Diffida APDP: cosa imparare

Il 10 settembre 2026 il Presidente dell'autorità monegasca per la protezione dei dati, l'APDP, ha pubblicato una diffida pubblica (mise en demeure publique) nei confronti dell'International School of Monaco. L'istituto ha 15 giorni dalla ricezione per consegnare i dati personali che non ha fornito. Anche la chiusura del procedimento sarà pubblicata, e la decisione verrà anonimizzata sei mesi dopo la pubblicazione.

I dettagli del caso contano meno del segnale. La Legge n. 1.565 del 3 dicembre 2024 ha dato all'APDP il potere di indicare pubblicamente le organizzazioni inadempienti, e ora lo ha esercitato. La causa non è stata una violazione di dati, un server compromesso o una campagna marketing discutibile, ma qualcosa di molto più ordinario: una richiesta di accesso ai dati gestita in ritardo, in modo parziale e senza le informazioni obbligatorie. Se la vostra azienda non riuscirebbe a produrre una risposta completa a una richiesta simile entro un mese, questa decisione è scritta per voi.

Cosa è successo, in breve

Secondo la decisione pubblicata, il 14 aprile 2026 un genitore ha scritto via e-mail al responsabile della protezione dei dati della scuola chiedendo il fascicolo amministrativo del figlio, i dati sanitari e le e-mail che menzionavano il bambino e la famiglia, oltre alle informazioni standard su finalità, tempi di conservazione e destinatari. La scuola ha risposto il 13 maggio con alcuni documenti e informazioni, ma ha indicato al genitore che potevano essere consegnate solo le e-mail inviate da lui stesso e che non citavano terzi. Nessun riferimento al diritto di presentare reclamo all'APDP.

Il 22 maggio il genitore ha presentato reclamo all'APDP. L'autorità ha scritto alla scuola a luglio e ad agosto, chiarendo le regole. All'inizio di settembre la scuola dichiarava ancora che le verifiche erano "in corso" e che la fine della pausa estiva avrebbe reso più facile rispondere. L'APDP ha accertato la violazione di tre articoli della Legge 1.565 — l'articolo 10 (termini), l'articolo 12 (contenuto del diritto di accesso) e l'articolo 22 (responsabilizzazione) — e ha reso pubblica la diffida "tenuto conto della gravità delle violazioni e dell'inerzia del titolare nonostante gli interventi dell'Autorità".

Cinque regole che l'APDP ha ora messo nero su bianco

La decisione si legge come una checklist. Ecco cosa stabilisce per qualsiasi organizzazione che tratta dati personali a Monaco:

1. Il termine parte quando arriva l'e-mail. Una richiesta inviata via e-mail si considera ricevuta alla data di arrivo del messaggio, non quando qualcuno la legge, la registra o la inoltra. La scuola sosteneva di averla ricevuta nove giorni dopo; l'APDP non ha accolto la tesi.
2. Un mese significa un mese. Il titolare deve rispondere per iscritto entro un mese. Il termine può essere prorogato di due mesi per richieste complesse o multiple, ma l'interessato deve esserne informato, con motivazione, entro il primo mese. Una proroga citata solo nelle lettere all'autorità non vale.
3. "Tanto lavoro" non equivale a "complesso". L'APDP lo afferma senza giri di parole: il semplice fatto che rispondere richieda uno sforzo notevole non rende la richiesta complessa ai sensi della legge.
4. Le e-mail sono dati personali. Un rifiuto generalizzato di consegnare le e-mail non è ammissibile. Le e-mail in cui il richiedente è mittente o destinatario devono essere fornite, oscurando se necessario i nomi di terzi. Quelle che lo menzionano soltanto richiedono una valutazione caso per caso dei diritti dei terzi, con le identità mascherate.
5. La risposta ha contenuti obbligatori. L'articolo 12 elenca cosa deve esserci: finalità, categorie di dati, destinatari, tempi di conservazione, origine dei dati non raccolti presso l'interessato, eventuali trasferimenti verso paesi senza protezione adeguata, i diritti di rettifica e cancellazione e il diritto di presentare reclamo all'APDP. Omettere un elemento è di per sé una violazione.

