Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Arriva una richiesta via email. L'oggetto dice: "Esercizio diritti ai sensi del GDPR — cancellazione dati". Chi l'ha mandata è un ex collaboratore, o forse un cliente che ha acquistato tre anni fa sul vostro e-commerce. La prima reazione, nella maggior parte degli uffici, è cercare la persona che "si occupa della privacy". Se quella persona non c'è, o se c'è ma non ha procedure chiare, l'email rimane in attesa. Poi arriva il Garante.
La domanda che molti titolari di trattamento si pongono — imprenditori, studi professionali, medici, associazioni — è semplice: quanto tempo ho e cosa rischio se non rispondo bene? La risposta, aggiornata al 2026, è meno rassicurante di quanto si pensi.
Cancellazione, portabilità e opposizione: i tre diritti che arrivano per email
Il Regolamento UE 2016/679 (GDPR) attribuisce all'interessato — cioè alla persona fisica i cui dati sono trattati — tre diritti che nella pratica vengono esercitati con sempre maggiore frequenza.
Il diritto alla cancellazione, previsto dall'articolo 17 GDPR, consente di chiedere la rimozione dei propri dati senza ingiustificato ritardo quando i dati non sono più necessari rispetto alla finalità originaria, quando il consenso è stato revocato, quando l'interessato si oppone al trattamento e non esiste una base legale prevalente, oppure quando il trattamento è stato illecito dall'inizio.
Il diritto alla portabilità, disciplinato dall'articolo 20 GDPR, permette di ricevere i dati forniti in un formato strutturato, leggibile da una macchina e di uso comune — tipicamente un file CSV o JSON — per trasferirli a un altro operatore. Si attiva solo quando il trattamento è fondato sul consenso o su un contratto e avviene in modo automatizzato: non vale, per esempio, per i dati trattati sulla base del legittimo interesse.
Il diritto di opposizione, fissato dall'articolo 21 GDPR, consente all'interessato di opporsi al trattamento in qualsiasi momento, per motivi connessi alla propria situazione particolare, quando il titolare si fonda sul legittimo interesse. L'opposizione al marketing diretto, cioè all'uso dei dati per comunicazioni commerciali, è invece assoluta: non ammette controbilanciamenti.
Il titolare ha un mese di tempo
Il termine è fissato dall'articolo 12, paragrafo 3 del GDPR: il titolare del trattamento deve rispondere all'istanza entro un mese dalla ricezione. Può prorogare di altri due mesi — portando il termine totale a tre mesi — ma solo per richieste complesse o numerose, e deve comunicare la proroga all'interessato entro il primo mese, indicandone i motivi.
Non rispondere affatto equivale a un rifiuto implicito, ma privo di motivazione: è la condotta più rischiosa.
Chi deve provare cosa: l'inversione dell'onere che cambia tutto
Quando sorge una controversia, la domanda è: chi deve dimostrare cosa? Il GDPR capovolge la regola ordinaria del diritto civile italiano.
L'articolo 2697 del codice civile stabilisce che chi vuole far valere un diritto deve provare i fatti che ne sono a fondamento. Il GDPR fa il contrario: in materia di protezione dei dati personali, l'onere della prova della validità del consenso — la dimostrazione che sia stato libero, specifico, informato e inequivocabile — incombe sul titolare del trattamento. Lo stabilisce l'articolo 7, paragrafo 1, del GDPR.
Il principio è netto: se un cliente, un paziente o un utente contesta la legittimità di un trattamento sostenendo di non aver mai prestato un consenso valido, non deve essere lui a provarlo. È il titolare — l'impresa, il professionista, lo studio — a dover dimostrare che il consenso c'è stato.
Questa regola non riguarda solo il consenso in senso stretto. Il consenso non è la base giuridica principale del GDPR, ma solo una delle sei previste dall'articolo 6. Un titolare accorto lo usa soltanto quando nessun'altra base è disponibile, perché è la più fragile: può essere revocato in qualsiasi momento e obbliga a cessare il trattamento.
Quando l'interessato esercita il diritto di opposizione fondato sul legittimo interesse, il titolare può resistere solo dimostrando motivi legittimi cogenti che prevalgono sugli interessi dell'interessato. Anche qui, l'onere è sul titolare.
