quando il problema è isolato e corretto subito.

Cosa fa il consulente privacy su Intervento

Carica la lettera del Garante, il reclamo se è allegato e i documenti che hai. L’orientamento gratuito ti dice che atto è e quale termine sta correndo. Con l’Analisi ottieni subito una lettura automatica della lettera: domande, scadenza, documenti richiesti. Con l’Esperto un consulente privacy verificato ti risponde per iscritto: cosa rischi, cosa sistemare prima di rispondere e come impostare la risposta punto per punto. Con la Soluzione, su preventivo, prepara la risposta completa e i documenti mancanti, come informative, registro e procedure. Se arriva una sanzione da impugnare, serve un avvocato: puoi chiedere nel settore Legale.