Oggi parliamo di richieste GDPR DPO. Ci sono richieste che arrivano e ti fanno sudare freddo anche se “non hai nulla da nascondere”. Una di queste è la classica email: “Vorrei sapere quali dati avete su di me”. Oppure: “Cancellate tutto”. Oppure ancora: “Mi state profilando?”
La verità è che le richieste GDPR DPO (i cosiddetti DSAR) sono un test di maturità: non per la privacy “sulla carta”, ma per la privacy che funziona davvero nei processi. E qui il DPO fa la differenza non perché “risponde lui”, ma perché mette l’azienda nella condizione di rispondere bene, in tempo e senza improvvisare.
Perché le richieste GDPR DPO sono più difficili di quanto sembrano
Sulla carta, sembra semplice: prendi i dati e li mandi. Nella pratica, la richiesta ti costringe a fare tre cose che molte aziende rimandano da anni:
- capire dove stanno i dati (CRM, ticketing, email, fogli condivisi, tool marketing, HR, cloud);
- capire chi li controlla (quale reparto, quale fornitore, quale responsabile);
- capire quali dati puoi o devi includere senza danneggiare terzi (es. conversazioni con altri utenti, log con informazioni di sicurezza, documenti con dati di persone diverse).
Se non hai un metodo, ogni richiesta diventa un mini-progetto, e il rischio non è solo “fare tardi”: è rispondere male, in modo incompleto o contraddittorio.
Il ruolo del DPO: regista, non centralinista
In molte aziende succede una cosa buffa: appena arriva una richiesta, tutti guardano il DPO come se fosse un call center. In realtà il DPO è utile in un altro modo: costruisce una catena di responsabilità che funziona anche quando lui non è davanti al computer.
Il DPO definisce:
- un canale unico (email dedicata o form) dove far arrivare le richieste;
- una triage question iniziale (che diritto è? accesso? cancellazione? opposizione?);
- una lista di owner interni (CRM → commerciale, HR → personale, IT → sistemi, marketing → piattaforme);
- il modo in cui si raccolgono evidenze e si documenta tutto, perché “abbiamo risposto” non basta: serve poter dimostrare come e quando.
Il flusso che salva tempo (e nervi)
Senza farla complicata, un flusso sano di gestione richieste ha sempre queste fasi:
1) Ricezione e conferma
Confermi la ricezione e imposti le aspettative, senza promettere cose impossibili.
2) Identificazione
Devi capire se chi scrive è davvero la persona interessata. È un passaggio delicato: se sei troppo “leggero”, rischi di consegnare dati alla persona sbagliata; se sei troppo “rigido”, rischi di bloccare tutto.
3) Scoping
Chiarisci cosa sta chiedendo. Molte richieste sono generiche: “tutti i dati”. Una domanda di chiarimento fatta bene ti fa risparmiare giorni.
4) Raccolta
Qui serve il metodo: non si fruga “a mano” nelle caselle email come se fosse archeologia. Si stabiliscono fonti, query, esportazioni, e si coinvolgono i fornitori quando i dati sono nei loro sistemi.
5) Revisione e risposta
La risposta deve essere comprensibile. Non un dump di file, ma un messaggio strutturato: cosa abbiamo, perché, per quanto, con chi condividiamo, e come esercitare altri diritti se necessario.
6) Traccia e chiudi
Registra data, azioni, fonti consultate, esito e eventuali eccezioni applicate.
Questo è esattamente il tipo di “ordine” che il DPO aiuta a costruire: poco glamour, ma fondamentale.
Il punto più delicato: cancellazione e “non si può cancellare tutto”
La richiesta di cancellazione (“diritto all’oblio”) è quella che genera più incomprensioni. Perché molte persone si aspettano un tasto rosso: DELETE. Ma in tanti casi ci sono obblighi di conservazione (fiscali, contrattuali, difesa in giudizio) o dati che devono restare in forma limitata.
La risposta migliore non è “non si può”: è spiegare cosa si cancella, cosa si conserva e perché, e come si limita il trattamento. Quando la comunicazione è chiara, i conflitti calano molto.
Gli errori che fanno finire male le richieste GDPR DPO
Il primo errore è trattarle come fastidi. Una richiesta ignorata o gestita in ritardo diventa rapidamente una escalation.
Il secondo è farle gestire “a voce” tra reparti, senza un registro. Se dopo due mesi qualcuno chiede “cosa avete risposto?”, non deve essere una caccia al tesoro.
Il terzo è l’eccesso di zelo: consegnare tutto senza filtro, includendo dati di terzi o dettagli che non vanno condivisi. Anche questo è un rischio.
Il quarto è non coinvolgere i fornitori: se il dato sta in una piattaforma esterna e non hai un processo per estrarlo, sei già in ritardo.
Come rendere tutto più facile (davvero)
La chiave è prepararsi quando non c’è emergenza:
- avere un registro trattamenti coerente con i sistemi reali,
- mappare i “luoghi” dove finiscono i dati (anche i tool piccoli),
- definire template di risposta (accesso, cancellazione, opposizione),
- stabilire SLA interni (es. IT risponde in 3 giorni, marketing in 5, ecc.),
- fare una simulazione ogni tanto: una richiesta “finta” ti mostra in 30 minuti dove sei fragile.
Non serve perfezione. Serve ripetibilità.
Per riferimenti legislativi: Art. 12 GDPR (trasparenza e modalità di esercizio dei diritti), clicca qui
Le richieste GDPR DPO non sono un dettaglio amministrativo: sono uno specchio. Ti dicono se la tua azienda sa davvero dove sono i dati, chi li gestisce e come risponde sotto pressione. Il DPO, in questo, è la figura che mette ordine e ti fa uscire dal “si vedrà” con un processo che regge.
Per impostare un flusso DSAR semplice e funzionante (canali, ruoli, template e tempi), contatta il DPO Alessandro Simonassi (P.I. Computers) tramite il form: https://picomputers.it/contatti/
Ti è piaciuto questo articolo sulle Richieste GDPR DPO? Faccelo sapere nei commenti.
