Il consenso rappresenta una tra le principali basi giuridiche comprese nel Regolamento Generale sulla Protezione dei Dati (GDPR). Secondo il GDPR, il consenso deve essere libero, specifico, informato ed inequivocabile, e deve essere ottenuto in maniera chiara e comprensibile per l’individuo interessato. Inoltre, il consenso può essere revocato in qualsiasi momento.
Prima di affrontare nel dettaglio le caratteristiche che devono essere rispettate per la sua raccolta e gestione, pare opportuno definire in via incidentale cosa si intende per “consenso” nell’ambito della normativa europea in materia di protezione dei dati personali.
Che cos’è il consenso al trattamento dei dati personali
Nonostante spesso ne risulti inflazionato l’utilizzo, che lo vede impropriamente alla base di qualsiasi tipo di trattamento, il consenso in realtà rappresenta soltanto una delle alternative basi giuridiche enunciate all’art. 6 GDPR (al quale si rinvia per una lettura completa delle ulteriori condizioni di liceità ivi previste). Ciò significa che, se da un lato è indubbio che un titolare del trattamento possa effettuare qualsiasi attività di trattamento dei dati (anche la semplice raccolta, stante l’ampia definizione di “trattamento” offerta dall’art. 4 GDPR) solo in presenza di almeno una tra le alternative condizioni di liceità di cui all’art. 6 GDPR, dall’altro lato il consenso rappresenta soltanto una di esse.
Non vi è, pertanto, necessità di richiederlo laddove sia possibile “ancorare” il trattamento a una differente base giuridica. È il caso, ad esempio, delle attività legate alla gestione del rapporto lavorativo, i cui relativi trattamenti trovano giustificazione negli obblighi contrattuali e legali (sotto il profilo giuslavoristico) connessi alla relazione intercorrente tra datore e lavoratore (cfr., rispettivamente le lettere b) e c) del primo comma dell’art. 6 GDPR)[1].
All’opposto, vi sono ipotesi in cui il consenso è richiesto obbligatoriamente quale base giuridica. È il caso – a mero titolo esemplificativo e non anche esaustivo – delle attività di marketing diretto e di comunicazione a scopo pubblicitario.
Tralasciando in questa sede, in ragione dell’oggetto del presente contributo, se e in quali (molteplici) casi il consenso sia o meno obbligatorio, concentriamoci sui relativi requisiti richiesti affinché possa ritenersi valido e conforme alla normativa in materia di protezione dei dati.
Le best practice per ottenere un consenso privacy valido
Prima di passare in esame le caratteristiche del consenso stabilite sia ex art. 7 GDPR che dalle apposite linee guida dell’EDPB (European Data Protection Board), l’elemento dal quale non si può prescindere è innanzitutto quello di una corretta impostazione “by design” (cfr. art. 25 GDPR) e di organizzazione interna: dalla redazione della modulistica alla formazione del personale, dalla sicura conservazione dei consensi raccolti al celere riscontro da fornire all’interessato in seguito alla richiesta di revoca del consenso, il titolare del trattamento deve garantire ed essere in grado di dimostrare di aver attuato adeguate misure di sicurezza sotto il profilo organizzativo. Un’operazione non solo in sé necessaria nell’ottica del principio di accountability di cui all’art. 24 GDPR, ma altresì ingrediente fondamentale per consentire il rispetto degli elementi che costituiscono un consenso valido.
Consenso al trattamento dei dati personali in conformità al GDPR e gli errori da evitare
Tali caratteristiche sono individuabili sia all’interno della definizione di “consenso” offerta dal punto 11 dell’art. 4 GDPR – secondo il quale deve intendersi come una “qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento”[2] – sia all’art. 7 GDPR, che indica le condizioni per un consenso valido.
Dovendo condensare il tema in ragione della sede che ci ospita, concentriamoci di seguito su quelli che sono i requisiti per l’ottenimento di un consenso valido (nonché gli errori da evitare) pur sottolineando, tuttavia, come molteplici siano le ulteriori implicazioni e le indicazioni interpretative da osservare in materia di consenso affrontate dall’EDPB all’interno delle sue Linee guida 5/2020, alle quali si rinvia.
