Molte aziende non ti chiedono il consenso per usare i tuoi dati: dichiarano di farlo sulla base di un loro "legittimo interesse". È una base giuridica prevista dal GDPR, ma non è un lasciapassare illimitato. Il diritto di opposizione, regolato dall'articolo 21 del Regolamento (UE) 2016/679, è lo strumento pensato proprio per riequilibrare questa situazione.
Due forme di opposizione molto diverse
L'articolo 21 contiene in realtà due diritti con regole differenti.
Opposizione per motivi legati alla tua situazione particolare
Puoi opporti in qualsiasi momento al trattamento dei tuoi dati quando questo si basa:
- sul legittimo interesse del titolare o di terzi (articolo 6, paragrafo 1, lettera f);
- sull'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri (articolo 6, paragrafo 1, lettera e).
In questo caso devi indicare i motivi connessi alla tua situazione particolare. Il titolare deve smettere di trattare i dati, a meno che dimostri l'esistenza di motivi legittimi cogenti che prevalgono sui tuoi interessi, diritti e libertà, oppure che il trattamento serve per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria. L'onere della prova è a carico del titolare, non tuo.
Opposizione al marketing diretto
Qui la regola è molto più netta. Se i tuoi dati sono trattati per finalità di marketing diretto, puoi opporti in qualsiasi momento, anche alla profilazione connessa al marketing, senza dover fornire alcuna motivazione. E una volta che ti sei opposto, i dati non possono più essere trattati per quella finalità. Non c'è bilanciamento, non ci sono eccezioni.
Esempi pratici
- Il gestore della carta fedeltà analizza i tuoi acquisti per inviarti coupon mirati. Puoi opporti alla profilazione a fini promozionali senza spiegare perché: la carta continuerà a funzionare per raccogliere punti.
- Il tuo fornitore di energia ti invia email promozionali sui suoi nuovi servizi, sostenendo che sei già cliente. Puoi opporti e le email devono cessare.
- Un'associazione di cui sei socio pubblica sul proprio sito l'elenco nominativo dei partecipanti a un evento, invocando il legittimo interesse. Puoi opporti spiegando, per esempio, che la pubblicazione del tuo nome ti espone a contatti indesiderati: sarà l'associazione a dover dimostrare un interesse prevalente.
L'obbligo di informarti
L'articolo 21, paragrafo 4, impone al titolare di portare il diritto di opposizione alla tua attenzione in modo esplicito, al più tardi al momento della prima comunicazione con te, presentandolo chiaramente e separatamente da altre informazioni. Nelle email commerciali questo si traduce di solito nel link di disiscrizione in fondo al messaggio. Se un'azienda ti contatta per marketing senza offrirti una modalità semplice per opporti, sta già violando la norma.
Nel contesto dei servizi online, l'opposizione può essere esercitata anche con mezzi automatizzati basati su specifiche tecniche: per esempio un'impostazione del profilo che disattiva la pubblicità personalizzata.
Come opporsi in modo efficace
- Usa il canale più rapido. Per le email, il link di disiscrizione funziona quasi sempre. Per telefonate e SMS, comunica l'opposizione all'operatore e poi conferma per iscritto.
- Scrivi al titolare quando il canale rapido non basta. Indica i dati che ti identificano (email, numero di telefono, codice cliente) e dichiara di opporti ai sensi dell'articolo 21 al trattamento per marketing diretto e profilazione.
- Specifica i canali. Precisare "email, SMS, telefonate, posta cartacea e notifiche push" evita interpretazioni restrittive.
- Conserva le prove. Se dopo l'opposizione ricevi altri messaggi promozionali, data e testo saranno elementi utili per un reclamo.
Il titolare deve darti riscontro entro un mese, come prevede l'articolo 12.
Opposizione e revoca del consenso
Le due cose si assomigliano ma non coincidono.
| Revoca del consenso | Opposizione | |
|---|---|---|
| Quando si usa | Il trattamento si basa sul consenso | Il trattamento si basa su legittimo interesse o interesse pubblico |
| Motivazione richiesta | No | Solo fuori dal marketing diretto |
| Effetto | Il trattamento basato sul consenso cessa | Il trattamento cessa salvo motivi cogenti; per il marketing cessa sempre |
Se non sai quale base giuridica usa l'azienda, puoi citarle entrambe nella stessa richiesta: "revoco ogni consenso eventualmente prestato e mi oppongo ai sensi dell'art. 21".
Dopo l'opposizione
L'opposizione blocca il trattamento per la finalità contestata, ma non comporta automaticamente la cancellazione di tutti i dati: l'azienda potrebbe conservarli per altri scopi legittimi, come la gestione del contratto. Se vuoi anche la cancellazione, puoi chiederla nella stessa comunicazione: l'articolo 17 prevede espressamente l'opposizione tra i motivi che la giustificano.
In sintesi
- L'art. 21 GDPR consente di opporsi ai trattamenti basati su legittimo interesse o interesse pubblico, indicando motivi legati alla tua situazione.
- Contro il marketing diretto e la profilazione collegata l'opposizione è assoluta e non va motivata.
- Il titolare deve informarti del diritto in modo chiaro e separato, già dalla prima comunicazione.
- Indica tutti i canali di contatto e conserva le prove di eventuali invii successivi.
- Puoi abbinare l'opposizione alla richiesta di cancellazione.