In breve
- Il GDPR non si applica ai dati delle persone decedute, ma lascia agli Stati la possibilità di regolarli. L’Italia lo ha fatto con l’art. 2-terdecies del Codice privacy.
- I diritti sui dati di una persona deceduta possono essere esercitati da chi ha un interesse proprio, da chi agisce a tutela dell’interessato come suo mandatario, o per ragioni familiari meritevoli di protezione.
- In vita puoi vietare espressamente l’esercizio di questi diritti per i servizi online, con una dichiarazione scritta al titolare del trattamento.
- Il divieto non può pregiudicare i diritti patrimoniali dei terzi né il diritto di difesa in giudizio.
- Avere un diritto non significa ottenere tutto subito: spesso servono richieste formali, tempo e, nei casi difficili, un giudice.
Quando una persona muore, lascia dietro di sé una quantità enorme di dati: email, foto nel cloud, messaggi, documenti, cronologie, dati sanitari, dati bancari. La famiglia si trova spesso a voler accedere ad alcuni di questi dati, per motivi pratici (ricostruire la situazione economica, trovare un contratto, recuperare documenti) o affettivi (conservare le foto, rileggere i messaggi). Allo stesso tempo, la persona scomparsa potrebbe aver desiderato che alcune cose restassero riservate.
Chi ha diritto ad accedere a questi dati? Con quali limiti? E come si può, in vita, decidere cosa succederà? Questa guida spiega le regole italiane in modo semplice. Non sostituisce il parere di un avvocato esperto di protezione dei dati per i casi concreti.
Nota importante
Questa guida ha uno scopo informativo e non costituisce consulenza legale. Le norme e la loro interpretazione possono evolvere: per situazioni specifiche rivolgiti a un professionista.
Il GDPR e le persone decedute
Il Regolamento europeo sulla protezione dei dati personali, il GDPR, chiarisce nei suoi considerando che le sue regole non si applicano ai dati delle persone decedute, e che gli Stati membri possono prevedere norme proprie. L’Italia ha scelto di farlo, con una disposizione specifica inserita nel Codice in materia di protezione dei dati personali: l’articolo 2-terdecies.
Chi può esercitare i diritti
Secondo l’art. 2-terdecies, i diritti previsti dal GDPR in materia di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, riferiti ai dati di una persona deceduta, possono essere esercitati da:
- chi ha un interesse proprio: per esempio un erede che deve ricostruire rapporti economici;
- chi agisce a tutela dell’interessato, in qualità di suo mandatario: una persona che il defunto aveva incaricato in vita;
- chi agisce per ragioni familiari meritevoli di protezione: per esempio un genitore che desidera conservare le foto di un figlio scomparso.
Non è quindi un diritto riservato solo agli eredi in senso giuridico. Allo stesso tempo, non è un diritto automatico di chiunque: chi presenta la richiesta deve rientrare in una di queste categorie e, di solito, dimostrarlo.
Cosa sono le “ragioni familiari meritevoli di protezione”
La norma non elenca in modo dettagliato quali siano le ragioni familiari meritevoli di protezione. Nella pratica vi rientrano, per esempio, il desiderio di conservare la memoria di un familiare scomparso attraverso le sue foto e i suoi scritti, o l’esigenza di capire le circostanze della sua morte. La valutazione dipende dal caso concreto: chi presenta la richiesta dovrebbe spiegare in modo chiaro e sincero perché chiede quei dati e in che rapporto era con la persona scomparsa. Una richiesta generica, del tipo “voglio tutto”, ha meno probabilità di essere accolta di una richiesta motivata e circoscritta.
Il divieto espresso in vita
La stessa norma prevede che l’esercizio di questi diritti non sia ammesso quando lo prevede la legge oppure, limitatamente ai servizi della società dell’informazione offerti direttamente, quando l’interessato lo ha espressamente vietato con una dichiarazione scritta presentata o comunicata al titolare del trattamento.
In termini pratici, questo significa che puoi dichiarare, per esempio al fornitore di un servizio online, che non vuoi che dopo la tua morte qualcuno eserciti i diritti sui tuoi dati presso quel servizio. La norma stabilisce alcune condizioni:
- la volontà di vietare deve essere non equivoca, specifica, libera e informata;
- il divieto può riguardare tutti o solo alcuni dei diritti;
- l’interessato può revocarlo o modificarlo in qualsiasi momento;
- il divieto non può pregiudicare l’esercizio dei diritti patrimoniali che derivano ai terzi dalla morte dell’interessato, né il diritto di difendere in giudizio i propri interessi.
È uno strumento poco conosciuto, ma importante per chi ha esigenze particolari di riservatezza: per esempio chi non vuole che i familiari leggano le proprie conversazioni private o i propri diari digitali.
