Diritto alla cancellazione dei dati (GDPR): come chiederla

Hai un account che non usi più, un'azienda che continua a scriverti o una società che conserva dati che ritieni non debba avere. Il diritto alla cancellazione dei dati, previsto dall'articolo 17 del GDPR e chiamato anche "diritto all'oblio", ti permette di chiedere di cancellare i tuoi dati personali. Non è un diritto assoluto, ma conoscere come funziona ti fa risparmiare tempo. Qui trovi quando spetta, come scrivere la richiesta, i tempi e cosa fare se non ricevi risposta.

Informazioni generali, non parere legale. Per casi complessi o con conseguenze economiche rivolgiti a un avvocato.

Diritto alla cancellazione dei dati GDPR: quando puoi chiederla

Il GDPR prevede che il titolare del trattamento (l'azienda o l'ente che gestisce i tuoi dati) debba cancellarli, senza ingiustificato ritardo, in alcuni casi, tra cui:

• i dati non sono più necessari rispetto alle finalità per cui sono stati raccolti;
• hai revocato il consenso e non esiste un'altra base giuridica per il trattamento;
• ti sei opposto al trattamento e non prevalgono motivi legittimi dell'azienda (o ti sei opposto al marketing diretto);
• i dati sono stati trattati illecitamente;
• la cancellazione è richiesta da un obbligo di legge.

Il Garante precisa che il diritto può essere esercitato anche dopo la revoca del consenso. E per i dati resi pubblici dall'azienda (per esempio pubblicati su un sito), il titolare deve informare gli altri titolari che li trattano della tua richiesta, compresi link, copie o riproduzioni (art. 17, par. 2).

Quando l'azienda può dire di no

Il diritto non è assoluto. L'art. 17, par. 3, elenca eccezioni, come:

• l'esercizio della libertà di espressione e di informazione;
• un obbligo legale di conservazione (ad esempio fatture e contabilità, dati contrattuali per i tempi di legge);
• motivi di interesse pubblico o ricerca;
• l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

Per esempio, un'azienda non può cancellare subito le fatture emesse a tuo nome prima della scadenza degli obblighi di conservazione, ma può smettere di usare i tuoi dati per marketing. Se rifiuta, deve spiegare il motivo.

Cancellazione, revoca del consenso, opposizione: sono tre cose diverse

Spesso conviene chiedere tutto insieme: "revoco ogni consenso, mi oppongo al marketing e chiedo la cancellazione dei dati non soggetti a obbligo di conservazione".

Come scrivere la richiesta

Il GDPR non impone una forma precisa, ma una richiesta scritta ti fornisce una prova. I punti chiave:

1. A chi: al titolare del trattamento o al suo Responsabile della protezione dei dati (DPO), all'indirizzo privacy indicato nell'informativa dell'azienda.
2. Oggetto chiaro: per esempio "Richiesta di cancellazione dei dati personali ai sensi dell'art. 17 GDPR".
3. Chi sei: nome, cognome, email o numero con cui sei registrato, codice cliente se ce l'hai. L'azienda può chiederti informazioni per identificarti.
4. Cosa chiedi: la cancellazione di tutti i dati, o di quelli specifici.
5. Perché: indica la ragione (non più necessari, consenso revocato, opposizione...).
6. Cosa vuoi in risposta: conferma scritta dell'avvenuta cancellazione e comunicazione ai destinatari a cui i dati sono stati trasmessi.
7. Data e, se possibile, invio da un canale che produce ricevuta (PEC o email con conferma).

Un esempio di struttura (adattalo):

Oggetto: Richiesta di cancellazione dei dati personali – art. 17 GDPR

Io sottoscritto/a [nome e cognome], titolare dell'indirizzo email [indirizzo], chiedo la cancellazione dei miei dati personali trattati da codesta società, salvo quelli che siete obbligati a conservare per legge. Revoco ogni consenso prestato e mi oppongo al trattamento per finalità di marketing. Vi chiedo di confermare per iscritto l'avvenuta cancellazione e di informare i destinatari a cui i dati sono stati comunicati. Resto in attesa di riscontro entro un mese dal ricevimento.

