Privacy online: i tuoi diritti con il GDPR

Quante volte hai cliccato “Accetta tutti i cookie” senza pensarci due volte? Succede a tutti, ogni giorno, decine di volte. Eppure dietro quel pulsante c’è una delle leggi più importanti d’Europa: il GDPR. In questa guida proviamo a spiegarvi, in modo semplice e concreto, quali sono i vostri diritti sulla privacy online, come farli valere in Italia e cosa rischiano le aziende che non li rispettano.

Cos’è il GDPR e perché riguarda anche te

Il GDPR è il Regolamento UE 2016/679, in vigore dal 25 maggio 2018. Non è una direttiva da recepire, ma un regolamento direttamente applicabile in tutti gli Stati membri: significa che le regole sono le stesse dalla Sicilia alla Finlandia. In Italia, però, il GDPR non vive da solo: convive con il Codice Privacy (D.Lgs. 196/2003), che integra e completa la disciplina nazionale, e con le linee guida del Garante per la protezione dei dati personali.

Perché riguarda anche te? Semplice: ogni volta che lasci un’email per un acquisto su Amazon, che usi l’app di una banca, che condividi una foto su Instagram o che chiami il servizio clienti di TIM, stai trattando dati personali. E chi li tratta deve rispettare regole precise.

Differenza tra GDPR e Codice Privacy italiano

Il GDPR fissa i principi generali validi in tutta l’Unione Europea. Il Codice Privacy italiano (D.Lgs. 196/2003) interviene su aspetti specifici: per esempio le regole sul trattamento in ambito giornalistico, sanitario, lavorativo o giudiziario, oppure le disposizioni su video sorveglianza e marketing telefonico. In pratica, quando si parla di privacy in Italia, le due fonti vanno lette insieme.

Cosa si intende per dato personale e dato sensibile

Un dato personale è qualsiasi informazione che identifica o rende identificabile una persona: nome, indirizzo, numero di telefono, indirizzo IP, codice fiscale. I dati sensibili (oggi il GDPR parla di “categorie particolari”) sono quelli che rivelano origine razziale o etnica, opinioni politiche, convinzioni religiose, stato di salute, orientamento sessuale. Per questi ultimi le tutele sono ancora più stringenti.

I tuoi diritti secondo il GDPR: elenco pratico

Il GDPR riconosce all’interessato — cioè a te — una serie di diritti che puoi esercitare gratuitamente e in qualsiasi momento. Ecco i principali:

• Diritto di accesso: sapere quali dati un’azienda possiede su di te e perché li tratta.
• Diritto di rettifica: correggere dati inesatti o incompleti.
• Diritto alla cancellazione (oblio): chiedere la rimozione dei dati quando non sono più necessari.
• Diritto di limitazione: bloccare temporaneamente il trattamento.
• Diritto alla portabilità: ricevere i tuoi dati in formato leggibile e trasferirli altrove.
• Diritto di opposizione: opporti al trattamento, ad esempio per marketing diretto.
• Diritto a non essere sottoposto a decisioni automatizzate, compresa la profilazione che produce effetti giuridici.

Diritto di accesso e portabilità dei dati

Un esempio concreto: su Facebook, nella sezione “Le tue informazioni”, puoi scaricare una copia di tutti i dati che la piattaforma ha su di te. Lo stesso vale per Google, tramite “Takeout”. Questo è il diritto di accesso e portabilità in azione: non un’astrazione, ma un pulsante che puoi premere oggi stesso.

Diritto all’oblio e cancellazione dei contenuti

Se un vecchio articolo di giornale o un post ti danneggia senza più ragione di interesse pubblico, puoi chiedere la deindicizzazione dai motori di ricerca. La Corte di Giustizia UE, con la sentenza Google Spain del 2014, ha aperto questa strada, poi consolidata dal GDPR.

Come opporsi al trattamento per marketing diretto

Hai diritto a opporti in qualsiasi momento all’uso dei tuoi dati per finalità di marketing. Basta una richiesta scritta al titolare: da quel momento non possono più contattarti per pubblicità. Vale per email, SMS e chiamate telefoniche.

Come esercitare i tuoi diritti in Italia

La procedura è più semplice di quanto sembri. Si invia una richiesta al titolare del trattamento — cioè all’azienda che detiene i tuoi dati, che sia una banca, un e-commerce come Amazon o un gestore telefonico come TIM. Il titolare deve rispondere entro 30 giorni, prorogabili di altri due mesi in casi complessi.

Modello di richiesta e tempi di risposta

La richiesta non deve seguire un modulo ufficiale: basta indicare i tuoi dati, il diritto che vuoi esercitare e una descrizione chiara. Puoi inviarla via PEC, raccomandata o email. Se non ricevi risposta entro 30 giorni, puoi passare al livello successivo.

Reclamo al Garante: come funziona

Se il titolare non risponde o la risposta non ti soddisfa, puoi presentare reclamo al Garante per la protezione dei dati personali tramite il sito www.garanteprivacy.it. Il reclamo è gratuito e può essere presentato online. Il Garante può avviare un’istruttoria e, se necessario, sanzionare l’azienda.

Quando serve un avvocato

Nella maggior parte dei casi non serve. Però se hai subito un danno economico o reputazionale, o se vuoi agire in tribunale per ottenere un risarcimento, rivolgerti a un legale esperto in diritto digitale è la scelta più sensata.