Il punto che deve davvero preoccupare: la responsabilizzazione

La parte più scomoda della decisione riguarda l'articolo 22, il principio di responsabilizzazione. Per l'APDP, il titolare deve disporre di procedure che gli consentano di rispondere nei termini di legge "a prescindere dal periodo dell'anno o dal carico di lavoro". Le ferie estive, le assenze e un DPO sovraccarico non sono una giustificazione.

L'autorità ha inoltre rilevato incongruenze tra ciò che l'organizzazione le aveva dichiarato e ciò che aveva effettivamente scritto al richiedente. Quando l'APDP istruisce un reclamo sull'esercizio di un diritto, chiede l'intera corrispondenza tra reclamante e titolare. Tutto ciò che sostenete di aver fatto deve risultare lì.

È esattamente qui che la maggior parte delle PMI monegasche è esposta. Hanno un'informativa privacy e un registro dei trattamenti, spesso prodotti di corsa a fine 2025. Ciò che manca è un processo ripetibile per il giorno in cui un cliente, un dipendente, un ex dipendente o un genitore scrive chiedendo tutto ciò che avete su di lui.

Come si presenta un processo conforme

Non serve un ufficio legale. Serve una procedura documentata che chiunque in azienda possa seguire:

• Un canale di ricezione visibile. Un indirizzo e-mail dedicato o un modulo sul sito, citato nell'informativa privacy, perché le richieste non si perdano in una casella condivisa. È uno degli elementi che integriamo in ogni sito, insieme alle basi per una conformità APDP.
• Registrazione in giornata. Data di ricezione, verifica dell'identità effettuata, scadenza. Segnate la data a un mese in un calendario condiviso.
• Una mappa dei dati realmente consultabile. Sappiate dove risiedono i dati personali: moduli del sito, CRM e piattaforme di e-mail marketing, software HR, strumenti di prenotazione e le caselle di posta dei collaboratori. Ciò che non trovate, non potete consegnarlo.
• Un modello di risposta costruito sull'articolo 12. Ogni voce dell'elenco, ogni volta, compresa la frase sul diritto di reclamo all'APDP.
• Una procedura per ricerca e oscuramento delle e-mail. Decidete in anticipo chi effettua la ricerca, come mascherare le identità di terzi e come consegnare i risultati in modo sicuro.
• Un modello di comunicazione di proroga. Se una richiesta è davvero complessa, inviate una comunicazione motivata prima del trentesimo giorno, non una promessa vaga.
• Una sostituzione. Nominate un supplente per il DPO o per la persona incaricata e testate il processo una volta l'anno.

Sistemi ben progettati rendono tutto molto più semplice. Un sito moderno con CRM integrato, con una scheda cliente unica e funzioni di esportazione, trasforma due settimane di affanno in un pomeriggio di lavoro.

Cosa rischiate ignorando la questione

La diffida pubblica è la misura correttiva, non la sanzione. Se resta senza effetto, la formazione ristretta dell'APDP può imporre ingiunzioni con penalità giornaliere, limitazioni del trattamento e sanzioni amministrative che, per le categorie di violazione più gravi, arrivano a diversi milioni di euro o a una percentuale del fatturato mondiale. Soglie esatte e procedura vanno confermate con l'APDP o con un consulente qualificato, ma la direzione è chiara.

Due precisazioni di contesto. Monaco non è uno Stato membro dell'Unione europea e il GDPR non vi si applica automaticamente; la Legge 1.565 è il quadro normativo proprio del Principato, costruito su standard comparabili e applicato dall'APDP, che ha sostituito la CCIN. E questa decisione dimostra che l'enforcement include ormai un'esposizione reputazionale: il nome dell'organizzazione è oggi sul sito dell'autorità.

Se volete un quadro chiaro di dove si trovano i dati personali nel vostro sito, nel CRM e nelle caselle di posta — e un processo di gestione delle richieste che il vostro team possa seguire senza di voi — contattateci. Costruiamo e manteniamo i sistemi che ospitano questi dati e collaboriamo con consulenti legali per gli aspetti giuridici.