Il diritto più comunemente esercitato ai sensi del GDPR è quello di accesso ai propri dati personali trattati dalle aziende. Dopotutto, spesso è fondamentale sapere se esistono dati personali inesatti o trattati in modo illecito che devono essere corretti o cancellati. Tuttavia, una nuova analisi di casi di dimostra che: solo il 16,5% di tutte le richieste di accesso che noyb ha inviato alle aziende negli ultimi 8 anni ha ricevuto una risposta soddisfacente, mentre il 53,7% delle risposte era incompleto e quasi il 30% non ha ricevuto alcuna risposta. In altre parole: mentre le aziende esercitano pressioni su Bruxelles per limitare il diritto di accesso dei cittadini a causa di un presunto «abuso», il vero problema è proprio il mancato rispetto delle norme da parte di queste stesse aziende.
Nessun “abuso” da parte degli interessati, ma da parte delle aziende. A seguito di intense pressioni da parte delle lobby (in particolare da parte dell’industria tedesca), la proposta “Digital Omnibus” della Commissione europea sostiene che sia necessario limitare i diritti degli interessati ai sensi del GDPR. In particolare, le modifiche proposte includono una limitazione del diritto di accesso (ai sensi dell’ art. 12, comma 5 e 15 del GDPR) a «finalità di protezione dei dati», giustificati da un presunto «abuso» diffuso di tale diritto. Ciò significa, ad esempio, che se un dipendente ricorra a una richiesta di accesso nell’ambito di una controversia di lavoro relativa a ore non retribuite – ad esempio, per ottenere un registro delle ore lavorate – il datore di lavoro potrebbe respingerla in quanto “abusiva”. In pratica, ciò limiterebbe enormemente i diritti di cui godono i cittadini europei nei confronti delle aziende.
Max Schrems: «La Commissione europea ha ceduto a una narrativa di lobbying ampiamente strumentalizzata secondo cui il diritto di accesso sarebbe costantemente ‘abusato’, quando in realtà sono soprattutto le aziende a violare queste leggi.»
Dati reali: l’83,5% delle richieste di accesso non riceve una risposta adeguata. In pratica, tuttavia, il problema principale relativo al diritto di accesso non sono i reclami “abusivi”, ma l’enorme quantità di richieste che non ricevono una risposta adeguata. Ciò spiega anche perché un numero significativo di reclami presentati alle autorità riguardi la mancanza di una risposta completa alle richieste di accesso. Per comprendere meglio come le aziende gestiscono il diritto di accesso, noyb ha analizzato 121 richieste di accesso presentate in relazione a noyb dal 2018*. I risultati sono chiari: solo il 16,5% di tali richieste ha ricevuto una risposta soddisfacente, mentre il 53,7% era incompleto e quasi il 30% non ha ricevuto alcuna risposta. Complessivamente, l’83,5% delle richieste non ha ricevuto una risposta conforme alla legge.
Le grandi aziende tecnologiche raccolgono i tuoi dati, ma non vogliono concederti l’accesso. È evidente che gran parte delle richieste di accesso analizzate sono state presentate alle grandi aziende tecnologiche, che di solito dispongono di strumenti automatizzati per gestirle. Ciononostante, alla maggior parte di esse è stata fornita una risposta incompleta o non è stata fornita alcuna risposta. Osserviamo questo problema in tutte le casi di noyb – e i risultati sarebbero probabilmente peggiori per gli interessati che non dispongono di rappresentanza legale o delle risorse necessarie per inviare più richieste di follow-up. I nostri casi contro TikTok, AliExpress e WeChat ne sono un esempio perfetto: nonostante le ripetute richieste di follow-up a seguito di una risposta incompleta a una richiesta di accesso, le aziende non hanno comunque soddisfatto la richiesta iniziale. Ciò ha reso impossibile ai ricorrenti verificare se i propri dati fossero stati trattati in conformità con il GDPR. Un altro buon esempio è il nostro caso contro il broker pubblicitario Xandr (una controllata di Microsoft), che nel 2022 ha registrato un incredibile tasso di risposta pari allo 0% alle richieste di accesso e cancellazione.
Le richieste di accesso non costituiscono un carico di lavoro rilevante. Allo stesso tempo, un recente pubblicazione sondaggio ha ha chiarito che la maggioranza (oltre il 70%) dei responsabili della protezione dei dati (DPO) che lavorano nelle aziende ritiene che i diritti degli interessati – e il diritto di accesso in particolare – non comportino un carico di lavoro significativo, pur essendo uno strumento utile per la tutela dei diritti delle persone.
Nulla è definitivo. Fortunatamente, le proposte della Commissione volte a modificare il GDPR sono proprio questo: proposte. Il “Digital Omnibus” è attualmente ancora in discussione al Parlamento europeo e in seno al Consiglio e ha già incontrato una forte opposizione. noyb lavora costantemente per tutelare e rafforzare i diritti degli interessati. Dopotutto, questa analisi dimostra chiaramente che l’applicazione (e il rispetto) del diritto di accesso da parte delle autorità è già carente. Un’ulteriore restrizione danneggerebbe milioni di persone in Europa.
*Nota sulla metodologia: abbiamo analizzato tutte le richieste di accesso presentate in relazione ai casi di noyb dal 2018. Abbiamo poi fatto in modo di includere al massimo due richieste per azienda, per non distorcere il quadro. Ciò ci ha portato a un totale di 121 richieste di accesso.
