Gli artt. 16, 18 e 21 del GDPR prevedono altri importanti diritti in capo al soggetto interessato quali: il diritto di rettifica dei dati; il diritto di limitazione del trattamento e il diritto di opposizione.
Il diritto di rettifica, pur essendo già in precedenza riconosciuto sia nel diritto europeo sia nell’ordinamento italiano, trova nel GDPR una più forte affermazione (art. 16: “L’interessato ha il diritto di ottenere dal titolare del trattamento la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo. Tenuto conto delle finalità del trattamento, l’interessato ha il diritto di ottenere l’integrazione dei dati personali incompleti, anche fornendo una dichiarazione integrativa”). Rientra infatti tra gli obiettivi di fondo del Regolamento permettere all’interessato di mantenere un controllo costante e attivo sui propri dati e sull’utilizzo che ne viene fatto: da questa prospettiva si intuisce che la possibilità di far correggere o modificare i dati quando gli stessi risultino errati, non aggiornati o insufficienti è una condizione imprescindibile, anche per evitare che da eventuali trasferimenti ed attività conseguano gravi pregiudizi per l’interessato, ma anche per il titolare (si pensi ad esempio alle conseguenze di un’operazione di profilazione effettuata su dati errati). In particolare, quindi, attraverso il riconoscimento di questo diritto l’interessato avrà la possibilità di ottenere dal titolare del trattamento la correzione senza ritardo dei dati inesatti che lo riguardano. Inoltre, tenuto conto delle finalità del trattamento, l’interessato potrà ottenere l’integrazione dei propri dati incompleti, anche fornendo una dichiarazione integrativa. È opportuno che anche per l’esercizio di questo diritto siano predisposti strumenti e sistemi in grado di facilitare l’accesso diretto dell’interessato alle informazioni che lo riguardano, così da permettergli di intervenire prontamente e, per quanto possibile, autonomamente per modificare dai dati inesatti.
Il diritto di limitazione del trattamento è invece stato introdotto ex novo dal GDPR, anche se per certi versi poteva ricavarsi in via interpretativa dalle precedenti disposizioni. Tale diritto presenta, ad ogni modo, caratteri innovativi e più ampi rispetto a quelli già delineati dalle regole in materia, come può emergere dal confronto con l’art. 7, comma 3 del Codice Privacy, che non conteneva alcun riferimento alla “limitazione” (secondo tale articolo, infatti: “L’interessato ha diritto di ottenere: a) l’aggiornamento, la rettificazione ovvero, quando vi ha interesse, l’integrazione dei dati; b) la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati; c) l’attestazione che le operazioni di cui alle lettere a) e b) sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccettuato il caso in cui tale adempimento si rivela impossibile o comporta un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato”).
In particolare, il riconoscimento di questo diritto consente all’interessato di pretendere una limitazione dell’uso che il titolare fa dei propri dati. Una simile richiesta peraltro trova fondamento al ricorrere di determinate condizioni che l’art. 18 elenca specificamente:
- qualora l’interessato contesti l’esattezza dei dati personali, per il periodo necessario al fine di verificarne l’esattezza (ovvero il trattamento è “congelato” nel tempo tecnico richiesto per verificare se i dati siano esatti o meno, dopodiché si agirà di conseguenza, correggendo o integrando i dati);
- quando il trattamento dei dati sia illecito e l’interessato si opponga alla loro cancellazione, preferendo che ne sia disposta una limitazione d’utilizzo;
- quando il titolare non abbia più bisogno di conservare i dati ai fini del trattamento, ma essi sono necessari all’interessato per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria;
- infine, quando l’interessato si sia opposto al trattamento nell’attesa delle necessarie verifiche sulla prevalenza dei motivi legittimi del titolare del trattamento rispetto a quelli dell’interessato.
Come si evince dal termine stesso, in queste ipotesi i dati non vengono cancellati, ma ne viene ridotto l’utilizzo consentito da parte del titolare. In linea di massima, quindi, i dati potranno essere trattati solo ai fini della loro conservazione, a meno che vi sia il consenso dell’interessato o il trattamento sia necessario per l’esercizio o la difesa di un diritto in sede giudiziaria, per la tutela dei diritti di un’altra persona o per ragioni di interesse pubblico rilevante. La limitazione potrà essere in seguito revocata e in questo caso, prima che ciò avvenga, il titolare del trattamento dovrà informare specificamente l’interessato.