Cosa succede in pratica
Avere un diritto non significa ottenere i dati con facilità. Nella pratica, le famiglie si trovano spesso davanti a ostacoli concreti:
- fornitori di servizi esteri, con procedure proprie e documentazione richiesta in altre lingue;
- richieste di documenti come certificato di morte, prova del rapporto con il defunto, a volte provvedimenti dell’autorità giudiziaria;
- tempi lunghi e risposte standardizzate;
- dati cifrati che il fornitore stesso non è in grado di leggere o consegnare;
- dati di terzi, come i messaggi scambiati con altre persone, che pongono ulteriori questioni di riservatezza.
In alcuni casi le famiglie si sono rivolte ai tribunali italiani, che hanno ordinato a grandi fornitori di servizi di consentire il recupero dei dati di una persona scomparsa, richiamando proprio l’art. 2-terdecies e le ragioni familiari meritevoli di protezione. Sono percorsi possibili, ma impegnativi, e sono il segnale di quanto sia importante organizzarsi prima.
Un esempio concreto
Dopo la morte improvvisa del figlio ventenne, Luisa e Carlo desiderano recuperare le foto e i video conservati sul suo account nel cloud. Il telefono è bloccato e nessuno conosce il codice. Il fornitore del servizio risponde che, in assenza di strumenti configurati dal titolare, può procedere solo in presenza di un provvedimento dell’autorità giudiziaria. I genitori si rivolgono a un avvocato, che presenta un ricorso richiamando le ragioni familiari meritevoli di protezione. Dopo alcuni mesi ottengono il provvedimento e, con esso, l’accesso ai contenuti. Con un contatto erede configurato e le informazioni conservate in un luogo sicuro, sarebbero bastati pochi giorni. (Scenario esemplificativo con nomi di fantasia.)
Come si presenta una richiesta
Chi intende esercitare i diritti sui dati di una persona deceduta si rivolge al titolare del trattamento, cioè all’organizzazione che conserva i dati: una banca, un fornitore di servizi online, una struttura sanitaria. In genere la richiesta dovrebbe contenere:
- i dati della persona deceduta e del servizio o rapporto interessato;
- la prova del decesso, di solito il certificato di morte;
- la propria identità e il titolo per cui si agisce: erede, mandatario, familiare;
- il diritto che si intende esercitare: accesso, cancellazione, portabilità e così via;
- le ragioni della richiesta, soprattutto quando si invocano ragioni familiari meritevoli di protezione.
Molti grandi fornitori hanno moduli dedicati per le richieste relative a persone decedute: conviene usarli, conservando copia di tutto ciò che si invia e delle risposte ricevute. Se il titolare non risponde o respinge la richiesta, si può valutare, con l’aiuto di un professionista, un reclamo al Garante per la protezione dei dati personali o il ricorso all’autorità giudiziaria.
I dati delle altre persone
Un aspetto delicato riguarda i dati di terzi contenuti negli account della persona scomparsa: le email ricevute, i messaggi scambiati con amici e colleghi, le foto in cui compaiono altre persone. Anche questi dati sono protetti, e i loro titolari sono vivi. Per questo, anche quando i familiari ottengono l’accesso, possono esserci limiti o cautele nell’uso di quei contenuti. È un ulteriore motivo per cui le volontà della persona, espresse in vita, sono preziose: aiutano a capire cosa fare, ad esempio, di una corrispondenza privata.
Tipi di dati diversi, regole diverse
| Tipo di dati | Dove si trovano | Note pratiche |
|---|---|---|
| Dati bancari e finanziari | Banche, intermediari | Gli eredi accedono con la documentazione successoria, secondo le procedure della banca |
| Dati sanitari | Strutture sanitarie, Fascicolo sanitario | L’accesso alla documentazione clinica di un defunto segue regole specifiche: rivolgersi alla struttura |
| Email e cloud | Fornitori di servizi online | Contano gli strumenti configurati in vita e le procedure del fornitore |
| Social network | Piattaforme social | Profilo commemorativo o rimozione; accesso ai messaggi in genere escluso |
| Dispositivi | Telefono, computer, tablet | Senza codici di sblocco l’accesso può essere molto difficile |
Cosa puoi fare in vita
Le regole di legge offrono una cornice, ma la differenza la fanno le scelte che compi tu. Puoi:
- decidere cosa vuoi che succeda ai tuoi dati: cosa conservare, cosa consegnare a chi, cosa cancellare;
- configurare gli strumenti dei servizi, come il contatto erede di Apple e Facebook o la gestione account inattivo di Google;
- valutare il divieto espresso previsto dall’art. 2-terdecies per i servizi in cui conservi dati che non vuoi siano consultati;
- incaricare una persona di occuparsi dei tuoi dati dopo la morte, eventualmente con un mandato redatto con l’aiuto di un professionista;
- preparare le informazioni pratiche che permettano alle persone giuste di agire senza dover ricorrere a un giudice.
