Richiesta di accesso ai dati personali: cosa fare quando arriva
Una guida pratica per scuole, PMI e professionisti su come gestire una richiesta di accesso ai sensi dell’art. 15 del GDPR. Tempi, obblighi, casi particolari, errori da evitare.
Lo scenario
Un genitore invia un’email alla scuola: “Chiedo di sapere quali dati personali di mio figlio trattate, a chi li comunicate e per quanto tempo li conservate.”
Un ex dipendente scrive all’azienda: “Ai sensi dell’art. 15 del GDPR, chiedo accesso a tutti i miei dati personali in vostro possesso.”
Un cliente invia una PEC: “Vi chiedo copia di tutti i dati che avete raccolto su di me.”
Queste richieste arrivano. E quando arrivano, la maggior parte delle organizzazioni non sa cosa fare, come rispondere, entro quanto tempo, e cosa succede se non risponde.
Il diritto di accesso ai dati personali (art. 15 GDPR) è un diritto fondamentale dell’interessato. Il titolare del trattamento ha l’obbligo di rispondere. Il silenzio, o una risposta evasiva, è una violazione del GDPR. Il Tribunale di Torino (5 febbraio 2025) lo ha ribadito in modo netto.
Cosa dice l’art. 15 del GDPR
L’interessato ha il diritto di ottenere dal titolare del trattamento:
- La conferma che sia o meno in corso un trattamento dei suoi dati personali
- L’accesso ai dati personali trattati
- Le finalità del trattamento
- Le categorie di dati trattati
- I destinatari o le categorie di destinatari a cui i dati sono stati o saranno comunicati
- Il periodo di conservazione previsto, o i criteri per determinarlo
- L’esistenza dei diritti di rettifica, cancellazione, limitazione, opposizione
- Il diritto di reclamo all’autorità di controllo
- Se i dati non sono raccolti presso l’interessato, tutte le informazioni sulla fonte
- L’esistenza di processi decisionali automatizzati, inclusa la profilazione
- Le garanzie adeguate in caso di trasferimento dati verso Paesi terzi
Inoltre, il titolare deve fornire una copia dei dati personali oggetto di trattamento. La prima copia è gratuita. Per copie ulteriori, il titolare può addebitare un contributo ragionevole basato sui costi amministrativi.
I tempi: quanto hai per rispondere
Il titolare deve rispondere entro 30 giorni dal ricevimento della richiesta. Non dal momento in cui ne prende conoscenza — dal momento in cui la riceve. Il termine decorre dalla ricezione, indipendentemente da chi la legge o quando.
| Situazione | Termine | Cosa fare |
|---|---|---|
| Richiesta semplice | 30 giorni | Rispondere con le informazioni e la copia dei dati |
| Richiesta complessa | Fino a 90 giorni | Comunicare entro 30 giorni la necessità di proroga, spiegando i motivi. Poi rispondere entro i 60 giorni aggiuntivi. |
| Necessità di verificare l’identità | Il termine è sospeso | Chiedere informazioni aggiuntive per verificare l’identità del richiedente. Il termine riprende dalla ricezione della verifica. |
| Richiesta manifestamente infondata o eccessiva | 30 giorni | Il titolare può rifiutare motivando il diniego, oppure addebitare un contributo spese ragionevole. |
| Diniego | 30 giorni | Anche in caso di rifiuto, il titolare deve rispondere entro 30 giorni, motivando il diniego e informando l’interessato del diritto di reclamo al Garante. |
La procedura: cosa fare passo dopo passo
Protocolla la richiesta
Registra la richiesta nel protocollo (se sei una PA) o in un registro interno delle richieste degli interessati. Annota: data di ricevimento, identità del richiedente, canale (email, PEC, raccomandata, verbale), oggetto della richiesta. Il termine di 30 giorni parte da questa data.
Verifica l’identità del richiedente
Prima di consegnare dati personali, devi essere certo che chi li chiede sia effettivamente l’interessato (o un suo delegato con procura). Se la richiesta arriva da un indirizzo email non riconoscibile o da un canale non verificabile, chiedi un documento di identità. Se un genitore chiede per un figlio minore, verifica la potestà genitoriale.