In sintesi, ciascun titolare del trattamento deve assicurarsi che il consenso presenti le seguenti caratteristiche.
- Libero. Come riportato al par. 3.1 punto 13 delle richiamate linee guida, “l’elemento della manifestazione di volontà “libera” implica che l’interessato abba una scelta effettiva e il controllo sui propri dati”. Ciò significa che il consenso non può essere posto quale condizione non negoziabile del contratto o del servizio, né può ritenersi “libero” laddove l’interessato non disponga di una scelta effettiva o si senta obbligato ad acconsentire in ragione dai probabili effetti negativi conseguenti dall’eventuale diniego[3].
- Inequivocabile. Come sottolineato nella definizione offerta dalla normativa europea privacy, il consenso deve altresì essere inequivocabile, ossia consistere in una dichiarazione o in un’azione positiva compiuta dall’interessato. Quest’ultimo, dunque, deve intraprendere un’azione deliberata con cui manifesti espressamente la sua volontà di prestare il consenso.
Per raccogliere l’evidenza di tale comportamento attivo il Considerando 32 GDPR indica al titolare del trattamento la selezione di un’apposita casella in un sito web ma, più in generale anche “qualsiasi altra dichiarazione o qualsiasi altro comportamento che indichi chiaramente in tale contesto che l’interessato accetta il trattamento proposto”. Pensiamo – ex multis – alla “classica” raccolta del consenso su supporto cartaceo, mediante una dichiarazione scritta, oppure attraverso mezzi elettronici[4] o in via orale[5].
In ogni caso, il titolare deve individuare dei meccanismi che operano in maniera chiara per gli interessati, evitando ambiguità e garantendo che l’azione con cui si richiede di esprimere il consenso sia tenuta distinta da altre. Così, ad esempio, l’azione di scorrere un sito o sfogliarne le pagine non può essere riconducibile a un’azione positiva inequivocabile, dato che costituisce un’attività difficilmente distinguibile rispetto ad altre interazioni dell’utente[6].
Alla luce di quanto rilevato, non può pertanto rappresentare valido consenso quello “tacito”, come il silenzio o l’inattività da parte dell’interessato, né l’impostazione di caselle preselezionate da parte del titolare.
- Specifico. A chiarire il requisito della specificità (o “granularità”) del consenso è l’art. 6, comma 1, lett. a), GDPR, laddove la necessità di prevedere un consenso che sia espresso “per una o più specifiche finalità” sottolinea come all’interessato debba essere garantito un certo grado di controllo in relazione a ciascuna attività di trattamento sottoposta alla base giuridica de quo. Nell’esempio di un’attività di marketing diretto e della connessa attività di profilazione automatizzata – entrambe da ricondurre al consenso a livello di base giuridica – la raccolta del consenso dovrà essere mantenuta distinta: non potrebbe essere sottoposta all’interessato un’unica casella da barrare, bensì andrebbero previste due singole e distinte richieste di consenso. Il soggetto, infatti, potrebbe decidere di voler ricevere le comunicazioni a carattere promozionale ma non anche di farsi profilare rispetto alle sue abitudini o ai suoi interessi.
- Informato. Quello della trasparenza è uno tra i principi fondamentali enunciati dall’art. 5 GDPR e permea, nella prospettiva dell’accountability di cui all’art. 24 GDPR, l’intera normativa europea in materia di protezione dei dati personali. Fornire informazioni all’interessato prima di raccogliere il consenso di quest’ultimo risulta pertanto fondamentale: il soggetto deve essere messo nelle condizioni di conoscere, attraverso informazioni accessibili e chiare, a cosa sta acconsentendo (anche nell’ottica di un’eventuale revoca del consenso). Senza che vi sia una preventiva informazione da parte del titolare non si può parlare di una reale conoscibilità e, dunque, di un controllo sostanziale da parte dell’interessato. Un consenso non informato non può dunque ritenersi valido.