Obblighi delle aziende e sanzioni: cosa rischiano

Le aziende che trattano dati personali hanno obblighi precisi: raccogliere un consenso esplicito e documentato, tenere un registro dei trattamenti, nominare un DPO (Data Protection Officer) quando richiesto, notificare eventuali violazioni. E le sanzioni non sono uno scherzo: il GDPR prevede multe fino a 20 milioni di euro o al 4% del fatturato globale annuo, a seconda di quale cifra sia più alta.

Consenso e cookie banner: cosa è cambiato

Dal 2021 il Garante ha chiarito che i cookie banner devono permettere di rifiutare tutti i cookie con un solo clic, allo stesso livello del pulsante “Accetta”. Niente più banner con il “Rifiuta” nascosto in fondo alla pagina.

Data breach: obbligo di notifica

Se un’azienda subisce una violazione dei dati (data breach), deve notificarla al Garante entro 72 ore. Se il rischio per gli interessati è elevato, deve informare direttamente anche gli utenti coinvolti.

Sanzioni e casi italiani

In Italia il Garante per la protezione dei dati personali ha multato Eni, Wind Tre e diverse società di telemarketing per trattamenti illeciti. Le cifre parlano da sole: si va da centinaia di migliaia a milioni di euro. Segno che l’Autorità non scherza.

Consigli pratici per proteggere la tua privacy online

La teoria è utile, ma la pratica lo è ancora di più. Ecco cosa possiamo fare tutti, subito:

1. Usare un password manager per non riutilizzare mai la stessa password.
2. Attivare l’autenticazione a due fattori su email, social e banking.
3. Controllare le impostazioni sulla privacy di Instagram, TikTok e Facebook.
4. Diffidare delle app che chiedono permessi sproporzionati (accesso a rubrica, microfono, posizione).
5. Leggere almeno le informative privacy delle piattaforme che usiamo di più — anche se noi per primi ammettiamo di non farlo sempre.

Gestire i cookie e le impostazioni del browser

Chrome, Safari, Firefox ed Edge permettono di bloccare cookie di terze parti, cancellare la cronologia e attivare la navigazione in incognito. Sono impostazioni gratuite che riducono di molto il tracciamento pubblicitario.

Social network: cosa condividiamo davvero

Ogni volta che pubblichiamo una foto con geolocalizzazione, un check-in a un ristorante o un post sullo stato di salute, stiamo regalando dati preziosi. Riflettere prima di pubblicare è la prima forma di difesa.

Proteggere i minori: il caso TikTok e il Garante

Nel 2021 il Garante ha ordinato a TikTok di bloccare l’accesso agli utenti under 13 in Italia, dopo la morte di una bambina di Palermo legata a una challenge virale. Un caso che ha mostrato quanto sia urgente la tutela dei minori sui social.

Il futuro della privacy: AI, telemarketing e nuove sfide

Le sfide non finiscono qui. L’intelligenza artificiale generativa sta cambiando il modo in cui i dati vengono raccolti e usati. Il telemarketing selvaggio continua a riempire di chiamate moleste i telefoni italiani. E la proposta di regolamento ePrivacy, ancora in discussione, punta a regole più uniformi sulle comunicazioni elettroniche.

IA e dati personali: cosa dice il Garante

Il caso più clamoroso resta ChatGPT: nel 2023 il Garante ha bloccato temporaneamente il servizio in Italia per violazioni della privacy, salvo poi riammetterlo dopo che OpenAI ha introdotto modifiche. Un precedente che peserà su tutte le IA che trattano dati italiani.

Telemarketing: come difendersi dalle chiamate moleste

Iscriversi al Registro Pubblico delle Opposizioni è il primo passo. Poi si può revocare il consenso direttamente al call center e, se le chiamate continuano, segnalare tutto al Garante. Le multe record comminate in Italia a società di telemarketing dimostrano che le segnalazioni funzionano.

FAQ

Il GDPR si applica anche alle piccole aziende?

Sì. Il GDPR si applica a qualsiasi soggetto che tratti dati personali, indipendentemente dalla dimensione. Gli obblighi documentali possono essere semplificati per le microimprese, ma i principi restano gli stessi.

Quanto costa esercitare i miei diritti?

Nulla. Le richieste di accesso, rettifica, cancellazione e opposizione sono gratuite. Il titolare può chiedere un contributo solo in caso di richieste manifestamente infondate o eccessive.

Cosa succede se un’azienda ignora la mia richiesta?

Puoi presentare reclamo al Garante Privacy tramite www.garanteprivacy.it oppure ricorrere al tribunale. Il Garante può ordinare all’azienda di adeguarsi e applicare sanzioni.

Il consenso ai cookie è sempre obbligatorio?

No. I cookie tecnici, necessari al funzionamento del sito, non richiedono consenso. Quelli di profilazione e marketing sì, e devono poter essere rifiutati con un solo clic.

ChatGPT è di nuovo accessibile in Italia?

Sì, dopo il blocco temporaneo del 2023 il servizio è tornato disponibile, ma OpenAI ha dovuto introdurre informative più chiare e strumenti di controllo per gli utenti europei.

La privacy non è un lusso per pochi esperti: è un diritto sancito dalla legge, che vale per tutti noi. Informarsi, esercitare i propri diritti e segnalare gli abusi al Garante è il modo più concreto per difenderla. Il sito www.garanteprivacy.it resta il punto di partenza per chiunque voglia capire come muoversi.