Mappa i dati
Identifica tutti i sistemi in cui sono presenti dati personali del richiedente: database, email, fogli di calcolo, archivi cartacei, servizi cloud, log di accesso, Google Workspace, registro elettronico, gestionali. Non limitarti al sistema principale — i dati sono spesso frammentati tra più strumenti.
Coinvolgi i responsabili esterni
Se parte dei dati è trattata da responsabili esterni (es. Google per Workspace, fornitore del registro elettronico, consulente paghe), coinvolgili. L’art. 28 del GDPR prevede che il responsabile fornisca supporto e assistenza al titolare per rispondere alle richieste degli interessati. Deve essere scritto nel contratto.
Prepara la risposta
La risposta deve contenere: le informazioni richieste dall’art. 15 (finalità, categorie, destinatari, conservazione, diritti, fonte, trasferimenti) e una copia dei dati personali. La copia può essere un export dal sistema, un PDF, un foglio di calcolo — in formato strutturato e leggibile. Se la richiesta è elettronica, fornisci i dati in formato elettronico.
Oscura i dati di terzi
La copia dei dati non deve ledere i diritti e le libertà altrui. Se nei dati del richiedente sono presenti dati di altre persone (es. email con nomi di altri studenti, fascicolo disciplinare con segnalazioni di colleghi), oscura i dati dei terzi. Non rifiutare la richiesta — oscura e consegna.
Invia la risposta con tracciabilità
Rispondi per PEC, raccomandata A/R, o email con conferma di lettura. La tracciabilità è essenziale per dimostrare di aver risposto nei termini. Conserva copia della risposta e della ricevuta di consegna.
Registra tutto
Aggiorna il registro delle richieste degli interessati: data di ricevimento, data di risposta, esito (accoglimento totale, parziale, diniego), eventuali proroghe. Il registro è la prova della tua accountability in caso di ispezione.
Casi particolari
Richiesta da un genitore per un figlio minore
I genitori o i tutori legali possono esercitare i diritti per conto dei figli minorenni. Verifica la potestà genitoriale. Se il minore ha più di 14 anni, in alcuni contesti può esercitare i diritti autonomamente (es. servizi della società dell’informazione, art. 8 GDPR). Nella scuola, la richiesta del genitore è sempre legittima per studenti minorenni.
Richiesta tramite un delegato o un avvocato
L’interessato può farsi rappresentare da un delegato con procura scritta o da un avvocato. In questo caso, chiedi copia della delega o del mandato professionale prima di rispondere.
Richiesta di accesso ai dati in ambito lavorativo
Un dipendente o ex dipendente può chiedere accesso a tutti i dati personali trattati dal datore di lavoro: fascicolo personale, email aziendali, log di accesso, valutazioni, comunicazioni interne che lo riguardano. Il datore non può rifiutare — può solo oscurare i dati di terzi e i segreti aziendali, motivando ogni scelta.
Richiesta relativa a una casella email aziendale/scolastica
Le email inviate e ricevute con un account istituzionale contengono dati personali. L’interessato ha diritto di accesso. Il titolare può oscurare dati di terzi ma non può negare l’accesso all’intero archivio.
Richiesta quando non tratti dati del richiedente
Se non hai dati del richiedente, devi comunque rispondere entro 30 giorni comunicando che non è in corso alcun trattamento che lo riguarda. Il silenzio non è mai una risposta legittima.
Richieste delle autorità pubbliche e casi sensibili
Oltre alle richieste degli interessati, la scuola (o qualsiasi titolare del trattamento) può ricevere richieste di accesso ai dati da parte di autorità pubbliche. Queste richieste seguono regole diverse e richiedono attenzione particolare.
Richieste dell’autorità giudiziaria e delle forze dell’ordine
Quando un magistrato, la Polizia Giudiziaria o la Polizia Postale richiedono dati personali nell’ambito di un procedimento penale, il titolare è obbligato a fornirli. La base giuridica è l’obbligo legale (art. 6, par. 1, lett. c) del GDPR) e l’esecuzione di un compito di interesse pubblico (art. 6, par. 1, lett. e).