Checklist
- Fai un inventario dei servizi in cui conservi dati importanti.
- Decidi cosa vuoi che succeda ai dati di ciascun servizio.
- Configura contatto erede e strumenti analoghi.
- Valuta il divieto espresso per i servizi più personali.
- Individua una persona che si occupi dei tuoi dati, e parlane con lei.
- Prepara istruzioni e informazioni pratiche, conservate in modo sicuro.
- Rivedi le tue scelte periodicamente.
Gli errori più comuni
- Pensare che gli eredi possano accedere automaticamente a tutto.
- Pensare, al contrario, che nessuno potrà mai accedere ai propri dati.
- Non esprimere nessuna volontà, lasciando la famiglia a interpretare.
- Lasciare le password su un foglio, senza indicazioni su cosa farne.
- Dimenticare i dispositivi: senza codici di sblocco, molti dati restano irraggiungibili.
Come aiuta La Cassaforte Digitale
La Cassaforte Digitale ti aiuta a esprimere e conservare le tue volontà sui dati, insieme alle informazioni pratiche che servono a chi dovrà rispettarle. Nell’archivio cifrato puoi indicare quali servizi usi, cosa vuoi che succeda ai dati di ciascuno, chi deve occuparsene, quali strumenti hai già configurato e dove si trovano le informazioni necessarie.
- I livelli Verde, Giallo e Rosso permettono di separare le volontà generali dalle informazioni più riservate.
- Ogni delegato riceve una propria Chiave di Accesso Delegato e vede solo ciò che hai deciso per lui.
- Il Controllo Vitale avvia il rilascio graduale solo se non rispondi, dopo solleciti e periodo di grazia.
- Puoi decidere anche cosa non condividere: ciò che non inserisci, o non rendi disponibile a un delegato, resta fuori.
Cosa La Cassaforte Digitale non fa
- Non presenta richieste ai fornitori di servizi e non accede ai tuoi account.
- Non sostituisce il divieto espresso previsto dalla legge, che va comunicato ai singoli titolari del trattamento.
- Conserva informazioni e istruzioni, non attribuisce diritti.
Domande frequenti
Gli eredi possono accedere ai dati personali di un familiare deceduto?
In Italia i diritti sui dati di una persona deceduta possono essere esercitati da chi ha un interesse proprio, da chi agisce a tutela dell’interessato come suo mandatario o per ragioni familiari meritevoli di protezione. Nella pratica servono richieste formali e documentazione.
Posso impedire che qualcuno acceda ai miei dati dopo la mia morte?
Per i servizi della società dell’informazione puoi vietarlo espressamente con una dichiarazione scritta presentata al titolare del trattamento. Il divieto deve essere specifico, libero e informato, e puoi revocarlo in qualsiasi momento.
Il divieto vale per tutto?
No. Non può pregiudicare i diritti patrimoniali che derivano ai terzi dalla tua morte né il diritto di difendere in giudizio i propri interessi.
Cosa fare se un fornitore rifiuta l’accesso ai dati di un familiare scomparso?
È opportuno rivolgersi a un avvocato. In alcuni casi i tribunali italiani hanno ordinato ai fornitori di consentire il recupero dei dati, richiamando l’art. 2-terdecies del Codice privacy.
Le tue volontà sui dati, nero su bianco
Volontà, servizi e istruzioni in un archivio cifrato, che arriva solo alle persone che indichi e solo per ciò che decidi tu.
Prova gratis per 15 giorniNessuna carta di credito. Puoi usarla come archivio personale o attivare i delegati: decidi tu.
Staff La Cassaforte Digitale: la redazione di AVANET SRL (Cuneo), che sviluppa e gestisce La Cassaforte Digitale. Le informazioni su norme e procedure sono verificate sulle fonti ufficiali indicate in fondo alla pagina, alla data di aggiornamento. Questo articolo ha scopo informativo e non sostituisce il parere di un avvocato, di un notaio o del tuo istituto bancario. Chi siamo
Fonti
- Codice in materia di protezione dei dati personali, art. 2-terdecies (Garante Privacy) — diritti riguardanti le persone decedute
- Regolamento (UE) 2016/679 (GDPR), considerando 27 — il GDPR non si applica ai dati delle persone decedute
- Garante per la protezione dei dati personali — indicazioni e provvedimenti
- Consiglio Nazionale del Notariato — eredità digitale e successioni
Verificate il 10 novembre 2026.