"Qual… è… il… numero… della… targa?": con una terribile lentezza, Flash – il celebre bradipo dipendente della motorizzazione di Zootropolis – mette a dura prova la pazienza della coniglietta Judy, portando sul grande schermo uno degli stereotipi più diffusi in tema di Pubblica Amministrazione.
La scena fa subito venire in mente uno dei diritti chiave previsti in materia di privacy e protezione dei dati personali: il diritto di accesso, previsto dall'art. 15 del GDPR (Reg. UE n. 679/2016). Ciascun interessato, infatti, ha diritto di poter rivolgersi al Titolare del trattamento ed ottenere una serie di informazioni relative ai dati personali che lo riguardano. In particolare, ai sensi dell'art. 15 del GDPR, l'interessato ha il diritto di conoscere:
- le finalità del trattamento;
- le categorie di dati personali trattati, ad esempio dati comuni come abitudini di Nick o indirizzo di residenza di Judy;
- i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, come il comune di Zootropolis in persona del sindaco Lionheart;
- il periodo di conservazione dei dati personali;
- l’esistenza del diritto per tutti i cittadini di Zootropolis di chiedere al Titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati che li riguardano;
- il diritto di proporre reclamo a un’autorità di controllo, ad esempio un possibile Garante per la privacy di Zootropolis;
- qualora i dati non siano raccolti presso l’interessato, tutte le informazioni disponibili sulla loro origine;
- l’esistenza di eventuali processi decisionali automatizzati.
Quindi – ad esempio – la volpe Nick potrà rivolgersi al bradipo Flash per conoscere quali siano i propri dati in possesso della motorizzazione di Zootropolis, a chi siano stati comunicati, per quali finalità siano stati trattati etc.
Il diritto di accesso previsto dal GDPR riveste un ruolo fondamentale nel potere di controllo sui propri dati personali e può essere esercitato nei confronti di tutti i Titolari del trattamento. Tuttavia, ciascuna organizzazione (pubblica o privata) non potrà mai pensare di assumere i medesimi atteggiamenti di Flash. Infatti, è lo stesso GDPR a prevedere che le richieste di esercizio dei diritti da parte degli interessati (compreso, dunque, il diritto di accesso) debbano essere evase entro un termine massimo di 30 giorni (estensibile solo in particolari casi), pena la condanna al pagamento di ingenti sanzioni.
