Come redigere una diffida al titolare del trattamento con l'AI

I passaggi

1. 1.

   Identificazione del titolare e del DPO

   La prima fase consiste nell'individuare con precisione il titolare del trattamento mediante la consultazione dell'informativa sul trattamento dei dati o dei pubblici registri. Qualora sia stato designato un Responsabile della Protezione dei Dati (DPO), la comunicazione deve essere indirizzata anche a quest'ultimo al fine di assicurarne l'adeguata gestione all'interno dell'organizzazione. Una precisa identificazione è fondamentale per prevenire eccezioni relative al difetto di legittimazione passiva. È altresì necessario verificare la sede legale del destinatario per procedere alla corretta notificazione o trasmissione dell'atto.

2. 2.

   Descrizione analitica delle premesse

   Occorre esporre in modo dettagliato la relazione giuridica o di fatto intercorrente tra l'interessato e il titolare, unitamente alla specifica condotta contestata. È necessario precisare se la violazione sia riconducibile al mancato riscontro a una precedente istanza o a un trattamento posto in essere in assenza di un'idonea base giuridica. Allegare o richiamare gli elementi probatori attestanti la richiesta rimasta inevasa rafforza la posizione del mittente. Tale sezione raccoglie la ricostruzione fattuale indispensabile per qualificare giuridicamente l'inadempimento.

3. 3.

   Inquadramento normativo della violazione

   La diffida deve richiamare espressamente l'art. 12 del GDPR quale fondamento normativo dell'obbligo di riscontro tempestivo e trasparente. Qualora l'istanza concerna la cancellazione dei dati, occorre invocare l'art. 17 del GDPR, evidenziando la sopravvenuta insussistenza delle finalità per cui i dati erano stati inizialmente raccolti. La citazione delle disposizioni applicabili deve essere puntuale al fine di qualificare rigorosamente le doglianze. Questo passaggio converte una generica doglianza in una formale contestazione in punto di diritto.

4. 4.

   Formulazione dell'intimazione e termine

   L'atto deve recare una formale intimazione ad adempiere entro un termine congruo, di regola non superiore a un mese ai sensi dell'art. 12 del GDPR. Occorre specificare puntualmente la condotta richiesta, quali la cessazione dell'invio di comunicazioni commerciali o la deindicizzazione di contenuti lesivi. La fissazione del termine è essenziale per la costituzione in mora del titolare ai fini del successivo ed eventuale contenzioso. In assenza di una pretesa determinata e di un termine perentorio, l'atto risulta privo dell'efficacia propria della diffida.

5. 5.

   Avvertimento sulle azioni risarcitorie

   È opportuno precisare che, in ipotesi di ulteriore inerzia, il richiedente adirà il Garante per la protezione dei dati personali mediante reclamo. Va altresì formulata l'espressa riserva di agire in sede civile per il risarcimento dei danni patrimoniali e non patrimoniali ex art. 82 del GDPR. Tale avvertimento svolge una funzione dissuasiva, evidenziando i profili di responsabilità economica connessi all'illecito. La preavvisata tutela giudiziale ed amministrativa connota l'atto quale prodromo al contenzioso.

6. 6.

   Sottoscrizione e prova della ricezione

   La diffida deve essere sottoscritta dall'interessato ovvero dal difensore munito di procura speciale in allegato. Al fine di conferire certezza alla data di ricezione e valore probatorio alla trasmissione, la spedizione deve avvenire a mezzo PEC o raccomandata con avviso di ricevimento. La prova dell'avvenuta consegna è indispensabile per attestare il decorso dei termini ai fini del ricorso o reclamo dinanzi all'Autorità Garante. Una modalità di invio sprovvista di tracciabilità impedirebbe di provare l'avvenuta costituzione in mora del destinatario.

Base giuridica: art. 12 GDPRart. 17 GDPRart. 82 GDPR