Modelli e registrazioni · ISO 27701 · Punto A.1

Modello di registro delle richieste di esercizio dei diritti ISO 27701

Ogni volta che qualcuno chiede di vedere, correggere o cancellare i propri dati comincia a decorrere un termine. Il registro dimostra che si è risposto in tempo e nel modo corretto.

In una frase

Il registro delle richieste di esercizio dei diritti raccoglie ogni richiesta di accesso, rettifica, cancellazione, limitazione, portabilità od opposizione con la data di ricezione, la verifica dell’identità, le azioni intraprese e la data di risposta, perché l’articolo 12.3 del GDPR concede un mese per rispondere, prorogabile di altri due mesi, e la ISO/IEC 27701 include la gestione di queste richieste tra i controlli del titolare della tabella A.1.

Contenuto revisionato il 17 ottobre 2026

Dove lo richiede la norma: ISO 27701 · Punto A.1 Si cita l’edizione 2025: i numeri da 4 a 10 sono capitoli; A.1, A.2 e A.3 sono le tabelle dell’Appendice A con i controlli del titolare, del responsabile e comuni a entrambi.
Tipo di informazione: Registrazione obbligatoria Registrazione da conservare come evidenza del controllo (tabella A.1; artt. 12 e da 15 a 22 GDPR)
Chi lo compila: Chi riceve la richiesta e il responsabile del PIMS Il servizio clienti o le risorse umane la registrano; l’RPD esamina i casi dubbi
Quando: Il giorno stesso in cui arriva Il termine decorre dal ricevimento, non da quando qualcuno la legge
Per quanto tempo si conserva: Lo stabilisce l’organizzazione Né la norma né il GDPR fissano un termine per la registrazione in sé; il principio di limitazione della conservazione (art. 5.1.e GDPR) obbliga a giustificare quello scelto.

Che cosa richiede la norma

Che cosa impone la norma ISO 27701 e che cosa lascia alla sua discrezione

La norma chiede al titolare di avere definiti e documentati i propri obblighi verso gli interessati e il modo di gestire le loro richieste: accesso, rettifica, cancellazione, opposizione e le altre. Il responsabile, da parte sua, deve assistere il cliente nel darvi seguito (tabella A.2 e art. 28.3.e GDPR).

Il GDPR fissa un mese dal ricevimento, prorogabile di altri due mesi se la complessità o il numero delle richieste lo giustificano, informando l’interessato della proroga entro il primo mese (art. 12.3). Se non si dà seguito alla richiesta, bisogna spiegarne il motivo e indicare la possibilità di proporre reclamo all’autorità (art. 12.4).

Né la norma né il Regolamento richiedono un registro con questo nome, ma senza di esso è impossibile dimostrare il rispetto dei termini, e l’auditor chiederà un campione.

Lo legga nel contesto: Controlli per titolari e responsabili, nell’Academy ISO 27701

Struttura

Campi che il modello deve contenere

Numero, data di ricevimento e canale
Diritto esercitato
Interessato e verifica della sua identità
Trattamenti e sistemi coinvolti
Termine ultimo ed eventuale proroga comunicata
Azioni intraprese, compresa la comunicazione ai destinatari (art. 19 GDPR)
Risposta inviata e data
Diniego motivato, se presente
Responsabile del trattamento coinvolto e sua risposta

Esempio

Esempio: richiesta di cancellazione in una palestra fittizia

Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.

Campo	Contenuto
Numero e data	SD-2026-019 · 2 giugno 2026 · E-mail a privacy@
Diritto	Cancellazione dopo la disdetta dell’iscrizione
Verifica	Corrispondenza con l’e-mail registrata e il numero di tessera
Sistemi	Gestionale soci, app di prenotazione, piattaforma newsletter
Termine ultimo	2 luglio 2026
Azioni	Cancellazione da prenotazioni e newsletter; nel gestionale soci i dati di fatturazione vengono bloccati per obbligo fiscale
Risposta	18 giugno 2026 · Spiega che cosa è stato cancellato e che cosa bloccato, con la relativa base giuridica · Club Pioppeto (fittizio)

In audit

Errori che gli auditor rilevano più spesso

Le richieste arrivano a caselle diverse e nessuno controlla il termine.
Si chiede una documentazione d’identità sproporzionata per un diritto semplice.
Si cancella nel sistema principale e ci si dimentica di copie, newsletter e responsabili.
Il diniego non spiega il motivo né informa del diritto di proporre reclamo.

In Kimobox

Come si gestisce questa registrazione in Kimobox

1Ogni richiesta si registra in un modulo con la data di ricevimento e il termine calcolato.
2Il sistema avvisa prima della scadenza e fa un’escalation se nessuno risponde.
3La localizzazione del dato per interessato indica i sistemi su cui intervenire.
4La risposta resta archiviata con la richiesta e le relative evidenze.

Domande frequenti

Cosa ci chiedono prima di iniziare

Qual è il termine per rispondere?

Un mese dal ricevimento, prorogabile di altri due se la complessità o il numero delle richieste lo giustificano, avvisando l’interessato entro il primo mese (art. 12.3 GDPR).

Si può chiedere un pagamento?

Di regola no. Sono ammessi solo un contributo spese ragionevole o il rifiuto di fronte a richieste manifestamente infondate o eccessive, e l’onere di dimostrarlo spetta al titolare (art. 12.5 GDPR).

Gestisca le registrazioni ISO 27701 senza modelli sparsi

Le mostriamo il modulo in funzione con dati simili ai suoi.

Richiedi una demo

Continua a esplorare

Pagine correlate

Fonti

Da dove arriva ogni dato

Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.

Regolamento (UE) 2016/679, Regolamento generale sulla protezione dei dati (GDPR) EUR-Lex · 27 aprile 2016; applicabile dal 25 maggio 2018
ISO/IEC 27701:2025 — Sistemi di gestione delle informazioni sulla privacy. Requisiti e linee guida ISO/IEC · Seconda edizione, ottobre 2025