- Revocabile. A norma dell’art. 7, comma 3, GDPR, il titolare non solo deve consentire all’interessato di revocare il consenso prestato, ma altresì deve averlo preventivamente informato di tale possibilità e prevedere delle modalità facili quanto quelle adottate per la raccolta del consenso stesso. In questa prospettiva non sfuggiranno le implicazioni sotto il profilo organizzativo: per dar seguito all’eventuale richiesta di revoca del consenso è opportuno che l’organizzazione del titolare si attivi senza ingiustificato ritardo e, al più tardi, entro un mese dal ricevimento della richiesta[7] (cfr. art. 12, comma 3, GDPR).
- Verificabile. Oltre al richiamato e centrale principio di accountability, gli obblighi di dimostrabilità in capo al titolare sono espressamente sanciti dalla normativa europea all’art. 7, comma 1 (“il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso al trattamento dei propri dati personali”) e dal Considerando 42. Se da un lato, come abbiamo visto, viene concesso al titolare di “sviluppare metodi propri per rispettare [gli obblighi di raccolta di valido consenso] in maniera adatta alle sue attività quotidiane”[8], dall’altro viene richiesto a quest’ultimo di dimostrare fintanto che dura l’attività di trattamento come l’interessato abbia prestato un consenso valido. Sotto questo profilo è dunque fondamentale per il titolare la corretta e sicura conservazione della documentazione attestante la raccolta del consenso, sia che ciò sia avvenuto su base cartacea che digitale.
Utile, inoltre, sottolineare quanto riportato al punto 110 del par. 5.1 delle Linee guida sul consenso dell’EDPB, ossia come il regolamento europeo “non specifica alcun termine per la durata del consenso” e di come questo, piuttosto, “dipenderà dal contesto, dalla portata del consenso originale e dalle aspettative dell’interessato. Se i trattamenti cambiano o si evolvono in maniera considerevole, il consenso originale non è più valido e occorrerà un nuovo consenso”.
Consenso al trattamento dei dati personali nei servizi online
Rinviando ad altra sede le implicazioni inerenti al tema dell’offerta diretta di servizi della società dell’informazione ai minori (cfr. art. 8 GDPR), anche nel caso in cui la raccolta del consenso avvenga tramite il sito web, il titolare dovrà fare attenzione a rispettare i criteri appena visti.
Così, ad esempio, con riferimento al requisito della “dimostrabilità”, in ambito online il titolare può conservare le informazioni sulla sessione in cui è stato espresso il consenso, unitamente alla documentazione della procedura di consenso al momento della sessione online, oltre a una copia delle informazioni presentate all’interessato in quel momento. Non sarebbe pertanto sufficiente far mero riferimento a una corretta configurazione del sito web[9].
Consenso al trattamento dei dati personali per attività di profilazione
Nel caso di attività di profilazione condotte dal titolare (pensiamo all’esempio più sopra richiamato in cui la profilazione si affianchi a un’attività di marketing, al fine di indirizzare con maggior efficacia una campagna pubblicitaria), quest’ultimo oltre alla raccolta di specifico consenso dovrà assicurarsi di condurre un’idonea valutazione d’impatto (DPIA – Data Protection Impact Assessment)ai sensi dell’art. 35 GDPR.
Nell’allegato 1 al provvedimento n. 467 dell’Autorità Garante privacy dell’11 ottobre 2018 si legge infatti come siano da sottoporre a DPIA i “[…] trattamenti che comportano la profilazione degli interessati nonché lo svolgimento di attività predittive effettuate anche on-line o attraverso app, relativi ad “aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze o gli interessi personali, l’affidabilità o il comportamento, l’ubicazione o gli spostamenti dell’interessato””.
Trattamento dei dati personali nel contesto delle attività di marketing
Con riferimento al trattamento dei dati personali nel contesto delle attività di marketing, da segnalare l’eccezione alla richiesta del consenso nell’ambito del cosiddetto “soft spam”. In sostanza, alla luce dell’art. 130, comma 4, del Codice privacy novellato (D. Lgs. 196/2003, così come modificato dal D. Lgs. 101/2018), per le comunicazioni trasmesse mediante posta elettronica[10] ai fini di vendita diretta di un prodotto o servizio, può non essere richiesto il consenso agli interessati che abbiano già fornito le loro coordinate di posta elettronica nell’ambito di una precedente vendita di un prodotto o servizio. Ciò, a due condizioni:
- Che si tratti di prodotti o servizi analoghi rispetto a quelli oggetto della vendita;
- Che l’interessato sia stato adeguatamente informato e non rifiuti tale uso inizialmente o in occasione di successive comunicazioni.