La risposta generica non è una risposta: cosa dice la giurisprudenza del 2026
Un'istanza di cancellazione riceve questa risposta: "I suoi dati sono trattati in conformità alla normativa vigente". È sufficiente? No. Se la richiesta non viene accolta, il titolare deve spiegarne i motivi e indicare la possibilità di reclamo (art. 12, par. 4, GDPR). E il Garante sanziona anche il mancato riscontro: con il provvedimento n. 752 del 7 ottobre 2026 ha inflitto 4.000 euro a un'università che non aveva risposto a un'istanza di cancellazione e aveva rimosso i dati solo dopo l'avvio del procedimento.
Sul versante del danno risarcibile, la situazione si è fatta più articolata. Una comunicazione inviata a più clienti con allegato un file contenente dati reddituali di terzi ha dato origine, in un caso deciso da un tribunale di merito, a una duplice pretesa risarcitoria nei confronti dello studio professionale: il giudice ha esaminato separatamente i due profili e ha individuato nella prova del danno e nella delimitazione dell'incarico professionale i punti centrali della decisione.
Un passaggio chiave: la violazione delle norme GDPR non basta da sola a far scattare il risarcimento. Il Tribunale di Milano ha ribadito che la mera violazione delle disposizioni del GDPR non costituisce di per sé un danno risarcibile, escludendo la figura del danno in re ipsa. Chi agisce ai sensi dell'articolo 82 GDPR ha l'onere di dimostrare l'esistenza di un danno effettivo, sebbene minimo, e il nesso di causalità con la violazione. Tuttavia nella valutazione della domanda risarcitoria devono essere superate le tradizionali barriere civilistiche nazionali che subordinano il ristoro del pregiudizio non patrimoniale al superamento di una "soglia minima di gravità" o di "serietà del danno".
In pratica: il danno deve esserci e va dimostrato, ma non deve essere grave. Una perdita di controllo sui propri dati, anche minima, può bastare.
La nuova stagione delle azioni collettive: il titolare risponde verso molti
Fino a oggi il rischio per il titolare era quasi sempre individuale: un interessato, una richiesta, eventualmente un reclamo al Garante. Il 2026 ha segnato un cambio di scenario.
Con un'ordinanza dell'aprile 2026, il Tribunale di Milano, Sezione specializzata in materia d'impresa, ha dichiarato ammissibile un'azione rappresentativa promossa da un'associazione di consumatori nei confronti di Meta, aprendo la strada alla prima class action italiana fondata su una presunta violazione della normativa sulla privacy. Il procedimento nasce dallo scraping dei dati personali, ossia la raccolta automatizzata e non autorizzata di informazioni pubblicamente accessibili sui profili Facebook da parte di soggetti terzi. Secondo i ricorrenti, il danno subito dagli utenti deriverebbe dalla mancata adozione, da parte della piattaforma, di misure tecniche e organizzative adeguate a impedire questo fenomeno, in violazione dei principi di privacy by design e privacy by default.
Un aspetto centrale riguarda il danno non patrimoniale derivante dalla perdita del controllo sui propri dati personali. Richiamando l'orientamento della Corte di Giustizia dell'UE, il Tribunale ha evidenziato che il diritto al risarcimento non può essere subordinato al superamento di una particolare soglia di gravità della lesione, rafforzando così la tutela riconosciuta agli interessati dal GDPR.
Meta è un caso limite per dimensioni, ma il principio che emerge — le associazioni di consumatori possono agire senza mandato individuale su violazioni di massa — riguarda chiunque gestisca dati in modo strutturato e diffuso: piattaforme e-commerce, database di abbonati, archivi di fornitori.
Le imprese sono chiamate a effettuare un'accurata valutazione del rischio collegato al trattamento di dati, definire misure di prevenzione e mitigazione proporzionate al livello di rischio e documentarne l'adozione, secondo la logica di accountability che costituisce uno dei pilastri del GDPR.
Rifiutare è lecito, ma il rifiuto deve stare in piedi
Il titolare non è obbligato ad accettare ogni istanza. L'articolo 17, paragrafo 3 del GDPR prevede eccezioni: l'obbligo di legge, la difesa di un diritto in giudizio, il pubblico interesse. Ma il rifiuto deve essere specifico, motivato e proporzionato: una risposta boilerplate — la formula pre-compilata che cita la norma senza spiegarla — vale quanto il silenzio.