In questi casi:
- Verificare che la richiesta sia formale (decreto di sequestro, ordine di esibizione, richiesta su carta intestata con riferimento al procedimento)
- Non è necessario il consenso dell’interessato — anzi, nella maggior parte dei casi l’interessato non deve essere informato della richiesta per non compromettere le indagini
- Fornire esclusivamente i dati richiesti, niente di più
- Documentare la richiesta e la risposta nel registro dei trattamenti
- Conservare copia della richiesta dell’autorità come giustificazione del trattamento
Cyberbullismo: il ruolo della scuola
La Legge 71/2017 (aggiornata dalla L. 70/2024) assegna alla scuola un ruolo centrale nella prevenzione e nel contrasto del cyberbullismo. Quando si verifica un episodio, i dati personali degli studenti coinvolti possono essere oggetto di molteplici richieste:
| Chi chiede | Cosa può chiedere | Come comportarsi |
|---|---|---|
| Il minore vittima (>14 anni) o i suoi genitori | Oscuramento, rimozione o blocco dei contenuti offensivi pubblicati online. Richiesta diretta al gestore del sito o al titolare del trattamento. | Se i contenuti sono su piattaforme della scuola (Classroom, sito), la scuola deve provvedere entro 48 ore. Se il contenuto è su social esterni, la scuola può supportare la famiglia nella segnalazione. |
| Il Garante Privacy | Se il gestore/titolare non provvede entro 48 ore, il minore o la famiglia può segnalare al Garante (cyberbullismo@gpdp.it). Il Garante interviene entro 48 ore e può chiedere dati alla scuola. | Rispondere tempestivamente e fornire tutti i dati richiesti. La base giuridica è l’obbligo legale. |
| Il Questore | Nell’ambito della procedura di ammonimento (art. 7 L. 71/2017), può richiedere informazioni alla scuola sugli episodi segnalati. | Fornire le informazioni richieste. Documentare tutto. |
| La Polizia Postale | Log di accesso, email, contenuti pubblicati, identità degli account coinvolti nell’ambito di indagini penali. | Fornire i dati richiesti. Non informare gli studenti coinvolti se ciò potrebbe compromettere le indagini. |
Il dirigente scolastico che viene a conoscenza di atti di cyberbullismo è tenuto a informare tempestivamente i genitori dei minori coinvolti e ad attivare adeguate azioni educative (art. 5 L. 71/2017). Nei casi più gravi, o se le iniziative educative non hanno avuto esito, deve rivolgersi alle autorità competenti. La mancata segnalazione può configurare responsabilità disciplinare e, in casi estremi, omissione di atti d’ufficio.
Separazioni, affidamento e violenza familiare
La scuola si trova spesso al centro di situazioni familiari conflittuali. In questi casi, le richieste di accesso ai dati possono diventare uno strumento improprio nel conflitto tra genitori. Ecco le casistiche più comuni:
| Scenario | Come comportarsi |
|---|---|
| Entrambi i genitori chiedono accesso ai dati del figlio | In regime di affidamento condiviso (art. 337-ter c.c.), entrambi i genitori hanno diritto di accesso ai dati del figlio. Fornire i dati a entrambi, salvo provvedimento del giudice che disponga diversamente. |
| Un genitore chiede che l’altro non abbia accesso ai dati | La scuola non può limitare l’accesso di un genitore ai dati del figlio sulla base della sola richiesta dell’altro genitore. Serve un provvedimento del giudice. Senza provvedimento, i dati vanno forniti a entrambi. |
| Esiste un provvedimento di allontanamento o un ordine restrittivo | Se esiste un provvedimento del giudice che limita i diritti di un genitore (decadenza dalla responsabilità genitoriale, ordine di allontanamento, misura cautelare), la scuola non deve fornire dati al genitore destinatario del provvedimento. Richiedere e conservare copia del provvedimento. |
| Un avvocato chiede dati per conto di un genitore | Verificare la procura. L’avvocato ha diritto di accesso ai dati del minore solo se ha una delega valida dal genitore che ha la responsabilità genitoriale. |
| I servizi sociali chiedono dati | Se la richiesta è nell’ambito di un incarico del Tribunale per i Minorenni, la scuola è tenuta a fornire i dati richiesti. La base giuridica è l’obbligo legale. Verificare che la richiesta contenga il riferimento al provvedimento del giudice. |
| Sospetto di violenza o abuso su minore | Il dirigente scolastico, come pubblico ufficiale, ha l’obbligo di segnalazione all’autorità giudiziaria (art. 331 c.p.p.) e alla Procura della Repubblica presso il Tribunale per i Minorenni. In questi casi, la scuola trasmette le informazioni necessarie senza attendere una richiesta formale e senza informare il genitore sospettato. |
In situazioni di conflitto familiare, la scuola non prende posizione tra i genitori. Applica la legge: in assenza di un provvedimento del giudice che limiti i diritti di un genitore, entrambi hanno gli stessi diritti di accesso ai dati del figlio. In presenza di un provvedimento, lo rispetta alla lettera. In caso di dubbio, coinvolgere il DPO e, se necessario, richiedere un parere legale prima di rispondere.
