I tuoi diritti e come sottrarti

I diritti a tua disposizione dipendono molto da dove vivi. Questa lezione tratta quattro percorsi concreti e ufficiali: i diritti di accesso e cancellazione del GDPR dell’UE, la guida della CNIL francese su come esercitarli, la nuova piattaforma californiana di richiesta di cancellazione e sottrazione, e l’approccio più limitato e settoriale della legge federale statunitense.

L’UE: accesso e cancellazione secondo il GDPR

La guida ufficiale per i cittadini della Commissione Europea riassume due diritti che si applicano a qualsiasi organizzazione che tratta i tuoi dati personali nell’UE, inclusi i broker di dati. Primo, il diritto di accesso: puoi “richiedere l’accesso ai dati personali che un’azienda o un’organizzazione detiene su di te” e hai diritto a “una copia dei tuoi dati, gratuitamente, in un formato accessibile”, con una risposta richiesta entro un mese. Secondo, il diritto alla cancellazione, spesso chiamato diritto all’oblio: “se i tuoi dati personali non sono più necessari o vengono trattati illegalmente, puoi chiedere che i tuoi dati vengano cancellati”, un diritto che si estende alla richiesta ai motori di ricerca di rimuovere pagine su di te in determinate condizioni. La guida è onesta su un limite reale: alcuni dati potrebbero non essere cancellati laddove ciò confliggerebbe con altri diritti, come la libertà di espressione, o un genuino interesse pubblico verso informazioni su una figura pubblica.

L’autorità francese per la protezione dei dati, la CNIL, descrive nella pratica la stessa famiglia di diritti: il diritto di accesso, il diritto di far correggere dati errati, il diritto di opporsi al trattamento, e il diritto alla cancellazione. La sua guida è diretta su come iniziare: contatta tu stesso l’organizzazione che detiene i tuoi dati; se non risponde adeguatamente, puoi portare la questione alla CNIL, che può indagare e, se giustificato, sanzionare l’organizzazione. Nella pratica, esercitare questo diritto contro un broker di dati di solito significa identificare quale broker detiene i tuoi dati e inviare una richiesta scritta, poiché nessun portale unico copre tutte le aziende contemporaneamente.

California: una singola richiesta a centinaia di broker contemporaneamente

La California ha costruito qualcosa che l’UE non ha: uno strumento gestito dallo stato mirato specificamente ai broker di dati. La piattaforma di richiesta di cancellazione e sottrazione (DROP) della California Privacy Protection Agency permette a un residente della California di “inviare una singola richiesta a oltre 600 broker di dati registrati” chiedendo loro di eliminare le informazioni personali che detengono e di smettere di venderle, senza dover contattare ogni broker individualmente. Secondo la tempistica pubblicata dall’agenzia, la piattaforma è stata lanciata il 1° gennaio 2026, i broker hanno iniziato a elaborare le richieste dal 1° agosto 2026, ed entro novembre 2026 tutti i broker registrati devono aver completato il loro primo ciclo ed eliminare i dati corrispondenti su base ricorrente — l’agenzia afferma che i dati devono essere eliminati ogni 45 giorni. La verifica avviene tramite l’Identity Gateway della California, e l’agenzia nota che “non è necessario creare un account California Identity Gateway, e le tue informazioni non vengono conservate da DROP.” Questo è uno strumento per i residenti della California: non raggiunge i broker che non si sono mai registrati presso lo stato, e non estende diritti a persone fuori dalla California.

Gli Stati Uniti a livello federale: più ristretto, e per lo più manuale

Gli Stati Uniti non hanno un’unica legge federale che conceda un diritto generale di accedere o eliminare i dati detenuti da qualsiasi broker, come fa il GDPR. La guida per i consumatori della FTC sui siti di ricerca persone — una categoria visibile di broker — è schietta su cosa significhi questo nella pratica: generalmente puoi “farlo da solo, uno alla volta, gratuitamente, oppure pagare un servizio che si sottragga per te”, cercando il tuo nome su ogni sito e seguendo il processo di rimozione proprio di quel sito. La stessa guida avverte che anche una sottrazione riuscita “potrebbe non risolvere tutte le tue preoccupazioni sulla privacy”, poiché le tue informazioni possono comunque apparire in rapporti costruiti attorno ai tuoi parenti. Separatamente, la FTC offre uno strumento più ristretto ma genuinamente utile: la sua guida su come fermare la posta indesiderata spiega che i consumatori possono sottrarsi alle offerte pre-selezionate di credito e assicurazione, costruite da elenchi forniti dai principali uffici di credito, per cinque anni o permanentemente tramite il servizio dedicato optoutprescreen.com — anche se nota anche chiaramente che questo “non fermerà tutte le offerte non richieste”, poiché esistono altri elenchi al di fuori di quel sistema.