[luogo, data, firma]

Se devi scrivere a più aziende, il kit GDPR di VINDICIS contiene modelli già pronti (accesso, cancellazione, opposizione al marketing) e i contatti privacy verificati per più di cento aziende italiane. Trovare l'indirizzo giusto è metà del lavoro: nelle pagine del kit trovi i contatti di molte aziende, tra cui TIM, Vodafone, Enel Energia e CRIF. Per le società di informazioni creditizie ricorda che i dati corretti vengono cancellati solo alla scadenza dei termini previsti dal codice di condotta.

I tempi: quanto deve attendere l'azienda

Secondo il Garante, il titolare deve rispondere entro un mese dalla richiesta, anche in caso di rifiuto. Il termine può essere esteso fino a tre mesi in casi particolarmente complessi, con comunicazione entro il primo mese. L'esercizio dei diritti è in linea di principio gratuito, salvo richieste manifestamente infondate o eccessive.

Cosa fare se non rispondono o rifiutano

1. Sollecito scritto dopo la scadenza, citando la data della prima richiesta.
2. Reclamo al Garante, se non hai risposta o se la risposta è insoddisfacente: leggi come presentare un reclamo al Garante.
3. Se sono telefonate promozionali, valuta una segnalazione al Garante.
4. Azione giudiziaria, nei casi più seri, con l'aiuto di un legale.

Cancellazione e motori di ricerca

Se i tuoi dati compaiono nei risultati di Google o Bing, puoi chiedere la deindicizzazione, cioè la rimozione dei risultati per le ricerche fatte sul tuo nome. Il contenuto resta sul sito di origine, quindi devi rivolgerti anche al gestore del sito. La richiesta viene valutata caso per caso, bilanciando il tuo diritto con l'interesse pubblico all'informazione; il Garante ricorda che, se il motore di ricerca non risponde, ci si può rivolgere alle autorità. Il Garante riassume i principi nella pagina sul diritto all'oblio.

Dopo la cancellazione: cosa non cambia

Cancellare i dati da un'azienda non cancella le copie presso terze parti a cui li ha già ceduti, né ciò che è finito in violazioni di dati. Per questo conviene anche verificare dove compare il tuo indirizzo email: la scansione gratuita di VINDICIS controlla le violazioni note e i casi di infezione da infostealer, e può aiutarti a decidere con quali aziende partire con le richieste.

Domande frequenti

La richiesta di cancellazione è gratuita?

In linea di principio sì. Il titolare può addebitare costi solo per richieste manifestamente infondate o eccessive.

L'azienda può rifiutarsi di cancellare i miei dati?

Sì, in alcuni casi previsti dalla legge: obblighi di conservazione (come quelli contabili), esercizio di diritti in giudizio, interesse pubblico, libertà di informazione. Deve però motivare il rifiuto.

Devo usare un modulo ufficiale?

No. Non c'è una forma obbligatoria, anche se una richiesta scritta con chiaro riferimento all'art. 17 e una prova di invio è la scelta più sicura. Molte aziende pubblicano un modulo, ma non sei obbligato a usarlo.

Cosa succede se cancello l'account dal sito?

Chiudere l'account non equivale sempre alla cancellazione di tutti i dati: l'azienda può conservarne alcuni per obblighi di legge. Se vuoi essere sicuro, invia una richiesta formale ai sensi dell'art. 17.

Posso chiedere la cancellazione dei dati dalle società di informazioni creditizie?

Dipende: i dati corretti si cancellano alla scadenza dei termini previsti dalle regole di settore; la cancellazione anticipata riguarda dati errati. Vedi come chiedere a CRIF i miei dati.