Modelli e registrazioni · ISO 27701 · Punto A.1
Modello di registro delle richieste di esercizio dei diritti ISO 27701
Ogni volta che qualcuno chiede di vedere, correggere o cancellare i propri dati comincia a decorrere un termine. Il registro dimostra che si è risposto in tempo e nel modo corretto.
In una frase
Il registro delle richieste di esercizio dei diritti raccoglie ogni richiesta di accesso, rettifica, cancellazione, limitazione, portabilità od opposizione con la data di ricezione, la verifica dell’identità, le azioni intraprese e la data di risposta, perché l’articolo 12.3 del GDPR concede un mese per rispondere, prorogabile di altri due mesi, e la ISO/IEC 27701 include la gestione di queste richieste tra i controlli del titolare della tabella A.1.
- Dove lo richiede la norma
- ISO 27701 · Punto A.1 Si cita l’edizione 2025: i numeri da 4 a 10 sono capitoli; A.1, A.2 e A.3 sono le tabelle dell’Appendice A con i controlli del titolare, del responsabile e comuni a entrambi.
- Tipo di informazione
- Registrazione obbligatoria Registrazione da conservare come evidenza del controllo (tabella A.1; artt. 12 e da 15 a 22 GDPR)
- Chi lo compila
- Chi riceve la richiesta e il responsabile del PIMS Il servizio clienti o le risorse umane la registrano; l’RPD esamina i casi dubbi
- Quando
- Il giorno stesso in cui arriva Il termine decorre dal ricevimento, non da quando qualcuno la legge
- Per quanto tempo si conserva
- Lo stabilisce l’organizzazione Né la norma né il GDPR fissano un termine per la registrazione in sé; il principio di limitazione della conservazione (art. 5.1.e GDPR) obbliga a giustificare quello scelto.
Che cosa richiede la norma
Che cosa impone la norma ISO 27701 e che cosa lascia alla sua discrezione
La norma chiede al titolare di avere definiti e documentati i propri obblighi verso gli interessati e il modo di gestire le loro richieste: accesso, rettifica, cancellazione, opposizione e le altre. Il responsabile, da parte sua, deve assistere il cliente nel darvi seguito (tabella A.2 e art. 28.3.e GDPR).
Il GDPR fissa un mese dal ricevimento, prorogabile di altri due mesi se la complessità o il numero delle richieste lo giustificano, informando l’interessato della proroga entro il primo mese (art. 12.3). Se non si dà seguito alla richiesta, bisogna spiegarne il motivo e indicare la possibilità di proporre reclamo all’autorità (art. 12.4).
Né la norma né il Regolamento richiedono un registro con questo nome, ma senza di esso è impossibile dimostrare il rispetto dei termini, e l’auditor chiederà un campione.
Struttura
Campi che il modello deve contenere
- Numero, data di ricevimento e canale
- Diritto esercitato
- Interessato e verifica della sua identità
- Trattamenti e sistemi coinvolti
- Termine ultimo ed eventuale proroga comunicata
- Azioni intraprese, compresa la comunicazione ai destinatari (art. 19 GDPR)
- Risposta inviata e data
- Diniego motivato, se presente
- Responsabile del trattamento coinvolto e sua risposta
Esempio
Esempio: richiesta di cancellazione in una palestra fittizia
Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.
| Campo | Contenuto |
|---|---|
| Numero e data | SD-2026-019 · 2 giugno 2026 · E-mail a privacy@ |
| Diritto | Cancellazione dopo la disdetta dell’iscrizione |
| Verifica | Corrispondenza con l’e-mail registrata e il numero di tessera |
| Sistemi | Gestionale soci, app di prenotazione, piattaforma newsletter |
| Termine ultimo | 2 luglio 2026 |
| Azioni | Cancellazione da prenotazioni e newsletter; nel gestionale soci i dati di fatturazione vengono bloccati per obbligo fiscale |
| Risposta | 18 giugno 2026 · Spiega che cosa è stato cancellato e che cosa bloccato, con la relativa base giuridica · Club Pioppeto (fittizio) |
In audit
Errori che gli auditor rilevano più spesso
- Le richieste arrivano a caselle diverse e nessuno controlla il termine.
- Si chiede una documentazione d’identità sproporzionata per un diritto semplice.
- Si cancella nel sistema principale e ci si dimentica di copie, newsletter e responsabili.
- Il diniego non spiega il motivo né informa del diritto di proporre reclamo.
In Kimobox
Come si gestisce questa registrazione in Kimobox
- 1Ogni richiesta si registra in un modulo con la data di ricevimento e il termine calcolato.
- 2Il sistema avvisa prima della scadenza e fa un’escalation se nessuno risponde.
- 3La localizzazione del dato per interessato indica i sistemi su cui intervenire.
- 4La risposta resta archiviata con la richiesta e le relative evidenze.
Domande frequenti
Cosa ci chiedono prima di iniziare
Qual è il termine per rispondere?
Un mese dal ricevimento, prorogabile di altri due se la complessità o il numero delle richieste lo giustificano, avvisando l’interessato entro il primo mese (art. 12.3 GDPR).
Si può chiedere un pagamento?
Di regola no. Sono ammessi solo un contributo spese ragionevole o il rifiuto di fronte a richieste manifestamente infondate o eccessive, e l’onere di dimostrarlo spetta al titolare (art. 12.5 GDPR).
Gestisca le registrazioni ISO 27701 senza modelli sparsi
Le mostriamo il modulo in funzione con dati simili ai suoi.
Continua a esplorare
Pagine correlate
Diritti degli interessati
Il GDPR riconosce agli interessati il diritto di accedere ai propri dati, rettificarli, cancellarli, opporsi…
Controlli per titolari e responsabili
L’Appendice A raccoglie i controlli di riferimento del PIMS per titolari e responsabili; l’Appendice B…
Modello di registro delle attività di trattamento ISO 27701
Che cosa deve contenere il registro delle attività di trattamento in un PIMS ISO 27701 e per l’art. 30 del…
Modello di inventario dei dati personali ISO 27701
Come impostare un inventario dei dati personali per un PIMS ISO 27701: dove si trovano i dati, in quali…