Ispezioni del Garante e della Guardia di Finanza
Il Garante per la Protezione dei Dati Personali può disporre ispezioni, anche tramite il Nucleo Speciale Tutela Privacy della Guardia di Finanza. Durante un’ispezione, possono essere richiesti:
- Il registro dei trattamenti (art. 30 GDPR)
- Le informative privacy pubblicate
- I contratti con i responsabili esterni (art. 28 GDPR)
- La documentazione sulle misure di sicurezza adottate
- Il registro delle richieste degli interessati e le risposte fornite
- La DPIA, se effettuata
- I log di accesso ai sistemi informatici
- Qualsiasi dato personale trattato dall’organizzazione
La collaborazione con gli ispettori è obbligatoria. L’ostruzione o il rifiuto di fornire informazioni durante un’ispezione è sanzionato autonomamente.
Prepara un “fascicolo ispettivo” con tutti i documenti che potrebbero essere richiesti durante un’ispezione: registro trattamenti, informative, contratti art. 28, procedure per l’esercizio dei diritti, registro delle richieste, DPIA. Tienilo aggiornato e accessibile. Se arriva l’ispezione, sai dove trovare tutto.
Quando puoi rifiutare
Il diritto di accesso non è assoluto. Il titolare può rifiutare o limitare la risposta in casi specifici:
- Richieste manifestamente infondate o eccessive — in particolare se ripetitive (l’EDPB suggerisce un criterio di 15 giorni tra richieste con oggetto identico). Il titolare deve dimostrare il carattere infondato o eccessivo.
- Tutela dei diritti e delle libertà altrui — se fornire i dati comprometterebbe i diritti di terze persone (es. segnalanti in un procedimento disciplinare). Oscura, non rifiutare.
- Sicurezza nazionale, difesa, ordine pubblico — limitazioni previste dall’art. 23 GDPR e dal D.Lgs. 196/2003.
- Segreto professionale — in ambiti specifici (sanitario, forense).
In ogni caso di diniego, il titolare deve: motivare il rifiuto per iscritto, informare l’interessato del diritto di proporre reclamo al Garante, informare l’interessato della possibilità di ricorso giurisdizionale.
Il diniego non motivato, o la mancata risposta entro i termini, espone il titolare a sanzioni del Garante (fino a 20 milioni di euro o 4% del fatturato annuo) e a un’azione giudiziaria da parte dell’interessato.
Gli errori più comuni
Non rispondere
Il silenzio è la violazione più grave. Il Garante e il Tribunale di Torino (2025) lo hanno ribadito: anche una risposta evasiva è inadeguata. Il titolare deve rispondere sempre, anche se la risposta è un diniego motivato o la comunicazione che non tratta dati del richiedente.
Confondere accesso ai dati con accesso ai documenti
L’art. 15 GDPR riguarda l’accesso ai dati personali, non l’accesso agli atti amministrativi (L. 241/1990) o all’accesso civico (D.Lgs. 33/2013). Sono diritti diversi, con procedure diverse. Una richiesta di copia della “cartella sanitaria” non è una richiesta di accesso ai documenti — è una richiesta di accesso ai dati personali contenuti in quella cartella.
Chiedere un contributo spese per la prima copia
La prima copia dei dati è sempre gratuita. Il contributo spese può essere chiesto solo per copie ulteriori o per richieste manifestamente eccessive. Il Garante ha sanzionato organizzazioni che condizionavano la risposta al pagamento di un contributo.
