Riconoscere la richiesta e assegnarla correttamente
Una richiesta privacy non dovrebbe essere gestita come un semplice messaggio informale al ricevente. Il titolare deve avere un percorso per identificarla, verificarne il perimetro e rispondere secondo la disciplina applicabile. Il DPO, se designato, supporta la valutazione nell’ambito dei propri compiti.
La funzione che riceve la richiesta non deve ottenere automaticamente accesso al fascicolo completo. È possibile organizzare il coordinamento con il gestore limitando la circolazione delle informazioni a quelle necessarie per decidere e predisporre la risposta.
L’accesso ai dati non equivale alla consegna indiscriminata degli atti
Occorre distinguere i dati personali dell’interessato dai documenti che contengono anche informazioni su altre persone. Una segnalazione può includere dati del segnalante, testimoni e soggetti estranei al fatto. La risposta va costruita tenendo conto della protezione di questi dati e delle specifiche regole di riservatezza.
Non è corretto allegare il fascicolo integrale soltanto perché la richiesta contiene la parola accesso. Allo stesso modo, non basta affermare genericamente che ogni documento whistleblowing è sottratto a qualsiasi valutazione dei diritti.
Applicare i limiti previsti dal Codice privacy
L’articolo 13 del D.Lgs. 24/2023 richiama l’articolo 2-undecies del Codice privacy. Quest’ultimo disciplina limitazioni quando l’esercizio dei diritti può arrecare un pregiudizio effettivo e concreto agli interessi indicati, compresa la riservatezza dell’identità del segnalante.
Il differimento, la limitazione o l’esclusione devono essere valutati nei limiti e per il tempo necessari e proporzionati. La disciplina prevede una comunicazione motivata, salvo che essa comprometta la finalità della limitazione, e la possibilità di esercitare i diritti tramite il Garante secondo le modalità previste.
Tenere distinta la difesa nei procedimenti
La gestione dei diritti privacy deve essere coordinata con le regole degli eventuali procedimenti disciplinari o giudiziari. L’articolo 12 contiene disposizioni specifiche sulla riservatezza e sulle condizioni di utilizzo delle informazioni, che non possono essere sostituite da una formula standard del modulo privacy.
Il gestore non dovrebbe promettere anticipatamente a nessuna delle parti né una segretezza senza eccezioni né l’accesso integrale a ogni documento. Quando sono coinvolti diritti di difesa e procedimenti, serve una valutazione del caso con le competenze necessarie.
Preparare il processo prima della prima richiesta
Una procedura interna può definire referenti, modalità di consultazione del DPO e registrazione delle decisioni. Il fornitore tecnico può assistere nelle operazioni previste dal contratto, ma non sostituisce il titolare nella valutazione giuridica della richiesta.
- Identificare i dati e il periodo cui si riferisce la richiesta.
- Valutare diritti di terzi e possibili pregiudizi concreti.
- Documentare motivi e durata delle eventuali limitazioni.
- Predisporre una risposta proporzionata e i necessari riesami.
- Mantenere riservati anche i documenti prodotti durante questa valutazione.
Domande frequenti
La persona segnalata perde i diritti GDPR?
No. Possono applicarsi limitazioni specifiche, da valutare secondo la legge e il caso concreto.
Il fornitore della piattaforma decide se dare accesso?
La decisione compete al titolare secondo l’organizzazione e la normativa applicabili; il fornitore presta l’assistenza tecnica dovuta.
