Una richiesta di accesso ai sensi del GDPR è una richiesta scritta, ai sensi dell’Articolo 15 del Regolamento (EU) 2016/679, con la quale si chiede a un’organizzazione di confermare se tratti i tuoi dati personali e di fornirti una copia e le informazioni correlate. Se un’azienda ti ha respinto, o è rimasta in silenzio dopo il tuo ultimo colloquio, probabilmente conserva ancora il tuo CV, i tuoi dati di contatto e le sue note interne su di te, e hai il diritto di chiederne la visione. Se li ha eliminati, deve comunque confermare se tratti eventuali dati relativi a te.
In breve:
- Accesso (Art. 15): ricevi una copia dei tuoi dati oltre alle finalità, alle categorie, ai destinatari, al periodo di conservazione previsto, alla fonte dei dati e a qualsiasi informazione relativa al processo decisionale automatizzato.
- Cancellazione (Art. 17): puoi chiedere all’azienda di eliminare i tuoi dati quando, ad esempio, non sono più necessari per le finalità per cui sono stati raccolti o sono stati trattati illecitamente. Esistono delle eccezioni, inclusi i reclami legali.
- Tempistiche (Art. 12(3)): un mese dal ricevimento, estendibile di ulteriori due mesi solo se l’azienda ti comunica il motivo entro il primo mese.
- Costo (Art. 12(5)): gratuito, a meno che la richiesta non sia manifestamente infondata o eccessiva.
- Nessuna motivazione necessaria, nessun modulo richiesto: l’EDPB lo afferma esplicitamente nelle sue linee guida sul diritto di accesso.
Perché uno sviluppatore dovrebbe interessarsene
Un’e-mail di rifiuto di solito non dice nulla. Un “ghosting” dice ancora meno. Una richiesta di accesso è uno dei pochi strumenti che spinge un’azienda a produrre qualcosa di concreto: cosa ha registrato su di te, da dove ha ottenuto i dati e con chi li ha condivisi.
Motivi per cui le persone ne inviano effettivamente una:
- Vuoi sapere cosa l’azienda ha conservato dai tuoi colloqui, incluse le note di valutazione interna e qualsiasi punteggio.
- Sospetti che un filtro automatizzato ti abbia scartato e vuoi sapere se l’azienda dichiara di aver preso una decisione automatizzata (Art. 15(1)(h)).
- Hai inviato un CV, un test da svolgere a casa o un portfolio e vuoi sapere che non rimanga in un database all’infinito.
- Vuoi che l’azienda cancelli tutto dopo un processo andato male.
Nessuna di queste richiede una giustificazione. Le Guidelines 01/2022 dell’EDPB stabiliscono che l’interessato non deve fornire motivazioni per una richiesta di accesso, e che non spetta al titolare valutare se la richiesta ti sarà d’aiuto (EDPB, Guidelines 01/2022 on data subject rights, right of access, version 2.1, adopted 28 March 2023).
Passaggio 1: individua chi sia il titolare
Il diritto viene esercitato nei confronti del titolare, ovvero l’organizzazione che decide perché e come i tuoi dati vengono trattati. Per un’applicazione diretta, di solito si tratta del datore di lavoro al quale ti sei candidato. Se ti sei candidato tramite un recruiter o una piattaforma di candidatura, le parti possono essere più di una, e un responsabile può rispondere per conto del titolare qualora il contratto tra loro lo preveda (come spiega l’autorità spagnola, l’AEPD, nella sua pagina sull’esercizio dei diritti).
Cerca l’informativa sulla privacy nella pagina “careers” dell’azienda. Ai sensi degli Articoli 13 e 14, l’informativa dovrebbe indicare il titolare e, ove applicabile, fornire i recapiti del data protection officer (DPO). L’Art. 38(4) stabilisce che gli interessati possono contattare il DPO per tutte le questioni relative al trattamento e all’esercizio dei propri diritti, pertanto l’indirizzo del DPO, se presente, è un buon punto di riferimento a cui inviare la richiesta.
