Stai impostando una campagna di marketing, sviluppando un nuovo servizio clienti o aggiornando le tue politiche di privacy e ti stai chiedendo quali regole devi osservare in materia di consenso al trattamento dei dati personali? Conoscere che cosa prevede la normativa è importante per mettersi al riparo da sanzioni, oltre che per miglior trattamento della tua clientela.
Sono Erika Bonollo, avvocato che presta consulenza ad imprese e professionisti e, con questo articolo, vedremo insieme quando è necessario ottenere il consenso al trattamento dei dati, cosa implica e come assicurarti che sia valido.
La nozione di consenso di dati personali
Il General Data Protection Regulation (GDPR) identifica il consenso dell’interessato come una delle sei basi giuridiche fondamentali che legittimano il trattamento dei dati personali e, all’art. 4, lo definisce quale “qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento”.
Le caratteristiche del consenso
Secondo la nozione prevista dall’art. 4 GDPR, affinché il consenso costituisca una valida base giuridica deve possedere alcune caratteristiche.
Libero
Innanzitutto, il consenso al trattamento dei dati personali deve essere libero, cioè espresso senza coercizioni. In sostanza, il consenso deve essere il risultato di una scelta volontaria dell’interessato.
Ne consegue che non può ritenersi libero il consenso espresso dall’interessato che non dispone di una vera scelta o, ancora, che teme di subire conseguenze negative in caso di rifiuto.
Ad esempio, consideriamo il caso di un consumatore che desidera acquistare un prodotto tramite un sito e-commerce. Al momento del checkout, il sito richiede all’utente di accettare l’invio di newsletter periodiche per promozioni e aggiornamenti come condizione obbligatoria per completare l’acquisto. In questa situazione, il consenso per la ricezione delle newsletter non è strettamente necessario per l’esecuzione del contratto di acquisto del prodotto, essendo piuttosto un interesse aggiuntivo del venditore. Se l’utente non può concludere l’acquisto senza accettare di ricevere queste comunicazioni, il consenso non può essere considerato libero secondo il GDPR. Il cliente dovrebbe avere la possibilità di scegliere se sottoscrivere o meno alla newsletter senza che ciò influenzi la transazione principale. In questo modo, il consenso sarebbe dato liberamente, rappresentando una reale manifestazione di volontà indipendente dalle condizioni di vendita del prodotto.
Specifico
Oltre a dover essere libero, il consenso deve essere specifico, ossia riferito a una o più finalità ben definite.
A tal fine, il titolare del trattamento deve (i) identificare in modo chiaro ed esplicito le diverse finalità per cui intende trattare dati personali, (ii) porre l’interessato nella condizione di scegliere liberamente per quali specifiche attività consentire al trattamento dei propri dati e per quali no, e (iii) fornire informazioni dettagliate che chiariscano, per ogni richiesta di consenso, quali dati verranno trattati e in che modo.
Ad esempio, se un sito web desidera utilizzare i dati personali sia per migliorare l’esperienza utente sia per marketing diretto, dovrebbe fornire agli utenti la possibilità di acconsentire separatamente a queste due diverse finalità. Così facendo, prima di prestare il consenso, può comprendere l’impatto delle proprie scelte.
Qualora il titolare del trattamento intenda utilizzare i dati per nuove finalità che non rientrano in quelle originariamente consentite, è tenuto a ottenere un nuovo consenso prima di procedere.
Informato
Oltre a dover essere libero e specifico, il consenso deve essere informato. Questo significa che, prima di prestarlo o negarlo, l’interessato deve avere accesso ad una serie di informazioni quali l’identità del titolare del trattamento, le finalità specifiche per ciascuno dei trattamenti per i quali il consenso è richiesto, quali tipi di dati personali saranno raccolti e utilizzati, l’esistenza del diritto di revocare il consenso, le informazioni sull’uso dei dati per processi decisionali automatici compresa la profilazione, i possibili rischi di trasferimenti dei dati in assenza di decisione di adeguatezza e adeguate garanzie.
Il titolare del trattamento, pertanto, è tenuto a fornire preventivamente all’interessato un’informativa chiara e semplice, facilmente comprensibile, che includa le informazioni sopra elencate.
Inequivocabile
Il consenso deve inoltre essere inequivocabile, ossia manifestato attraverso un’azione positiva chiara da parte dell’interessato.
Ciò può avvenire, per esempio, attraverso la compilazione di una dichiarazione scritta, selezionando una casella non preselezionata in un modulo online. Non sono invece considerate valide la mera navigazione in un sito web o lo scorrimento delle sue pagine.
Consideriamo ad esempio il sito web di un servizio di notizie online che propone agli utenti di abbonarsi alle notifiche e agli aggiornamenti via e-mail. Durante la registrazione o l’iscrizione al sito, l’utente si imbatte in un modulo con una casella già spuntata (“pre-flegged”) che indica “Accetto di ricevere aggiornamenti marketing via email.” In tal caso, il consenso prestato non è valido perché le caselle pre-selezionate non richiede un’azione attiva da parte dell’utente ma, al contrario, postula un’azione positiva solo per l’ipotesi in cui l’utente voglia negare il proprio consenso.