Per quanto riguarda le modalità per limitare il trattamento dei dati, tra le possibili soluzioni suggerite ai titolari vi è il trasferimento temporaneo dei dati selezionati verso un altro sistema di trattamento, oppure la rimozione provvisoria dei dati pubblicati da un sito web o l’inaccessibilità per gli utenti. Il Considerando 67 precisa, in particolare, che “negli archivi automatizzati, la limitazione del trattamento dei dati personali dovrebbe in linea di massima essere assicurata mediante dispositivi tecnici in modo tale che i dati personali non siano sottoposti a ulteriori trattamenti e non possano più essere modificati. Il sistema dovrebbe indicare chiaramente che il trattamento dei dati personali è stato limitato”.
Come previsto dall’art. 19 (in forza del quale “Il titolare del trattamento comunica a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali rettifiche o cancellazioni o limitazioni del trattamento effettuate a norma dell’articolo 16, dell’articolo 17, paragrafo 1, e dell’articolo 18, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato. Il titolare del trattamento comunica all’interessato tali destinatari qualora l’interessato lo richieda”) nel caso in cui sia fatto valere il diritto di rettifica o di limitazione del trattamento dei dati personali il titolare del trattamento dovrà comunicare le eventuali correzioni o limitazioni del trattamento ai destinatari cui i dati siano stati trasmessi, a meno che risulti essere impossibile o implichi uno sforzo sproporzionato. Inoltre, anche in questo caso in presenza di una richiesta dell’interessato, il titolare del trattamento gli dovrà comunicare informazioni relative a tali destinatari (al riguardo si veda anche l’articolo dedicato al diritto all’oblio).
Infine, il GDPR sancisce, all’art. 21 (“1. L’interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell’articolo 6, paragrafo 1, lettere e) o f), compresa la profilazione sulla base di tali disposizioni. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria. 2. Qualora i dati personali siano trattati per finalità di marketing diretto, l’interessato ha il diritto di opporsi in qualsiasi momento al trattamento dei dati personali che lo riguardano effettuato per tali finalità, compresa la profilazione nella misura in cui sia connessa a tale marketing diretto. 3. Qualora l’interessato si opponga al trattamento per finalità di marketing diretto, i dati personali non sono più oggetto di trattamento per tali finalità. 4. Il diritto di cui ai paragrafi 1 e 2 è esplicitamente portato all’attenzione dell’interessato ed è presentato chiaramente e separatamente da qualsiasi altra informazione al più tardi al momento della prima comunicazione con l’interessato. 5. Nel contesto dell’utilizzo di servizi della società dell’informazione e fatta salva la direttiva 2002/58/CE, l’interessato può esercitare il proprio diritto di opposizione con mezzi automatizzati che utilizzano specifiche tecniche. 6. Qualora i dati personali siano trattati a fini di ricerca scientifica o storica o a fini statistici a norma dell’articolo 89, paragrafo 1, l’interessato, per motivi connessi alla sua situazione particolare, ha il diritto di opporsi al trattamento di dati personali che lo riguarda, salvo se il trattamento è necessario per l’esecuzione di un compito di interesse pubblico”), il diritto di opposizione che per definizione consiste nel diritto dell’interessato di opporsi in qualsiasi momento, e per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano. Conseguenza dell’esercizio di tale diritto è l’obbligo, in capo al titolare, di astenersi dal trattamento dei dati. Questo particolare diritto riguarda però situazioni in cui il titolare sta lecitamente trattando dei dati personali: pertanto, è riconosciuta la facoltà per il titolare di dimostrare che i suoi interessi specifici connessi al trattamento prevalgono su quelli evidenziati dall’interessato.
Inoltre e in particolare, nel caso in cui i dati personali siano trattati con finalità di marketing diretto, l’interessato ha il diritto di opporsi in qualsiasi momento e gratuitamente al trattamento, anche (e soprattutto) nel caso in cui questo avvenga mediante attività di profilazione. Questa previsione è particolarmente innovativa e di grande tutela per l’interessato, al quale infatti tale possibilità deve essere resa nota dal titolare in maniera chiara, esplicita e separatamente rispetto alle altre informazioni: non potrà, ad esempio, ritenersi corretto un generico riferimento nell’informativa ai diritti riconosciuti dal GDPR, ma sarà necessario evidenziare in modo facilmente intellegibile per l’interessato l’esistenza e la portata del diritto di opposizione.
