Come presentare un reclamo GDPR contro Meta, TikTok, Google o qualsiasi azienda, e quale autorità per la protezione dei dati se ne occupa

Le autorità si aspettano che tu abbia prima provato con l’azienda. La Data Protection Commission irlandese (DPC) richiede che tu abbia sollevato la questione direttamente con l’organizzazione; l’ICO britannico lo raccomanda nella maggior parte dei casi. In base all’articolo 12, l’azienda deve dare seguito alla richiesta entro un mese. Per richieste complesse o numerose può prorogare di due mesi, ma deve dirtelo entro il primo mese spiegando perché.

Invia la richiesta per iscritto, tramite il contatto privacy indicato nell’informativa, e conserva le prove: data, copia, numero di riferimento. Se vuoi i tuoi dati, vedi come fare una richiesta di accesso GDPR; per la cancellazione, il diritto alla cancellazione.

Puoi rivolgerti all’autorità del Paese in cui vivi, lavori o in cui è avvenuta la violazione. Nei casi transfrontalieri lo sportello unico del GDPR rende capofila l’autorità dello stabilimento principale dell’azienda nell’UE; Meta, Google e TikTok, tra le altre, lo hanno in Irlanda, quindi guida la DPC. Tu continui a trattare con la tua autorità, nella tua lingua, e lei collabora con la capofila. Il Comitato europeo per la protezione dei dati pubblica l’elenco dei membri:

1. Usa il modulo online dell’autorità; quello della DPC è su forms.dataprotection.ie/contact. Niente avvocato né costi.
2. Indica cosa hai chiesto e quando: «richiesta di accesso ai sensi dell’articolo 15, inviata il 2 settembre».
3. Mostra cosa è tornato: nessuna risposta, un rifiuto, dati incompleti, una risposta standard.
4. Indica il diritto in gioco: accesso (articolo 15), cancellazione (articolo 17), opposizione, sicurezza del trattamento dopo una violazione.
5. Allega le prove richieste dalla DPC: la richiesta, le risposte, screenshot, riferimenti.
6. Di’ cosa vuoi: i dati, la cancellazione, una spiegazione. Non inviare documenti d’identità se l’autorità non li chiede.

La DPC verifica prima la propria competenza, poi cerca una soluzione amichevole se ha buone probabilità di riuscire. Altrimenti l’autorità può respingere o archiviare il reclamo, dare indicazioni, emettere un ordine o aprire un’istruttoria; le istruttorie sono di solito riservate a violazioni gravi o sistemiche. I casi transfrontalieri richiedono più tempo perché le autorità devono collaborare.

• Nessuna risposta a una richiesta di accesso a cronologia degli accessi, dispositivi e indirizzi IP dopo un furto dell’account.
• Rifiuto di cancellare i dati di un account chiuso o creato a tuo nome.
• Una violazione dei dati che l’azienda non spiega; vedi cosa fare dopo un data breach.
• Dati personali nei risultati di ricerca che un sito o un motore non rimuove; vedi rimuovere le informazioni personali.

Un’autorità per la protezione dei dati non può ripristinare un account sospeso: è una decisione di moderazione, da contestare con la piattaforma e le vie del DSA. Può però ottenere che un’azienda ti consegni o cancelli i tuoi dati. Uniamo le due strade nel nostro lavoro di rimozione dei risultati e privacy.