Le linee guida dell’EDPB affermano che non è richiesto un formato specifico e che non sei obbligato a utilizzare il canale di richiesta proprietario dell’azienda: puoi inviare la richiesta a un punto di contatto ufficiale del titolare. Affermano inoltre che un titolare non è obbligato ad agire su richieste inviate ad indirizzi completamente casuali o palesemente errati. Utilizza il contatto per la privacy, il DPO o il contatto per il recruiting indicato nell’informativa sulla privacy, non la casella di posta di un dipendente qualsiasi.
Step 2: scrivi la richiesta
Mantienila breve, con tutto ciò di cui l’azienda ha bisogno nella prima schermata:
- Chi sei, con dettagli sufficienti per identificarti: nome e cognome, l’indirizzo email da cui hai inviato la candidatura, il ruolo e le date approssimative.
- Cosa richiedi: la conferma se l’azienda tratti i tuoi dati personali, una copia degli stessi e le informazioni elencate nell’Art. 15(1)(a) to (h) e, se pertinente, l’Art. 15(2).
- La base giuridica: Art. 15 GDPR, con il termine di un mese previsto dall’Art. 12(3).
- Un formato preferito: se invii la richiesta con mezzi elettronici e non richiedi diversamente, l’Art. 15(3) stabilisce che la copia debba essere fornita in un formato elettronico comunemente utilizzato.
- Una data: scrivi la data in cui la invii e conserva la prova dell’invio e, se possibile, della consegna (una ricevuta di lettura, un numero di ticket o una conferma di ricezione), perché il termine decorre dal momento in cui l’azienda riceve la richiesta.
Ciò che l’Art. 15(1) stabilisce che puoi ottenere, come checklist da incollare nella tua richiesta:
| Art. 15 punto | Cosa richiedere |
|---|---|
| (a) | Le finalità del trattamento |
| (b) | Le categorie di dati personali |
| (c) | I destinatari o le categorie di destinatari, compresi i paesi terzi |
| (d) | Il periodo di conservazione previsto, o i criteri utilizzati per stabilirlo |
| (e) | I tuoi diritti di rettifica, cancellazione, limitazione e opposizione |
| (f) | Il tuo diritto di proporre reclamo a un’autorità di controllo |
| (g) | La fonte dei dati, qualora non siano stati raccolti direttamente da te |
| (h) | L’esistenza di processi decisionali automatizzati, compresa la profilazione, ai sensi dell’Art. 22(1) e (4), e informazioni significative sulla logica utilizzata e sulla sua importanza e sulle conseguenze per te |
Il punto (g) è importante se un recruiter ti ha trovato su un profilo pubblico o se un terzo ha inoltrato il tuo CV. Il punto (h) è quello da includere se sospetti l’uso di uno strumento di screening.
L’AEPD pubblica un modulo per il diritto di accesso (collegato dalla sua pagina sul derecho de acceso), che è utile come modello anche se la tua richiesta è rivolta a un’azienda di un altro Stato Membro.
Step 3: comprendi il termine di un mese
L’Articolo 12(3) è la clausola che conta. Il controller deve fornire informazioni sull’azione intrapresa in merito alla tua richiesta senza indebito ritardo e, in ogni caso, entro un mese dal ricevimento. Il periodo può essere prorogato di ulteriori due mesi laddove necessario, tenendo conto della complessità e del numero delle richieste, e il controller deve informarti della proroga, fornendo le motivazioni, entro il primo mese.
Due conseguenze pratiche:
- Il termine decorre dal ricevimento, non dal giorno in cui ritieni di dover ricevere una risposta. Conserva l’e-mail inviata o la ricevuta di consegna.
- Il silenzio non costituisce una proroga. Una proroga è valida solo se l’azienda ti ha informato della stessa, fornendo le motivazioni, entro il primo mese. L’Art. 12(4) aggiunge che se il controller decide di non agire affatto, deve comunicarti il motivo entro un mese, nonché il tuo diritto di presentare reclamo a un’autorità di controllo e di ricorrere a un rimedio giudiziario.
