Gli artt. 16, 18 e 21 del GDPR prevedono altri importanti diritti in capo al soggetto interessato quali: il diritto di rettifica dei dati; il diritto di limitazione del trattamento e il diritto di opposizione.

Il diritto di rettifica, pur essendo già in precedenza riconosciuto sia nel diritto europeo sia nell’ordinamento italiano, trova nel GDPR una più forte affermazione (art. 16). Rientra infatti tra gli obiettivi di fondo del Regolamento permettere all’interessato di mantenere un controllo costante e attivo sui propri dati e sull’utilizzo che ne viene fatto: da questa prospettiva si intuisce che la possibilità di far correggere o modificare i dati quando gli stessi risultino errati, non aggiornati o insufficienti è una condizione imprescindibile, anche per evitare che da eventuali trasferimenti ed attività conseguano gravi pregiudizi per l’interessato, ma anche per il titolare (si pensi ad esempio alle conseguenze di un’operazione di profilazione effettuata su dati errati). In particolare, quindi, attraverso il riconoscimento di questo diritto l’interessato avrà la possibilità di ottenere dal titolare del trattamento la correzione senza ritardo dei dati inesatti che lo riguardano. Inoltre, tenuto conto delle finalità del trattamento, l’interessato potrà ottenere l’integrazione dei propri dati incompleti, anche fornendo una dichiarazione integrativa. È opportuno che anche per l’esercizio di questo diritto siano predisposti strumenti e sistemi in grado di facilitare l’accesso diretto dell’interessato alle informazioni che lo riguardano, così da permettergli di intervenire prontamente e, per quanto possibile, autonomamente per modificare dai dati inesatti.

Il diritto di limitazione del trattamento è invece stato introdotto ex novo dal GDPR, anche se per certi versi poteva ricavarsi in via interpretativa dalle precedenti disposizioni. Tale diritto presenta, ad ogni modo, caratteri innovativi e più ampi rispetto a quelli già delineati dalle regole in materia, come può emergere dal confronto con l’art. 7, comma 3 del Codice Privacy, che non conteneva alcun riferimento alla “limitazione”.

In particolare, il riconoscimento di questo diritto consente all’interessato di pretendere una limitazione dell’uso che il titolare fa dei propri dati. Una simile richiesta peraltro trova fondamento al ricorrere di determinate condizioni che l’art. 18 elenca specificamente:

• qualora l’interessato contesti l’esattezza dei dati personali, per il periodo necessario al fine di verificarne l’esattezza (ovvero il trattamento è “congelato” nel tempo tecnico richiesto per verificare se i dati siano esatti o meno, dopodiché si agirà di conseguenza, correggendo o integrando i dati);
• quando il trattamento dei dati sia illecito e l’interessato si opponga alla loro cancellazione, preferendo che ne sia disposta una limitazione d’utilizzo;
• quando il titolare non abbia più bisogno di conservare i dati ai fini del trattamento, ma essi sono necessari all’interessato per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria;
• infine, quando l’interessato si sia opposto al trattamento nell’attesa delle necessarie verifiche sulla prevalenza dei motivi legittimi del titolare del trattamento rispetto a quelli dell’interessato.

Come si evince dal termine stesso, in queste ipotesi i dati non vengono cancellati, ma ne viene ridotto l’utilizzo consentito da parte del titolare. In linea di massima, quindi, i dati potranno essere trattati solo ai fini della loro conservazione, a meno che vi sia il consenso dell’interessato o il trattamento sia necessario per l’esercizio o la difesa di un diritto in sede giudiziaria, per la tutela dei diritti di un’altra persona o per ragioni di interesse pubblico rilevante. La limitazionepotrà essere in seguito revocata e in questo caso, prima che ciò avvenga, il titolare del trattamento dovrà informare specificamente l’interessato.

Per quanto riguarda le modalità per limitare il trattamento dei dati, tra le possibili soluzioni suggerite ai titolari vi è il trasferimento temporaneo dei dati selezionati verso un altro sistema di trattamento, oppure la rimozione provvisoria dei dati pubblicati da un sito web o l’inaccessibilità per gli utenti. Il Considerando 67 precisa, in particolare, che “negli archivi automatizzati, la limitazione del trattamento dei dati personali dovrebbe in linea di massima essere assicurata mediante dispositivi tecnici in modo tale che i dati personali non siano sottoposti a ulteriori trattamenti e non possano più essere modificati.Il sistema dovrebbe indicare chiaramente che il trattamento dei dati personali è stato limitato”.

Si evidenzia, poi, che nel caso in cui sia fatto valere il diritto di rettifica o di limitazione del trattamento dei dati personali il titolare del trattamento dovrà comunicare le eventuali correzioni o limitazioni del trattamento ai destinatari cui i dati siano stati trasmessi, a meno che risulti essere impossibile o implichi uno sforzo sproporzionato. Inoltre, anche in questo caso in presenza di una richiesta dell’interessato, il titolare del trattamento gli dovrà comunicare informazioni relative a tali destinatari (al riguardo si veda anche l’articolo dedicato al diritto all’oblio).

Infine, il GDPR sancisce, all’art. 21, il diritto di opposizione che per definizione consiste nel diritto dell’interessato di opporsi in qualsiasi momento, e per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano. Conseguenza dell’esercizio di tale diritto è l’obbligo, in capo al titolare, di astenersi dal trattamento dei dati. Questo particolare diritto riguarda però situazioni in cui il titolare sta lecitamente trattando dei dati personali: pertanto, è riconosciuta la facoltà per il titolare di dimostrare che i suoi interessi specifici connessi al trattamento prevalgono su quelli evidenziati dall’interessato.

Inoltre e in particolare, nel caso in cui i dati personali siano trattati con finalità di marketing diretto, l’interessato ha il diritto di opporsiin qualsiasi momento e gratuitamente al trattamento, anche (e soprattutto) nel caso in cui questo avvenga mediante attività di profilazione. Questa previsione è particolarmente innovativa e di grande tutela per l’interessato, al quale infatti tale possibilità deve essere resa nota dal titolare in maniera chiara, esplicita e separatamente rispetto alle altre informazioni: non potrà, ad esempio, ritenersi corretto un generico riferimento nell’informativa ai diritti riconosciuti dal GDPR, ma sarà necessario evidenziare in modo facilmente intellegibile per l’interessato l’esistenza e la portata del diritto di opposizione.