Come gestire il consenso privacy in caso di trasferimento internazionale
Fermo restando quanto più sopra osservato circa le molteplici modalità di raccolta del consenso, in talune circostanze nelle quali emergono gravi rischi per la protezione dei dati è previsto che l’ottenimento del consenso avvenga necessariamente in via esplicita. È il caso del trattamento di dati particolari di cui all’art. 9 GDPR, del trattamento nell’ambito di processi decisionali automatizzati di cui all’art. 22 GDPR, nonché dei trasferimenti di dati verso un Paese terzo o un’organizzazione internazionale in assenza di garanzie adeguate[11].
Proprio con riferimento a quest’ultima fattispecie si osserva come le apposite linee guida 2/2018 dell’EDPB sulle deroghe di cui all’art. 49 GDPR ribadiscano i caratteri della specificità e delle informazioni da rendere all’interessato, che dovranno soprattutto dare evidenza dei rischi del trasferimento e delle circostanze in cui ciò avviene.
Implicazioni legali della gestione del consenso al trattamento dei dati personali
In conclusione, sotto il profilo delle implicazioni sul piano sanzionatorio, si rileva come le violazioni inerenti alle condizioni di liceità, nonché alle condizioni relative al consenso, ricadono – così come previsto ex art. 83, comma 5, lett. a), GDPR – nella fascia più aspra delle sanzioni amministrative pecuniarie previste dalla normativa europea, ovvero fino a venti milioni di euro o, per le imprese, fino al quattro percento del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.
Note
[1] Si osserva, peraltro, come in ragione dell’asimmetria tra le parti del rapporto contrattuale (datore e lavoratore), l’eventuale consenso non potrebbe essere considerato liberamente prestato, in quanto, così come stabilito dal Considerando 42 GDPR, l’interessato (il lavoratore, ndr) non sarebbe “in grado di operare una scelta autenticamente libera o [sarebbe] nell’impossibilità di rifiutare o revocare il consenso senza subire pregiudizio”.
[2] Cfr. anche Considerando 32 GDPR.
[3] Si veda quanto osservato alla nota 1.
[4] In tal caso è richiesto che all’interessato siano fornite informazioni inequivocabili e sia reso chiaro come l’azione positiva costituisca il consenso a una richiesta specifica: ad esempio, “se fai scorrere questa barra verso sinistra acconsenti all’uso delle informazioni X per la finalità Y” (cfr. par. 3.4, punto 85 (esempio 15) delle Linee guida 5/2020 sul consenso dell’EDPB.
[5] Nel caso del consenso ottenuto tramite una conversazione telefonica, occorre che “le informazioni sulla scelta siano corrette, intelligibili e chiare e che venga richiesta una conferma specifica da parte dell’interessato (ad esempio premendo un pulsante o fornendo una conferma verbale)” (cfr. par. 4, punto 95 delle Linee guida sopra richiamate).
[6] Cfr. par. 3.4, punto 86 (esempio 16) delle Linee guida sopra richiamate.
[7] Come stabilito ex art. 12, comma 3, GDPR, “tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. Il titolare del trattamento informa l’interessato di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta”.
[8] Cfr. par. 5.1, punto 106, Linee guida 5/2020 sul consenso dell’EDPB.
[9] Cfr. par. 5.1, punto 108 delle Linee guida sopra richiamate.
[10] Come evidenziato dal provvedimento n. 242 del Garante privacy del 15 maggio 2013 [doc. web n. 2543820], “analoghi criteri di semplificazione sono stati inoltre adottati con riguardo all’invio di posta cartacea, a fini di vendita diretta alla clientela di prodotti e servizi analoghi” secondo quanto previsto dal provvedimento generale del Garante privacy del 19 giugno 2008 [doc. web n. 1526724].
[11] Cfr. par. 4, punti 91 delle Linee guida 5/2020 sul consenso dell’EDPB.
