Diritto di accesso GDPR e dati di terzi: cosa oscurare

Rispondere a una richiesta di accesso dell’interessato significa fornire a una persona una copia dei suoi dati, spesso contenuti in e-mail, note di pratica o contratti che nominano anche altre persone. Con il diritto di accesso GDPR, i dati di terzi sono il passaggio delicato. Lei oscura ciò che appartiene ad altri, annota il motivo e lascia leggibile tutto il resto. Ecco cosa chiede il GDPR, cosa aggiunge l’autorità britannica e come farlo senza caricare il file.

A cosa ha diritto l’interessato: una copia (art. 15, par. 3)

L’articolo 15 del GDPR dà a una persona il diritto di sapere se il titolare tratta dati personali che la riguardano e di accedervi. L’articolo 15, paragrafo 3, aggiunge: «Il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento.»

Il diritto riguarda i dati, non i documenti in cui si trovano. L’ICO, l’autorità britannica per la protezione dei dati, lo dice chiaramente nella sua guida sul diritto di accesso (in inglese): poiché l’obbligo è fornire informazioni e non documenti, si possono cancellare nomi o oscurare documenti se le informazioni del terzo non fanno parte di quelle richieste. La guida è scritta per lo UK GDPR (Regno Unito), il cui articolo 15 corrisponde al testo UE.

Altre persone nello stesso documento (art. 15, par. 4)

L’articolo 15, paragrafo 4, fissa il limite: «Il diritto di ottenere una copia di cui al paragrafo 3 non deve ledere i diritti e le libertà altrui.»

Nel Regno Unito, la regola è precisata nel Data Protection Act 2018, Schedule 2, paragrafo 16. Non è tenuto a divulgare informazioni che identificano un’altra persona. Le cose cambiano se l’altra persona ha dato il suo consenso, o se è ragionevole divulgarle senza.

Oscurare un nome non sempre basta. L’esempio dell’ICO è il reclamo su un vicino: anche con il nome del vicino oscurato, il richiedente probabilmente saprà comunque di chi si tratta. Legga ogni passaggio come lo leggerà il richiedente.

Diritto di accesso GDPR: oscurare i dati di terzi e annotare il motivo

L’ICO è chiara sulla traccia da conservare: deve poter giustificare la decisione di divulgare o non divulgare informazioni su un’altra persona, quindi conviene annotare cosa decide e perché.

In Dress Docs, questa traccia fa parte del lavoro:

• Una motivazione su ogni oscuramento. Stampi sull’oscuramento stesso perché un passaggio è oscurato, ad esempio «dati di terzi» o una formulazione sua. Veda motivare gli oscuramenti.
• Il registro degli oscuramenti. Annota oscuramenti, motivazioni, pagine e data, senza alcun contenuto del documento, così può archiviarlo con la richiesta. Veda il registro degli oscuramenti.
• Cerca e oscura. Un collega nominato quaranta volte in una catena di e-mail? Cerchi il nome in un PDF con livello di testo e controlli ogni risultato prima di oscurarlo.

Tutte e tre sono in Pro. Il documento resta sempre sul suo dispositivo.

Non oscuri più del necessario

L’oscuramento protegge altre persone; non è un modo per rispondere di meno. Secondo l’ICO, deve comunque fornire quante più informazioni richieste possibile, senza rivelare l’identità del terzo, e spesso è meglio lasciare le informazioni (a meno che non rientrino in un’esenzione). Una pagina di riquadri neri non dice nulla al richiedente su come vengono usati i suoi dati.

Poi controlli ciò che non vede. Anche il campo autore di un PDF, i commenti o i campi dei moduli possono nominare un collega. L’esportazione di Dress Docs rimuove i metadati e appiattisce ogni pagina in un’unica immagine. La nostra checklist per l’oscuramento riporta gli altri passi.

Verificare l’identità del richiedente senza conservarne una copia

Può chiedere una prova dell’identità quando ha dubbi concreti su chi sta facendo la richiesta. Non è tenuto a conservarla. Secondo l’ICO, non serve tenere copie dei documenti d’identità; basta annotare quali documenti la persona ha fornito, la data della verifica e chi nella sua organizzazione l’ha eseguita.

La stessa regola vale oltre le richieste di accesso: conservare la copia del documento d’identità dei clienti?

Tutto quanto sopra è nella pagina delle funzionalità. Motivazioni, registro e Cerca e oscura sono inclusi in Pro: veda i prezzi.