L’Art. 12(6) consente all’azienda di richiedere informazioni aggiuntive qualora abbia ragionevoli dubbi sulla tua identità. Le linee guida dell’EDPB stabiliscono che tale richiesta debba essere proporzionata. Se ricevi una risposta che richiede un documento d’identità, fornisci solo ciò che è ragionevolmente necessario e nulla di più.
Passaggio 4: decidi se richiedere la cancellazione
L’Articolo 17 ti conferisce il diritto di ottenere la cancellazione dei tuoi dati senza indebito ritardo, qualora si applichi uno dei presupposti elencati. Per un candidato respinto, i presupposti più probabili sono che i dati non siano più necessari per le finalità per cui sono stati raccolti (Art. 17(1)(a)), o che siano stati trattati illecitamente (Art. 17(1)(d)). Se l’azienda si è basata sul tuo consenso per inserirti in un talent pool e tu lo ritiri, l’Art. 17(1)(b) si applica in assenza di un’altra base giuridica.
Il diritto non è assoluto. L’Art. 17(3) elenca le eccezioni, inclusa la casistica in cui il trattamento è necessario per la contestazione, l’esercizio o la difesa di un diritto in sede giudiziaria (Art. 17(3)(e)). Un’azienda può fare riferimento a ciò quando conserva i verbali dei colloqui, ma l’eccezione copre solo ciò che è effettivamente necessario per un’azione legale, e solo per il tempo in cui tale azione potrebbe ancora essere promossa. Deve comunque informarti su cosa sta facendo e perché, entro gli stessi termini dell’Art. 12, poiché l’Art. 12(3) si applica alle richieste ai sensi degli Art. 15-22.
L’ordine è importante. Se invii una richiesta di cancellazione insieme a una richiesta di accesso, l’azienda potrebbe procedere prima con la cancellazione, e i dati che volevi vedere potrebbero quindi non essere più disponibili. (L’EDPB afferma che un titolare non deve cancellare i dati per evitare di rispondere a una richiesta di accesso e, nel proprio esempio relativo alle candidature lavorative, afferma che l’accesso avviene per primo e la cancellazione successivamente; Guidelines 01/2022, par. 39.) Per sicurezza, fai una di queste due cose:
- Invia prima la richiesta di accesso e la richiesta di cancellazione dopo aver ricevuto la risposta, oppure
- Richiedi entrambe in un unico messaggio e specifica che la copia ai sensi dell’Art. 15 deve essere fornita prima che venga eseguita la cancellazione.
Questo è un consiglio pratico, non qualcosa di richiesto dal Regolamento: deriva dal fatto che la cancellazione rimuove il materiale che una richiesta di accesso ti mostrerebbe.
Passaggio 5: quando l’azienda non risponde, o risponde in modo inadeguato
Se il periodo di un mese (o una proroga che ti è stata comunicata) è trascorso, il primo passo consueto è un breve sollecito fattuale che citi la data di ricezione e l’Art. 12(3).
Quel sollecito è una sequenza pratica, non un precondizione legale. L’Art. 77(1) ti conferisce il diritto di presentare un reclamo presso un’autorità di controllo, in particolare nello Stato membro della tua residenza abituale, del tuo luogo di lavoro o del luogo della presunta violazione. L’autorità deve informarti sull’andamento e sull’esito del reclamo, inclusa la possibilità di un ricorso giudiziario (Art. 77(2)). Se l’autorità non gestisce il reclamo o non ti informa entro tre mesi, l’Art. 78(2) ti conferisce il diritto a un ricorso giudiziario efficace contro l’autorità.
L’EDPB elenca le autorità nazionali dell’UE e dello SEE, con i relativi link, nella sua pagina “Our members”. In Spagna, tale autorità è l’AEPD.
Cosa inserire in un reclamo: le date, una copia della tua richiesta, la prova della ricezione, qualsiasi risposta ricevuta e gli elementi mancanti che ti aspettavi ai sensi dell’Art. 15(1).
