Puoi disdire gratis e da solo.

Guida Pratica alla Portabilità dei Dati Personali (2026)

Il diritto alla portabilità dei dati è uno degli strumenti più potenti riconosciuti dal Regolamento UE 2016/679 (GDPR) in favore dei cittadini europei. Disciplinato dall'articolo 20 del GDPR, permette a ogni persona fisica di ricevere i propri dati personali in un formato strutturato, di uso comune e leggibile da una macchina, nonché di trasmetterli a un altro titolare del trattamento senza impedimenti. Questa guida aggiornata al 2026 spiega come esercitarlo concretamente.

Quando si Applica il Diritto alla Portabilità

Il diritto alla portabilità non è assoluto: si applica solo al ricorrere di tre condizioni cumulative:

• Dati forniti dall'interessato: devono essere dati che hai trasmesso attivamente o generato attraverso il tuo comportamento (es. acquisti, messaggi, like, ascolti musicali).
• Base giuridica del trattamento: il trattamento deve essere fondato su consenso (art. 6, par. 1, lett. a) oppure su un contratto di cui sei parte (art. 6, par. 1, lett. b).
• Trattamento automatizzato: i dati devono essere trattati con strumenti automatizzati. I dati contenuti in archivi cartacei non rientrano nell'ambito di applicazione.

A Chi Puoi Richiedere la Portabilità

Il diritto si esercita nei confronti di qualunque titolare del trattamento che soddisfi le condizioni sopra descritte. I casi più comuni includono:

• Social network: Facebook/Meta, Instagram, LinkedIn, X (Twitter)
• Piattaforme digitali e streaming: Spotify, Netflix, YouTube, Amazon Prime Video
• Provider di posta elettronica: Gmail, Outlook, Yahoo Mail
• Banche e istituti finanziari: storico transazioni, contratti, profili di rischio dichiarati
• Assicurazioni: polizze stipulate, dati dichiarati in fase contrattuale
• Operatori telefonici: TIM, Vodafone, WindTre, Iliad
• E-commerce: Amazon, Zalando, eBay — storico ordini e preferenze dichiarate

Cosa Comprende (e Cosa Esclude) la Portabilità

È fondamentale distinguere quali dati rientrano nel diritto alla portabilità:

• Dati inclusi: post pubblicati, playlist create, storico acquisti, email, contatti inseriti, impostazioni dell'account, dati anagrafici forniti in fase di registrazione.
• Dati esclusi: i cosiddetti dati derivati o inferiti, come punteggi di scoring creditizio, profili comportamentali elaborati dall'azienda (profiling), segmentazioni di marketing. Questi dati sono creati autonomamente dal titolare e non rientrano nella portabilità, anche se ti riguardano.

Come Fare Richiesta

Puoi esercitare il diritto in due modi principali:

1. Modulo online: molte piattaforme offrono sezioni dedicate (es. "Scarica i tuoi dati" su Google Takeout, "Le tue informazioni su Facebook"). È la via più rapida.
2. Lettera formale: invia una comunicazione scritta (anche via email) al titolare del trattamento, specificando i dati richiesti e il formato preferito. Vedi il modello di seguito.

Ricorda: il titolare non può chiederti compensi per evadere la richiesta, né esigere motivazioni particolari.

Tempi di Risposta

Il titolare del trattamento è obbligato a rispondere entro 1 mese dalla ricezione della richiesta. In caso di complessità o elevato numero di richieste, il termine può essere prorogato di ulteriori 2 mesi (per un totale di 3 mesi), ma il titolare deve comunicartelo entro il primo mese, specificando i motivi del ritardo.

Formato dei Dati

I dati devono essere forniti in un formato strutturato, di uso comune e leggibile da una macchina. I formati più diffusi e accettati sono:

• JSON (JavaScript Object Notation) — usato da Google, Meta, Spotify
• CSV (Comma-Separated Values) — ideale per dati tabellari come storico transazioni
• XML (Extensible Markup Language) — comune in ambito bancario e assicurativo

Il formato deve consentire l'interoperabilità: i dati devono poter essere importati agevolmente da un altro sistema o piattaforma.

