Se uno studio legale o un cliente titolare del trattamento non risponde a un’istanza di esercizio dei diritti entro 30 giorni (prorogabili a 90 in casi complessi), l’interessato può presentare reclamo direttamente al Garante per la protezione dei dati personali. Il Garante avvia un’istruttoria formale che può chiudersi con sanzioni fino a 20 milioni di euro o il 4% del fatturato mondiale annuo. La tracciabilità interna delle istanze ricevute e il coinvolgimento del DPO sono le prime difese concrete contro questo rischio.
Punti chiave
- Punto 1 — Il termine per rispondere a un’istanza GDPR è 30 giorni, prorogabili a 90 con comunicazione motivata.
- Punto 2 — Ogni istanza ignorata può diventare un reclamo al Garante e aprire un’istruttoria formale.
- Punto 3 — Il DPO e un registro interno delle istanze ricevute sono strumenti difensivi decisivi in sede sanzionatoria.
Uno studio legale che assiste titolari del trattamento — o che è esso stesso titolare — deve trattare ogni istanza ex artt. 15-22 GDPR come una scadenza processuale: perentoria, tracciabile, con conseguenze immediate in caso di inadempimento. La mancata risposta non è una dimenticanza amministrativa: è un illecito autonomo che genera un procedimento davanti al Garante indipendentemente dalla fondatezza della richiesta dell’interessato.
Lo segnala anche un’analisi pubblicata da Agenda Digitale, che sottolinea come la risposta tardiva o assente alle istanze di accesso, rettifica, cancellazione e portabilità rappresenti uno dei principali trigger di reclami al Garante e di istruttorie formali a carico dei titolari.
Il contesto normativo
Gli artt. 15-22 del Reg. UE 2016/679 (GDPR) disciplinano i diritti dell’interessato: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e quelli connessi alle decisioni automatizzate. L’art. 12 GDPR fissa il termine ordinario di risposta in 30 giorni dalla ricezione dell’istanza, prorogabili fino a 90 giorni per complessità o numero elevato di richieste, ma solo con comunicazione motivata all’interessato entro il primo mese. In caso di violazione, l’art. 83, par. 5, GDPR prevede sanzioni fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo. Il Garante italiano ha già applicato questo schema: si vedano i provvedimenti n. 9860672/2023 e n. 9978214/2024, in cui la mancata risposta alle istanze ha costituito autonomo presupposto sanzionatorio, distinto dalle violazioni sul merito del trattamento.
Cosa cambia per lo studio
- Registra ogni istanza in entrata con data certa. Un semplice log interno — anche su foglio condiviso — che riporti mittente, data di ricezione, tipo di diritto esercitato e scadenza dei 30 giorni è sufficiente per dimostrare la gestione attiva in sede di istruttoria. Senza questo registro, il Garante presume l’inerzia.
- Coinvolgi subito il DPO, se nominato. Il Responsabile della protezione dei dati non è un consulente esterno da interpellare solo in emergenza: deve essere parte del flusso ordinario di gestione delle istanze. La sua traccia nel processo è un elemento difensivo concreto.
- Distingui le istanze manifestamente infondate. L’art. 12, par. 5, GDPR consente di rifiutare o addebitare un costo ragionevole per le richieste ripetitive o pretestuose, ma il titolare deve poterlo dimostrare. Documentare il carattere abusivo dell’istanza prima di non rispondere è essenziale: il silenzio non motivato non è mai una scelta sicura.
- Prepara template di risposta differenziati. Accoglimento totale, accoglimento parziale con motivazione, rigetto con indicazione del diritto di reclamo al Garante: tre formati che coprono il 90% delle situazioni e riducono il rischio di risposte generiche o incomplete che il Garante considera equivalenti al silenzio.
- Verifica la posizione dei clienti titolari. Se assisti aziende in materia di compliance GDPR, un audit sulla gestione delle istanze ricevute negli ultimi 12 mesi è oggi uno degli interventi a più alto impatto preventivo.
Attenzione a
Confondere il termine con la data di risposta effettiva. I 30 giorni decorrono dalla ricezione dell’istanza, non dal momento in cui lo studio la prende in carico. Una richiesta arrivata via PEC il 1° del mese deve avere risposta entro il 31, anche se il cliente l’ha girata allo studio il giorno 20. Stabilire con i clienti un protocollo di inoltro immediato delle istanze è una clausola contrattuale da inserire nei mandati di assistenza privacy.
Sottovalutare il reclamo successivo come mera formalità. Il procedimento davanti al Garante che nasce da un reclamo per mancata risposta ha tempi propri e può chiudersi con un provvedimento inibitorio, un ammonimento o una sanzione pecuniaria, anche in assenza di danno concreto per l’interessato. La cooperazione attiva con l’Autorità durante l’istruttoria — fornire documentazione, rispondere nei termini, indicare le misure correttive adottate — incide significativamente sull’entità della sanzione finale.
Domande frequenti
Cosa succede se non rispondo a una richiesta di accesso ai dati personali entro 30 giorni?
L’interessato può presentare reclamo al Garante per la protezione dei dati personali. Il Garante avvia un’istruttoria formale che può concludersi con un ammonimento, un provvedimento inibitorio o una sanzione pecuniaria fino a 20 milioni di euro o al 4% del fatturato annuo mondiale, ai sensi dell’art. 83, par. 5, GDPR, indipendentemente dal merito della richiesta originaria.
Posso prorogare i 30 giorni per rispondere a un’istanza GDPR?
Sì, l’art. 12 GDPR consente una proroga fino a 90 giorni complessivi in caso di richieste complesse o numerose. La proroga deve però essere comunicata all’interessato entro i primi 30 giorni, con indicazione dei motivi del ritardo. Senza questa comunicazione tempestiva, la proroga non è valida e il titolare risulta inadempiente dalla scadenza ordinaria.
Come ci si difende durante un’istruttoria del Garante per mancata risposta a un’istanza GDPR?
Le difese più efficaci sono la documentazione della ricezione dell’istanza con data certa, il log interno delle richieste gestite, la prova del coinvolgimento del DPO e la dimostrazione delle misure correttive adottate dopo la contestazione. La cooperazione attiva con il Garante durante l’istruttoria è un fattore attenuante esplicito nell’applicazione delle sanzioni.
Fonte di riferimento: AgendaDigitale