"Acconsento al trattamento dei dati personali": la casella compare ovunque, dai moduli di iscrizione alle app, fino ai fogli firmati dal medico o in palestra. Molti pensano che senza quella firma nessuno possa usare i loro dati, e che con quella firma tutto sia permesso. Entrambe le idee sono sbagliate. Capire che ruolo ha davvero il consenso ti aiuta a riconoscere quando è necessario e quando ti viene chiesto senza motivo.
Il consenso è una delle sei basi giuridiche
L'articolo 6 del Regolamento (UE) 2016/679 elenca sei basi giuridiche alternative che rendono lecito un trattamento:
- il consenso dell'interessato;
- l'esecuzione di un contratto di cui sei parte o di misure precontrattuali richieste da te;
- un obbligo legale del titolare;
- la salvaguardia di interessi vitali tuoi o di un'altra persona;
- l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri;
- il legittimo interesse del titolare o di terzi, purché non prevalgano i tuoi interessi e diritti.
Questo significa che molti trattamenti non richiedono il consenso. Il negozio online che usa il tuo indirizzo per spedirti un pacco si basa sul contratto; il datore di lavoro che comunica i tuoi dati all'ente previdenziale adempie un obbligo di legge. Chiedere il consenso in questi casi è inutile e può persino creare confusione, perché lascia intendere che potresti revocarlo.
Quando il consenso è necessario
Il consenso diventa la base tipica per trattamenti che non sono indispensabili al servizio richiesto e che non rientrano in altre basi:
- invio di comunicazioni promozionali, in molti casi;
- comunicazione dei dati a terzi per loro finalità di marketing;
- cookie e strumenti di tracciamento non tecnici;
- alcuni trattamenti di categorie particolari di dati, come i dati sanitari, per i quali l'articolo 9 richiede un consenso esplicito quando non ricorre un'altra eccezione.
I requisiti di un consenso valido
L'articolo 4, punto 11, definisce il consenso come una manifestazione di volontà libera, specifica, informata e inequivocabile, espressa con dichiarazione o azione positiva inequivocabile. L'articolo 7 aggiunge alcune condizioni.
| Requisito | Che cosa significa | Esempio di violazione |
|---|---|---|
| Libero | Puoi rifiutare senza subire conseguenze ingiustificate | Servizio negato se non accetti il marketing, quando il marketing non serve al servizio |
| Specifico | Un consenso per ciascuna finalità distinta | Una sola casella per newsletter, profilazione e cessione a terzi |
| Informato | Sai chi tratta i dati e per che cosa | Consenso chiesto senza informativa |
| Inequivocabile | Serve un'azione positiva | Caselle preselezionate, silenzio, inattività |
| Distinguibile | Se inserito in un documento più ampio, deve essere separato dal resto | Consenso nascosto tra le condizioni generali di contratto |
| Dimostrabile | Il titolare deve poter provare di averlo ottenuto | Nessuna registrazione di quando e come è stato dato |
L'articolo 7, paragrafo 4, è particolarmente importante: nel valutare se il consenso è libero si tiene conto di se l'esecuzione di un contratto sia condizionata al consenso per un trattamento non necessario a quel contratto.
La revoca: semplice quanto il consenso
L'articolo 7, paragrafo 3, stabilisce che puoi revocare il consenso in qualsiasi momento e che revocarlo deve essere facile quanto prestarlo. Se hai acconsentito con un clic in un'app, non può esserti richiesta una raccomandata per revocarlo.
Come revocare
- Cerca lo strumento previsto: impostazioni dell'account, centro preferenze, link in fondo alle email.
- Se non esiste, scrivi al titolare indicando i dati che ti identificano e le finalità per cui revochi il consenso.
- Sii specifico o generale secondo l'obiettivo: puoi revocare solo il consenso al marketing e mantenere, per esempio, quello a ricevere avvisi su nuovi servizi, oppure revocare ogni consenso prestato.
- Conserva la prova della revoca.
Che cosa succede dopo
- Il trattamento basato sul consenso deve cessare.
- I trattamenti effettuati prima della revoca restano leciti: la revoca non ha effetto retroattivo.
- Se non esistono altre basi giuridiche, puoi chiedere anche la cancellazione dei dati ai sensi dell'articolo 17.
- Il titolare non può "spostare" il trattamento su un'altra base giuridica solo perché hai revocato il consenso, se in origine aveva scelto il consenso come base.
Un esempio concreto
Ti iscrivi a un programma fedeltà di una catena di negozi. Il modulo contiene tre caselle: regolamento del programma (obbligatoria), comunicazioni promozionali (facoltativa), cessione dei dati a partner (facoltativa). È un'impostazione corretta: le finalità sono separate e puoi aderire al programma senza accettare il resto. Se dopo qualche mese le offerte diventano eccessive, puoi revocare il secondo consenso dall'app, con la stessa facilità con cui l'avevi dato, continuando a raccogliere punti.
In sintesi
- Il consenso è solo una delle sei basi giuridiche dell'art. 6 GDPR: molti trattamenti non lo richiedono.
- È necessario soprattutto per marketing, cessione a terzi, cookie non tecnici e alcuni dati sensibili.
- Deve essere libero, specifico, informato, inequivocabile e separato da altri contenuti.
- Puoi revocarlo in qualsiasi momento, con la stessa facilità con cui lo hai prestato.
- La revoca non è retroattiva, ma blocca il trattamento e apre la strada alla cancellazione.