Le procedure interne e i moduli predisposti dalle aziende non possono trasformarsi in un ostacolo all’esercizio dei diritti previsti dal GDPR. È il principio ribadito dal Garante Privacy nel provvedimento con cui ha sanzionato Lidl per la gestione di una richiesta di accesso ai filmati di videosorveglianza.

Il caso riguarda un cliente che, dopo un diverbio avvenuto all’interno di un punto vendita, aveva chiesto tramite PEC di accedere alle immagini che lo ritraevano e di conservarle per eventuali esigenze di tutela giudiziaria. L’azienda, invece di gestire immediatamente la richiesta, aveva insistito sull’utilizzo di uno specifico modulo interno. Nel frattempo, i filmati erano stati cancellati secondo i normali tempi di conservazione.

Secondo il Garante, una richiesta chiara e circostanziata deve essere presa in carico indipendentemente dal canale utilizzato. I moduli possono agevolare l’organizzazione, ma non possono diventare un requisito indispensabile per esercitare un diritto riconosciuto dal GDPR.

L’Autorità ha inoltre ricordato che, se la richiesta arriva prima della cancellazione automatica delle immagini, il titolare può estrarre i dati e conservarli per il tempo necessario a gestire l’istanza. Non si tratta di prolungare indiscriminatamente la conservazione dei filmati, ma di garantire un’effettiva tutela dei diritti dell’interessato.

Il provvedimento evidenzia anche l’importanza di coinvolgere tempestivamente il DPO e di predisporre procedure capaci di riconoscere e gestire rapidamente le richieste di accesso, soprattutto quando riguardano dati destinati a essere cancellati in tempi molto brevi.

Più che un richiamo formale, la decisione del Garante ricorda che la conformità al GDPR si misura dalla capacità dell’organizzazione di garantire concretamente i diritti degli interessati, evitando che procedure burocratiche compromettano l’esercizio del diritto di accesso.