consenso

x

Il consenso è una delle basi giuridiche individuate dall’articolo 6 GDPR, ovverosia una fra le sei condizioni alternative necessarie a supportare la liceità di un trattamento dei dati personali degli interessati. Il consenso non è quindi sempre necessario per trattare dei dati personali, essendo possibile farlo anche sulla base di condizioni diverse, quali un obbligo di legge o l’esistenza di un contratto.

Nei casi in cui il trattamento dei dati dell’interessato sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare di averlo raccolto presso l’interessato. Questo obbligo è un riflesso del principio di accountability che il GDPR impone al titolare del trattamento. La verificabilità è quindi il primo requisito previsto per il consenso.

Per essere valido, il consenso deve presentare anche altri requisiti determinati.

In primo luogo, il consenso deve essere informato. Ciò significa che il titolare del trattamento dovrà indicare, in maniera trasparente, nella propria informativa privacy che quel determinato trattamento dei dati richiede un consenso dell’interessato.

Il consenso deve poi essere inequivocabilmente raccolto per lo specifico trattamento a cui si riferisce. Il titolare che intenda ottenere validamente il consenso dell’interessato dovrà quindi predisporre un testo chiaro, semplice, accessibile e leggibile con facilità che sia chiaramente distinguibile da altre dichiarazioni e/o richieste. Solo così il consenso rispetterà i requisiti di inequivocabilità e specificità imposti. Ad esempio, non potrà considerarsi raccolto validamente un consenso con un’unica firma di accettazione (o spunta di una check box su un sito) ad una dichiarazione che preveda anche l’accettazione di condizioni generali e/o termini di servizio (“Acconsento al trattamento ed accetto le condizioni generali di vendita”).

Ancora, il consenso deve essere prestato liberamente dall’interessato, senza alcuna costrizione. Questa è la ragione per la quale, in quasi tutti i casi, il consenso non è considerato una base giuridica valida nell’ambito del rapporto di lavoro, poiché i rapporti tra datore di lavoro (titolare) e dipendente (interessato) sono squilibrati a tal punto da impedire che quest’ultimo possa scegliere in libertà se acconsentire o meno al trattamento richiesto dal titolare. Non è libero nemmeno il consenso da prestarsi obbligatoriamente per trattamenti superflui rispetto ai servizi di una determinata app (ad es. consenso obbligatorio ai dati di geolocalizzazione per app di fotoritocco).

In ultimo, il consenso deve essere liberamente revocabile dall’interessato, in qualsiasi momento e con la stessa facilità con cui è stato prestato. Il diritto di libera revocabilità del consenso deve essere chiaramente riportato nell’informativa privacy del titolare del trattamento, di modo da garantirne la conoscenza all’interessato.

Se un trattamento è fondato sul consenso, ciò ha effetti anche sui diritti che l’interessato può vantare. Ferma la possibilità di chiedere la limitazione del trattamento, nonché la rettifica e l’accesso ai propri dati personali, l’interessato ha anche la possibilità di esercitare il diritto alla portabilità dei propri dati.

Il GDPR prevede delle regole particolari per il consenso dei minori in relazione ai servizi della società dell'informazione (sono contratti e i servizi conclusi o trasmessi online). In questo caso, il consenso è valido solo se prestato da un minore che abbia almeno 16 anni di età, sebbene gli Stati membri possano abbassare questa soglia fino al limite di 13 anni. L’Italia ha fissato l’età affinchè il consenso del minore sia valido in 14 anni. Al di sotto della soglia limite, il consenso deve essere prestato o autorizzato da chi esercita la responsabilità genitoriale verso il minore.

Il consenso, come anticipato, è solo una delle sei possibili basi giuridiche del trattamento. Le linee guida 5/2020 sul consenso chiariscono che, nel caso in cui il titolare fondi il trattamento sul consenso, non può passare retroattivamente dal consenso ad altre basi giuridiche se il primo viene revocato. Questo comportamento sarebbe scorretto nei confronti dell’interessato.

Di seguito, indichiamo gli articoli correlati. Art. 6 GDPR - Liceità del trattamento; Art. 7 GDPR - Condizioni per il consenso; Art. 20 GDPR - Diritto alla portabilità dei dati.