Rifiutare in blocco perché ci sono dati di terzi
La presenza di dati di terze persone non è un motivo per rifiutare la richiesta. Oscura i dati di terzi e consegna il resto. Il rifiuto totale è quasi sempre ingiustificato.
Non avere una procedura documentata
Se la richiesta arriva e nessuno sa cosa fare, chi la gestisce, dove cercare i dati, come rispondere — il problema non è la richiesta, è l’assenza di una procedura. Documentala prima che arrivi la richiesta, non dopo.
Il caso specifico della scuola
Nelle scuole italiane, le richieste di accesso ai dati arrivano tipicamente da:
- Genitori che chiedono quali dati del figlio tratta la scuola e con chi li condivide
- Docenti o personale ATA che chiedono accesso al proprio fascicolo personale
- Ex studenti che chiedono dati conservati dopo la fine del percorso scolastico
Il dirigente scolastico, in quanto titolare del trattamento, è responsabile della risposta. Il DPO lo supporta. Il referente ICT può essere coinvolto per l’estrazione dei dati dai sistemi informatici (registro elettronico, Google Workspace, gestionali).
I dati da cercare sono distribuiti tra: registro elettronico, Google Workspace (email, Drive, Classroom), segreteria didattica, segreteria del personale, archivi cartacei, eventuali piattaforme didattiche terze.
Prepara un modulo standard per la richiesta di accesso ai dati e pubblicalo sul sito della scuola. Facilita l’esercizio dei diritti (obbligo del titolare, art. 12 GDPR) e ti permette di ricevere richieste strutturate, più facili da gestire.
Struttura della risposta
Una risposta completa e conforme deve contenere:
- Intestazione: riferimento alla richiesta (data, protocollo), identità del titolare, contatti del DPO
- Conferma del trattamento: “Confermiamo che sono in corso trattamenti di dati personali che La riguardano” (oppure: “Non è in corso alcun trattamento”)
- Informazioni sul trattamento: finalità, basi giuridiche, categorie di dati, destinatari, trasferimenti extra-UE, periodo di conservazione
- Copia dei dati: in allegato, in formato strutturato e leggibile
- Diritti dell’interessato: rettifica, cancellazione, limitazione, opposizione, portabilità, reclamo al Garante
- Informazioni sulla fonte: se i dati non sono stati raccolti direttamente presso l’interessato
- Firma del titolare o del suo delegato
La risposta deve essere concisa, trasparente, in linguaggio semplice e chiaro (art. 12 GDPR). Deve essere fornita per iscritto, o in formato elettronico se la richiesta è arrivata per via elettronica.
Checklist operativa
Alla ricezione della richiesta
Preparazione della risposta
Invio e archiviazione
Riferimenti normativi
| Norma | Ambito |
|---|---|
| Art. 15 GDPR | Diritto di accesso dell’interessato |
| Art. 12 GDPR | Modalità trasparenti per l’esercizio dei diritti — termini, forma, gratuità |
| Artt. 16-22 GDPR | Diritti di rettifica, cancellazione, limitazione, portabilità, opposizione |
| Art. 28 GDPR | Obbligo del responsabile di supportare il titolare nelle richieste degli interessati |
| Art. 77 GDPR | Diritto di reclamo all’autorità di controllo |
| Linee guida EDPB 01/2022 | Linee guida sul diritto di accesso (adottate 28 marzo 2023) |
| Tribunale di Torino, 5/02/2025 | Obbligo di risposta — il silenzio viola il GDPR |
| L. 71/2017 (agg. L. 70/2024) | Prevenzione e contrasto del cyberbullismo — obblighi della scuola, procedura di oscuramento, ammonimento |
| Art. 337-ter c.c. | Affidamento condiviso — diritti di entrambi i genitori sui dati del figlio |
| Art. 331 c.p.p. | Obbligo di denuncia del pubblico ufficiale — segnalazione di reati su minori |
| Provv. Garante n. 529/2025 | Responsabilità del dirigente scolastico come titolare del trattamento |
Questo articolo non costituisce parere legale. Ha l’obiettivo di fornire una guida pratica a scuole, PMI, professionisti e associazioni sulla gestione delle richieste di accesso ai dati personali. Per situazioni complesse o contenziose, rivolgersi a un professionista.