Dati personali e profilazione online: i diritti e come si esercitano

Cerchi un prodotto una volta e per settimane lo vedi ovunque. Un sito ti mostra un prezzo diverso da quello che vede un amico. Arrivano email di marketing da aziende a cui non hai mai dato niente. I dati personali sono la materia prima dell’economia digitale, e il regolamento UE 2016/679 ti dà strumenti concreti per sapere che cosa viene fatto con i tuoi, limitarlo e fermarlo. Sono diritti che si esercitano con una email, e proprio per questo vale la pena sapere come si scrive.

Puoi chiedere a qualsiasi azienda quali dati tratta e perché, ottenerne copia, correggerli, cancellarli, limitarne l’uso, opporti al marketing diretto senza dover motivare e non essere sottoposto a decisioni unicamente automatizzate con effetti significativi. Il titolare deve rispondere senza ritardo e comunque entro un mese, gratuitamente. In mancanza, reclamo al Garante per la protezione dei dati personali, che non costa nulla.

Che cosa può fare un sito con i tuoi dati

Ogni trattamento deve avere una base giuridica: il contratto che hai concluso, un obbligo di legge, il legittimo interesse del titolare, oppure il tuo consenso.

Per il marketing diretto e per la profilazione a fini pubblicitari di regola serve il consenso, che deve essere libero, specifico, informato e revocabile. Una casella preselezionata non è un consenso. E un consenso preteso come condizione per accedere a un servizio, quando non è necessario per erogarlo, è contestabile.

L’informativa deve dirti, prima della raccolta, chi tratta i dati, per quali finalità, per quanto tempo, a chi li comunica e quali diritti hai. Un sito senza informativa, o con un’informativa che non risponde a queste domande, è già in difetto.

I diritti, uno per uno

Accesso. Sapere se un’azienda tratta i tuoi dati, quali, per quali finalità, da dove li ha presi, a chi li comunica, per quanto li conserva, e ottenerne copia. È il diritto da cui partire, perché è quello che fa emergere tutto il resto.

Rettifica e cancellazione. Correggere i dati inesatti; ottenere la cancellazione quando i dati non sono più necessari, quando revochi il consenso, quando il trattamento è illecito o quando ti opponi al marketing.

Opposizione. Opporti in qualsiasi momento al marketing diretto, compresa la profilazione connessa, senza dover dare motivi: il titolare deve cessare. Per gli altri trattamenti basati sul legittimo interesse, l’opposizione va motivata con la tua situazione particolare.

Limitazione e portabilità. Chiedere che i dati siano conservati ma non usati, in attesa di una verifica; ottenere i dati che hai fornito in un formato leggibile per trasferirli a un altro servizio.

Decisioni automatizzate. Non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato, profilazione compresa, che produca effetti giuridici o incida in modo significativo su di te, salvo le eccezioni previste; e in ogni caso ottenere l’intervento umano, esprimere la tua posizione e contestare la decisione.

Come si esercitano

Con una richiesta al titolare del trattamento, all’indirizzo indicato nell’informativa o al responsabile della protezione dei dati se è stato nominato, con un mezzo tracciabile, indicando quale diritto eserciti e per quali dati.

Non devi motivare, salvo per l’opposizione a trattamenti diversi dal marketing. Il titolare deve rispondere senza ritardo e comunque entro un mese, prorogabile di due in casi complessi con una comunicazione motivata. La risposta è gratuita, salvo richieste manifestamente eccessive o ripetitive.

Un consiglio che fa la differenza: nella richiesta di accesso chiedi espressamente l’origine dei dati e i destinatari a cui sono stati comunicati. È la parte che le aziende tendono a omettere, ed è quella che ti permette di risalire la catena fino a chi ha venduto il tuo contatto.

I prezzi personalizzati e la pubblicità mirata

Un sito può mostrarti un prezzo diverso in base al tuo profilo, ma deve dirtelo: il Codice del consumo impone di informare il consumatore quando il prezzo è personalizzato sulla base di un processo decisionale automatizzato. Un prezzo personalizzato senza quell’informazione è un’omissione contestabile.

La pubblicità mirata richiede il consenso alla profilazione. Il regolamento europeo sui servizi digitali aggiunge che le piattaforme non possono usare categorie particolari di dati per la pubblicità, non possono profilare i minori a fini pubblicitari, e che le piattaforme di dimensioni molto grandi devono offrire un sistema di raccomandazione non basato sulla profilazione.

Revocare il consenso alla profilazione è un diritto, e l’accesso al servizio non può essere negato per questo quando la profilazione non è necessaria al servizio.

Il reclamo al Garante

Se il titolare non risponde entro il mese, risponde in modo incompleto o rifiuta senza motivo, puoi presentare reclamo al Garante per la protezione dei dati personali: si fa con il modulo online o per posta, non costa nulla e non serve un avvocato.