Articoli correlati
- Come individuare un annuncio di lavoro fantasma nel 2026
- La tua candidatura è passata attraverso uno screening AI: cosa possono fare i candidati UE a riguardo
- Hai il diritto di sapere se un’AI ti sta intervistando
FAQ
Quanto tempo ha un’azienda per rispondere a una richiesta di accesso GDPR?
Un mese dal ricevimento della richiesta (Art. 12(3) GDPR). Il titolare può estendere tale termine di altri due mesi, se necessario, ma deve informarLa dell’estensione e delle relative motivazioni entro il primo mese.
Devo spiegare perché voglio i miei dati?
No. Le Guidelines 01/2022 dell’EDPB stabiliscono che l’interessato non deve fornire motivazioni e che il titolare non deve valutare se la richiesta Le sarà d’aiuto.
Un’azienda può addebitarmi dei costi per una richiesta di accesso?
Normalmente no. L’Art. 12(5) stabilisce che le informazioni e le azioni previste dagli Arts. 15 a 22 sono gratuite. Un costo ragionevole o un rifiuto sono possibili solo se la richiesta è manifestamente infondata o eccessiva, e l’onere della prova spetta al titolare. Il titolare può addebitare un costo ragionevole per ulteriori copie (Art. 15(3)).
Dovrei richiedere l’accesso e la cancellazione nella stessa email?
È più sicuro richiedere prima l’accesso. Se desidera entrambi contemporaneamente, specifichi esplicitamente che la copia deve essere fornita prima che i dati vengano cancellati.
Cosa succede se l’azienda ignora la mia richiesta?
Invii un breve sollecito citando la data di ricezione e l’Art. 12(3). Può presentare un reclamo presso un’autorità di controllo in qualsiasi momento ai sensi dell’Art. 77, nella pratica riferendosi alla Sua richiesta originale e alla risposta mancante o inadeguata.
Fonti
- Regulation (EU) 2016/679 (GDPR), Official Journal, Artt. 12, 13, 14, 15, 17, 38(4), 77 e 78 — https://eur-lex.europa.eu/eli/reg/2016/679/oj
- European Data Protection Board, Linee guida 01/2022 sui diritti dell’interessato, diritto di accesso, versione 2.1, adottata il 28 marzo 2023 — https://www.edpb.europa.eu/documents/guideline/guidelines-012022-on-data-subject-rights-right-of-access_en
- Stesse linee guida, PDF — https://www.edpb.europa.eu/system/files/documents/2023-04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf
- European Data Protection Board, I nostri membri (autorità di controllo nazionali) — https://www.edpb.europa.eu/about-edpb/our-members_en
- Agencia Española de Protección de Datos, Ejerce tus derechos — https://www.aepd.es/derechos-y-deberes/ejerce-tus-derechos
- Agencia Española de Protección de Datos, Derecho de acceso — https://www.aepd.es/derechos-y-deberes/conoce-tus-derechos/derecho-de-acceso
- Agencia Española de Protección de Datos, Formulario para el ejercicio del derecho de acceso — https://www.aepd.es/documento/formulario-derecho-de-acceso.pdf
Questo articolo descrive le regole generali dell’UE sulla protezione dei dati a scopo informativo. Non costituisce consulenza legale. Il modo in cui una richiesta viene gestita dipende dal titolare, dallo Stato membro e dai fatti specifici; se ti trovi in una controversia, consulta un avvocato o la tua autorità nazionale per la protezione dei dati.
Una richiesta di accesso è più semplice quando puoi indicare quale azienda, quale ruolo e quando. Se ti candidi a molte aziende, Xeito mantiene un record per ogni candidatura con il nome dell’azienda, uno di sette stati (interessato, candidato, colloquio telefonico, colloquio tecnico, colloquio in sede, offerta, rifiutato) e note in testo libero, e registra la data di candidatura quando segni un lavoro come candidato tramite Xeito. Non genera né invia richieste di accesso o cancellazione; è un registro delle tue candidature, non uno strumento legale.