Esplicito
Fermo le caratteristiche sopra elencate, ci sono circostanze in cui il GDPR richiede che il consenso sia anche esplicito. Questo livello aggiuntivo di protezione è richiesto per (i) il trattamento di categorie particolari di dati, (ii) i trasferimenti di dati verso paesi terzi o organizzazioni internazionali privi di garanzie adeguate, e (iii) i processi decisionali automatizzati, compresa la profilazione.
Per soddisfare il requisito del consenso esplicito è necessaria una dichiarazione chiara da parte dell’interessato che manifesti specificamente il suo consenso per uno dei trattamenti sopra menzionati. Questa dichiarazione può essere resa in forma scritta, mediante sottoscrizione oppure, nel contesto digitale o online, attraverso apposito modulo elettronico, inviando un’e-mail contenente il consenso specifico, caricando un documento scansionato con la propria firma o, ancora, utilizzando una firma elettronica. È possibile anche ottenere un consenso esplicito oralmente purché, in tal caso, venga richiesta una conferma specifica da parte dell’interessato (ad esempio premendo un pulsante o fornendo una conferma verbale).
La dimostrazione del consenso e la revocabilità
È bene ricordare che il titolare del trattamento deve non solo ottenere il consenso degli interessati in modo conforme a quanto fin qui visto, ma anche di esser in grado di dimostrarlo in qualsiasi momento
Il titolare deve quindi tenere traccia di ogni consenso ricevuto e conservare i dati che consentano di verificare e dimostrare quando il consenso è stato prestato, da chi e per quali finalità, implementando quindi processi e sistemi che permettano la registrazione e la conservazione del consenso in modo sicuro e verificabile.
Inoltre, dopo aver ottenuto il consenso il titolare deve anche consentire all’interessato di poterlo revocare, in qualsiasi momento e con la stessa facilità con cui è stato originariamente concesso. Quello di revocare il consenso rappresenta uno dei diritti dell’interessato. Questo può significare fornire opzioni online facilmente accessibili oppure offrire assistenza diretta per facilitare il processo. Qualunque sia la modalità scelta, il processo di revoca deve essere semplice, accessibile e che non deve comportare conseguenze negative per l’interessato.
Una volta che il consenso viene revocato, il titolare del trattamento è tenuto a cessare immediatamente il trattamento dei dati personali per le finalità legate a quel consenso, a meno che non vi sia un’altra base legittima che giustifichi la prosecuzione del trattamento. I trattamenti effettuati prima della revoca invece rimangono leciti, purché siano stati conformi alle disposizioni del GDPR fino a quel momento.
Sanzioni GDPR: a cosa si va incontro?
Non osservare le prescrizioni normative in materia di consenso espone il titolare a sanzioni notevoli. Possono infatti essergli irrogate sanzioni amministrative pecuniarie fino a 20 milioni di euro o fino al 4% del fatturato mondiale totale dell’ultimo esercizio finanziario, a seconda di quale importo sia maggiore.
Inoltre, il titolare può essere chiamato a risarcire i danni subiti dagli interessati e può anche essergli imposto un divieto di trattare dei dati personali finché non vengano adottate misure adeguate per correggere la non conformità eventualmente riscontrata.
Consenso: è sempre necessario?
Ora che abbiamo visto come deve essere raccolto il consenso, quali caratteristiche deve possedere e le regole da rispettare, passiamo a chiederci “ma è sempre necessario?”. La risposta è “no”.
Il GDPR stabilisce che il trattamento di dati personali debba sempre trovare fondamento in una specifica base giuridica ma il consenso, come abbiamo anticipato in apertura, ne rappresenta una. Oltre al consenso, il GDPR prevede cinque basi legali che, a secondai dei casi, possono rendere lecito il trattamento dei dati personali.
- Esecuzione di un contratto o di misure precontrattuali
- Obbligo legale al quale è soggetto il titolare del trattamento
- Interessi vitali della persona interessata o di terzi
- Legittimo interesse prevalente del titolare o di terzi
- Esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri.
Ne discende che non è sempre necessario – e tantomeno corretto – ottenere il consenso dell’interessato per trattare i dati personali. Vi sono altre situazioni in cui è possibile farlo e, per comprendere quale sia la corretta base giuridica per uno determinato trattamento, è necessario esaminare per ogni specifico caso, considerare la natura dei dati, il contesto del trattamento e le esigenze dell’attività in questione.
In conclusione
Come è agevole intuire sulla base di quanto abbiamo visto fin qui, le regole sull’ottenimento del consenso dell’interessato sono molteplici e rispettarle è fondamentale per trattare dati personali in modo lecito, evitando il rischio di subire sanzioni notevoli. Se cerchi un supporto legale per comprendere se il consenso sia la base giuridica corretta e, in caso affermativo, come impostare correttamente i processi di raccolta di dati, non esitare a contattarmi.
Sono a disposizione per consulenze personalizzate sul territorio di Thiene, Vicenza e online.