Che cosa aspettarsi, detto con franchezza: il reclamo può portare a provvedimenti e sanzioni verso l’azienda, con tempi nell’ordine dei mesi, ma non produce un risarcimento per te. Il risarcimento del danno è una causa separata, davanti al giudice.

Il valore pratico del reclamo, quindi, è un altro: far cessare il trattamento e ottenere la cancellazione, che è quasi sempre l’obiettivo reale.

Che cosa fa lo Sportello +Tutela

Lo Sportello +Tutela di Consumerismo scrive la richiesta nel modo che obbliga a una risposta utile, chiedendo origine dei dati e destinatari insieme all’accesso, perché è così che si risale a chi ha ceduto il contatto, e poi imposta l’opposizione al marketing e la cancellazione. Verifica se i consensi raccolti erano liberi e specifici, che è il punto su cui queste pratiche cadono, e se l’informativa risponde alle domande che deve coprire. Prepara il reclamo al Garante quando il titolare non risponde nel mese o risponde in modo incompleto, allegando la prova della richiesta. Dice anche che il reclamo serve a far cessare il trattamento e non a ottenere un risarcimento, che è una strada diversa. La verifica iniziale della posizione è gratuita. Segue la pratica fino alla definizione, nelle condizioni che ti vengono spiegate al primo contatto.

Quali documenti servono

L’informativa del sito o del servizio, le comunicazioni ricevute con i tuoi dati, le schermate dei consensi richiesti e delle impostazioni, la richiesta inviata al titolare con la prova e la data, e la risposta ricevuta o la prova della sua mancanza.

Tempi realistici e possibili esiti

I titolari rispondono di regola entro il mese, con esiti molto variabili sulla completezza: le risposte parziali sono la norma e vanno sollecitate indicando che cosa manca. Il reclamo al Garante ha tempi nell’ordine dei mesi e può portare a provvedimenti e sanzioni, non a un risarcimento individuale. La cessazione del marketing, invece, si ottiene spesso già con la prima richiesta. Lo Sportello prepara le richieste e il reclamo, senza garantire l’esito.

Per approfondire: regolamento UE 2016/679 · Garante per la protezione dei dati personali · Codice del consumo

Per lo Sportello +Tutela puoi anche scrivere a piututela@consumerismo.it o telefonare allo 0694805440.

Domande frequenti

Come faccio a sapere che cosa un’azienda sa di me?

Con una richiesta di accesso al titolare, all’indirizzo indicato nell’informativa, chiedendo quali dati trattano, per quali finalità, da dove li hanno presi, a chi li comunicano, per quanto li conservano, e una copia. Devono rispondere entro un mese e gratuitamente. Se non rispondono, reclamo al Garante.

Ho chiesto la cancellazione dell’account ma ricevo ancora email.

Invia una richiesta formale di cancellazione e di opposizione al marketing, allegando la prova della prima richiesta. L’opposizione al marketing diretto non richiede motivazioni e il titolare deve cessare. Se le email continuano dopo un mese, presenta reclamo al Garante: l’invio dopo l’opposizione è una violazione.

Il sito non mi fa accedere se non accetto i cookie di profilazione: è legale?

Il consenso deve essere libero, quindi condizionare l’accesso alla profilazione quando non è necessaria al servizio è contestabile. I modelli che alternano consenso e pagamento sono oggetto di valutazione da parte delle autorità europee: lo stato va verificato. Nel frattempo rifiuta i cookie non necessari dalle impostazioni e conserva la schermata.

Una decisione automatica mi ha negato un servizio: posso contestarla?

Sì. Per le decisioni basate unicamente su un trattamento automatizzato con effetti significativi hai diritto all’intervento umano, a esprimere la tua posizione e a contestare. Chiedi per iscritto la revisione umana e la spiegazione della logica utilizzata. Se il titolare rifiuta, reclamo al Garante.

Quanto costa il reclamo al Garante?

Nulla, e non serve un avvocato: si presenta con il modulo online o per posta, descrivendo la violazione, le richieste già fatte al titolare e le prove. I tempi sono nell’ordine dei mesi e l’esito può essere un provvedimento o una sanzione verso l’azienda, non un risarcimento per te: per quello serve il giudice.

Mi arrivano email da aziende a cui non ho mai dato i miei dati.

Chiedi l’accesso indicando espressamente che vuoi sapere l’origine dei dati e i destinatari a cui sono stati comunicati: è l’informazione che permette di risalire a chi ha ceduto il contatto. Poi opponiti al marketing e chiedi la cancellazione, e manda la stessa richiesta al soggetto indicato come fonte.

Hai un problema su E-commerce, servizi digitali e piattaforme? Scrivici!