Il diritto di accesso svolge una funzione strategica sia nel GDPR, sia nella LPD: esso, insieme all’obbligo di informare, sostanzia il principio di trasparenza del trattamento dei dati personali. Trasparenza e consapevolezza sono funzionali all’esercizio di quel potere di controllo riconosciuto alla persona interessata sull’uso dei propri dati personali, in attuazione del principio di autodeterminazione informativa che è espressione diretta della tutela della personalità.
La LPD del 1992, a seguito di successivi aggiornamenti, già prevedeva il diritto di accesso ma la nuova LPD amplia le informazioni che devono essere fornite all’interessato che esercita il proprio diritto di accesso. La relativa disciplina è contenuta sia nella nuova LPD sia nella OPDa.
Il diritto di accesso soddisfa l’esigenza di garantire all’interessato, insieme all’obbligo del titolare di informare, la conoscibilità (trasparenza) dell’uso dei dati e delle relative modalità.
Il diritto di accesso si scompone in due distinte istanze:
- quella di conoscere se il titolare del trattamento sta utilizzando dati personali del richiedente
- quella di conoscere modalità e contenuti del trattamento dei propri dati.
Quali sono le informazioni da fornire?
Il contenuto delle informazioni da fornire alla persona interessata è indicato nella legge solo in misura minimale. Questo lo si desume dal fatto che al titolare il legislatore richiede di garantire «un trattamento trasparente dei dati» e che «[a]lla persona interessata sono fornite le informazioni necessarie affinché possa far valere i suoi diritti secondo la presente legge», quindi, la legge vuole dal titolare il raggiungimento di un risultato, piuttosto che un’azione specifica. Questa interpretazione è anche avvalorata dal ricorso all’espressione «In ogni caso le sono fornite le informazioni seguenti» con la quale il testo normativo introduce la lista delle informazioni da rilasciare all’interessato richiedente; nello specifico:
- informazioni sull’identità e le coordinate del titolare del trattamento
- i dati personali trattati
- lo scopo del trattamento
- la durata di conservazione dei dati o, se ciò non è possibile, i criteri per stabilire tale durata
- informazioni sulla provenienza dei dati, se non sia stato l’interessato stesso a fornirli
- l’eventuale esistenza di una decisione individuale automatizzata nonché della logica su cui si fonda la decisione
- i destinatari o le categorie di destinatari cui i dati sono stati eventualmente comunicati
- lo Stato di destinazione dei dati e le garanzie previste per questi trasferimenti di dati.
Ulteriore precisazione interpretativa riguarda l’espressione «se del caso», riportata con riferimento alle ultime tre tipologie di informazioni da fornire, come da elenco riportato sopra. Tale espressione vuole rappresentare che le circostanze sottostanti a tali informazioni sono solo eventuali; di conseguenza, se esse nel caso specifico sussistono, le richiamate informazioni vanno obbligatoriamente fornite all’interessato richiedente.
Come funziona l’esercizio del diritto di accesso?
L’esercizio del diritto di accesso, nei riguardi di titolari sia privati sia organi federali, non può essere in alcun modo condizionato, non è suscettibile di preventiva rinuncia, è gratuito, salvo che la raccolta e fornitura delle informazioni comporti un onere sproporzionato; in tal caso il contributo alle spese, da comunicare in anticipo all’interessato che può accettare entro 10 giorni, non potrà mai superare la somma di 300 franchi.
Richiesta e risposta vanno fornite per iscritto, i dati sono prodotti in modo comprensibile per l’interessato che va identificato con misure adeguate.
Per la richiesta di accesso si può utilizzare un modello reso disponibile dall’IFPDT, e le informazioni devono essere rilasciate, di norma, entro 30 giorni, altrimenti informando l’interessato richiedente in caso di ritardo, entro lo stesso termine. La richiesta non va motivata, mentre la motivazione risulta necessaria in caso di rifiuto, limitazione o differimento, per permettere alla persona interessata di verificarne la fondatezza.
Se la richiesta viene inoltrata a un organo federale, quest’ultimo risponde con una decisione suscettibile di impugnazione con ricorso. Eventuali contenziosi in questo ambito sono esonerati dal pagamento delle spese processuali.
Eccezioni al diritto di accesso
La legge ammette che Il titolare del trattamento possa rifiutare, limitare o differire l’informazione nelle seguenti casistiche:
- lo prevede una legge in senso formale, segnatamente per tutelare un segreto professionale;
- lo esigono interessi preponderanti di terzi; o
- la domanda d’accesso è manifestamente infondata o pretestuosa
- se il titolare è un privato, lo esigono i suoi interessi preponderanti, e non comunica i dati personali a terzi (salvo che si tratti di comunicazioni infra-gruppo)
- se il titolare è un organo federale, lo esige un interesse pubblico preponderante o la fornitura delle informazioni rischia di compromettere un’indagine, un’istruzione o un procedimento giudiziario o amministrativo.
Sono previste restrizioni del diritto di accesso anche nei confronti dei mezzi di comunicazione di massa.