Il Diritto di Trasmissione Diretta

L'articolo 20, paragrafo 2 del GDPR prevede il cosiddetto "diritto di trasmissione diretta": puoi chiedere al titolare di trasmettere i tuoi dati direttamente a un altro titolare, senza che tu debba scaricarli e ricaricarli manualmente. Questa facoltà si applica se tecnicamente fattibile, condizione che ancora oggi limita l'applicazione pratica in molti settori. Il rifiuto deve essere motivato.

Esempi Pratici

Da Spotify a un'altra piattaforma musicale

Accedi a Spotify Account Privacy, richiedi il download dei tuoi dati (playlist, brani salvati, storico ascolti) in formato JSON. Puoi poi importare manualmente i dati su servizi compatibili o usare strumenti di migrazione come TuneMyMusic.

Da Gmail a Outlook

Usa Google Takeout per esportare email e contatti in formato MBOX/VCF. Su Outlook, importa il file tramite la funzione di importazione guidata. In alternativa, configura la sincronizzazione IMAP per un trasferimento automatico.

Dati bancari

In ambito bancario, la PSD2 (Direttiva sui Servizi di Pagamento) integra e rafforza il GDPR: puoi richiedere alla tua banca lo storico delle transazioni degli ultimi 12 mesi in formato CSV o tramite Open Banking API, da trasferire a un'altra banca o app di gestione finanziaria.

Portabilità vs. Diritto di Accesso (Art. 15 GDPR)

Questi due diritti sono distinti e complementari:

• Accesso (art. 15): ti consente di sapere quali dati vengono trattati e come. Include anche dati derivati e inferiti. Il formato non deve essere necessariamente machine-readable.
• Portabilità (art. 20): ti consente di ricevere e trasferire i dati. Si applica solo ai dati forniti dall'interessato, in formato strutturato e interoperabile.

Cosa Fare se il Titolare Non Risponde

Se il titolare non evade la tua richiesta entro i termini, hai due opzioni principali:

1. Reclamo al Garante per la Protezione dei Dati Personali (in Italia): puoi presentare reclamo online sul sito del Garante (garanteprivacy.it), allegando copia della richiesta inviata e le eventuali risposte ricevute.
2. Ricorso giurisdizionale: puoi agire davanti al Tribunale ordinario per far valere i tuoi diritti e richiedere un eventuale risarcimento del danno.

FAQ — Domande Frequenti

1. Posso chiedere la portabilità anche se il trattamento è basato su legge?

No. Il diritto alla portabilità si applica solo quando la base giuridica è il consenso o l'esecuzione di un contratto. Se il trattamento avviene per obbligo legale o per interesse legittimo del titolare, la portabilità non è applicabile.

2. Il titolare può rifiutare la mia richiesta?

Il titolare può rifiutare solo in casi specifici: ad esempio, se la richiesta è manifestamente infondata o eccessiva, oppure se la trasmissione diretta non è tecnicamente fattibile. In ogni caso, il rifiuto deve essere motivato per iscritto.

3. La portabilità riguarda anche i dati di persone terze contenuti nei miei file?

Sì, con cautele. Ad esempio, le email contengono dati di altri destinatari. In questi casi, il titolare può anonimizzare o omettere i dati di terzi per proteggere i loro diritti. Il tuo diritto alla portabilità non può ledere i diritti altrui.

4. Posso esercitare la portabilità anche per dati di minori?

Sì, ma la richiesta deve essere presentata da chi esercita la responsabilità genitoriale o la tutela legale del minore. Il titolare verificherà l'identità e la legittimazione del richiedente prima di procedere.

Disclaimer Legale

Le informazioni contenute in questa guida hanno carattere puramente orientativo e divulgativo. Non costituiscono consulenza legale e non sostituiscono il parere di un professionista qualificato (avvocato, consulente privacy, DPO). La normativa in materia di protezione dei dati è soggetta a continui aggiornamenti da parte del legislatore europeo e nazionale, nonché a interpretazioni da parte delle Autorità di controllo. Si raccomanda di verificare sempre la normativa vigente al momento dell'esercizio dei propri diritti e, ove necessario, di rivolgersi a un esperto.