Nel corso dell’ultima plenaria del Comitato europeo per la protezione dei dati (EDPB) è stato illustrato il Report conclusivo dell’azione coordinata europea sull’attuazione del diritto di accesso, realizzata dal Coordinated Enforcement Framework (CEF). Il documento sintetizza i risultati del lavoro svolto nell’azione CEF 2024 da 30 Autorità di protezione dati dello Spazio economico europeo (SEE). Tra le Autorità coinvolte risulta anche il Garante italiano.

Questionario del Garante: le analisi nel Report EDPB

Nel corso del 2024 30 Autorità europee di Protezione Dati hanno avviato indagini coordinate per verificare la conformità dei titolari del trattamento al diritto di accesso. Le attività includevano l’apertura di indagini formali, la valutazione della necessità di un’indagine approfondita e/o l’esecuzione di esercizi di raccolta dati. Le indagini hanno coinvolto 1.185 titolari del trattamento, tra cui piccole e medie imprese (PMI), grandi aziende di vari settori e diversi enti pubblici. Le risposte, in forma aggregata, sono confluite all’interno dell’appendice del Report dell’EDPB, contenente statistiche e grafici, mentre gli esiti dell’azione sono stati sinteticamente riportati nella relazione nazionale.

Report EDPB: i risultati positivi

Dal report emerge che due terzi delle Autorità di protezione dati hanno valutato il livello di conformità dei titolari coinvolti come “medio” o “alto”.

Un fattore determinante per definire la conformità è stato analizzare il numero di richieste di accesso ricevute dai titolari rispetto alle dimensioni dell’organizzazione: le grandi aziende o i titolari con un elevato volume di richieste tendevano a essere più conformi rispetto alle piccole organizzazioni con risorse limitate.

È stata rilevata la presenza di processi di good practices in tutta Europa, tra cui:

• Moduli online intuitivi, che consentono agli utenti di presentare richieste di accesso con facilità;
• Sistemi self-service, che permettono agli interessati di scaricare autonomamente i propri dati personali in pochi clic e in qualsiasi momento.

Elementi di miglioramento

I risultati dell’indagine oltre ai risultati positivi hanno esposto alcune criticità. Il report ha rilevato la necessità di una maggiore sensibilizzazione sulle Linee guida 01/2022, sia a livello nazionale che europeo.

Le Linee Guida sono utili in quanto aiutano il titolare a implementare il diritto di accesso, spiegano come agevolare il proprio esercizio e illustrano le eccezioni e le limitazioni previste dalla normativa.

Tra le criticità emerse dall’azione CEF 2024 figurano:

• Mancanza di procedure interne documentate per gestire le richieste di accesso;
• Interpretazioni incoerenti ed eccessive delle limitazioni al diritto di accesso, come l’affidamento automatico a determinate eccezioni per rifiutare le richieste;
• Ostacoli per gli interessati, come requisiti formali complessi o la richiesta di documenti di identificazione eccessivi.

Per ciascuna di queste problematiche, il rapporto fornisce raccomandazioni non vincolanti rivolte ai titolari del trattamento e alle Autorità di protezione dati.

Importanza del CEF e prossimi sviluppi

Il vicepresidente dell’EDPB, Zdravko Vukíc, ha dichiarato:
“Il CEF è un’iniziativa preziosa che aiuta a rafforzare la cooperazione tra le Autorità di protezione dei dati (DPAs): affrontando tematiche selezionate in modo coordinato, esse ottengono maggiore efficienza e coerenza. L’attuazione del diritto di accesso da parte dei titolari è un aspetto fondamentale della protezione dei dati ed è uno dei diritti degli interessati più frequentemente esercitati.”

Il CEF è un’azione chiave dell’EDPB nell’ottica della Strategia 2024-2027. La strategia è finalizzata a rendere più efficace l’applicazione delle norme e a migliorare la cooperazione tra le Autorità di protezione dati.

La prossima azione CEF 2025 riguarderà l’attuazione del diritto all’oblio.

Il diritto all’oblio è sancito dall’articolo 17 del Regolamento Generale sulla Protezione dei Dati (GDPR) dell’Unione Europea, che stabilisce il diritto dei cittadini di richiedere la cancellazione dei propri dati personali.