Lo stesso vale per il diniego di portabilità fondato su un'allegazione di "trattamento non automatizzato": se il sistema in uso è un CRM, un gestionale o qualsiasi base dati informatizzata, il trattamento è automatizzato per definizione, e il rifiuto non regge.
Nell'adempimento degli obblighi privacy il silenzio non neutralizza il diritto, lo fa esplodere.
Sul piano processuale vale il brocardo nemo auditur propriam turpitudinem allegans: chi ha omesso di rispondere nei termini non può poi invocare la propria inadempienza organizzativa per ridurre la propria responsabilità davanti al Garante o al giudice.
Cosa fare in concreto: sequenza operativa
La prima cosa da fare quando arriva un'istanza è qualificarla correttamente: chi la manda è un interessato ai sensi del GDPR? Trattate davvero suoi dati? Su quale base giuridica?
Se la risposta è sì a tutte e tre le domande, il termine di 30 giorni inizia a decorrere dal giorno di ricezione — non dalla data di presa in carico interna, non dalla data in cui il responsabile privacy "viene informato". Il GDPR conta dal momento in cui l'istanza arriva.
Entro quel termine, bisogna decidere: accogliere, rifiutare motivatamente oppure comunicare la proroga. Ogni altra opzione — il silenzio, la risposta vaga, il rimando a un generico avvocato dell'azienda — è un inadempimento documentato.
Per la portabilità, il formato minimo accettabile è un file strutturato e leggibile da macchina. Un PDF non è portabilità: non è leggibile da un'altra applicazione senza intervento umano. Un foglio Excel con i dati grezzi, in formato aperto, di norma soddisfa il requisito.
Per l'opposizione al marketing diretto, l'accoglimento deve essere immediato e senza eccezioni: la comunicazione commerciale successiva all'opposizione, anche se partita da una lista già programmata, configura violazione.
Nota dall'esperienza dello studio
Nelle pratiche che seguiamo in materia di protezione dei dati, l'errore più frequente non è il rifiuto intenzionale: è il mancato riconoscimento dell'istanza come tale. Arrivano messaggi via WhatsApp, commenti ai post social, email scritte male senza citare il GDPR, ma che contengono inequivocabilmente una richiesta di cancellazione o di accesso. Il termine comincia a decorrere ugualmente. La qualifica giuridica dell'istanza non spetta all'istante, spetta al titolare che la riceve. Chi aspetta che l'interessato scriva "ai sensi dell'art. 17 GDPR" prima di attivarsi, di solito scopre il problema al momento del reclamo al Garante.
Domande frequenti
Posso chiedere all'interessato di compilare un modulo apposito per esercitare i suoi diritti?
Sì, ma non puoi rendere quel modulo l'unico canale ammesso. Il GDPR non impone all'interessato di usare forme specifiche: se la richiesta arriva comunque in modo chiaro — anche via email ordinaria — il titolare deve gestirla. Il modulo può semplificare il processo interno, non può bloccarlo.
Se ho già cancellato i dati ma non ho risposto nei termini, sono comunque sanzionabile?
Sì. L'obbligo di risposta è autonomo rispetto all'obbligo di cancellazione. Avere effettivamente cancellato i dati può ridurre la gravità della sanzione, ma non la esclude: la mancata risposta nei 30 giorni è una violazione dell'articolo 12 GDPR indipendente da ciò che è stato fatto materialmente sui dati.
La portabilità vale anche per i dati che ho su un cliente nel gestionale, non forniti direttamente da lui?
No. Il diritto alla portabilità copre solo i dati "forniti dall'interessato", cioè quelli che lui stesso ha comunicato (nome, indirizzo, preferenze). Non copre i dati elaborati o dedotti dal titolare — per esempio, lo storico degli acquisti elaborato in categorie, o i punteggi di rischio assegnati internamente. Per quei dati aggiuntivi vale invece il diritto di accesso (art. 15 GDPR), che però non comporta l'obbligo di consegna in formato portabile.
Redazione - Staff Studio Legale MP
