In questo primo aggiornamento ci occupiamo del consenso.
Dopo il 25 maggio 2018 – data in cui il GDPR è diventato definitivamente applicabile in tutta Europa – e dopo il 19 settembre 2018 – data in cui il Codice Privacy (D. Lgs. 196/2003 è stata adeguata al GDPR) – è utile procedere a fare un piccolo riassunto degli “istituti-pilastro” previsti all’interno della normativa .
Il consenso non è l’unica base giuridica per trattare dati personali: la base giuridica può essere un trattamento di dati personali necessari per
- eseguire un contratto (es. il mandato professionale; il contratto di prestazione di un servizio) o rispondere a richieste dall’Interessato;
- adempiere ad un obbligo di legge;
- eseguire un interesse pubblico o
- perseguire un legittimo interesse del Titolare prevalente sui diritti dell’Interessato (i casi di legittimo interesse presenti nel GDPR sono pochi e altri saranno aggiunti grazie all’evoluzione della normativa).
1. Quanto un consenso è valido
Se non ci sono altre basi giuridiche valide e dunque resta solo il consenso, questo è valido se:
- all’interessato è resa l’informativa sul trattamento dei dati personali;
- è espresso dall’interessato liberamente, in modo inequivocabile e, se il trattamento persegue più finalità, specificamente con riguardo a ciascuna di esse.
Peculiarità e aspetto di grande importanza da tenere in considerazione è che Il consenso deve essere sempre revocabile con la stessa facilità con il quale questo è stato conferito (dunque ad esempio se acconsento ad un trattamento tramite una check box online con un semplice click del mouse, non posso poi chiedere all’interessato di chiamare un numero a pagamento, attivo per sole 2 ore al giorno per revocare il consenso precedentemente prestato).
Occorre verificare che la richiesta di consenso sia chiaramente distinguibile da altre richieste o dichiarazioni rivolte all’interessato, per esempio all’interno della modulistica è possibile procedere ad evidenziare in riquadri o elementi grafici la richiesta di consenso.
Non è mai ammesso il consenso tacito o presunto (per esempio, presentando check box già compilate su un modulo).
Quando il trattamento riguarda le “categorie particolari di dati personali” (articolo 9 Regolamento, ad esempio l’appartenenza politica) il consenso deve essere “esplicito”; lo stesso vale per il consenso a decisioni basate su trattamenti automatizzati (compresa la profilazione) cioè decisioni con effetto giuridico che vengono in toto stabilite da un computer che esamina dei dati senza che intervenga un soggetto umano a valutare il contesto nel quale ci si sta muovendo ( ad esempio la concessione di un finanziamento).
Il consenso, come vedremo anche poco più giù, non deve essere necessariamente “documentato per iscritto”, né è richiesta la “forma scritta”, anche se questa è modalità migliore e più semplice a configurare l’inequivocabilità del consenso e il suo essere “esplicito”.
2. Non è necessario scritto
Non è necessario che il consenso sia dato per iscritto.
Il consenso può essere prestato sia mediante dichiarazione sia mediante una azione positiva inequivocabile che manifesta la volontà libera, specifica, informata e inequivocabile dell’interessato (Considerando 32 GDPR).
Il consenso quindi può essere espresso:
- mediante dichiarazione scritta;
- mediante strumenti elettronici, ossia mediante selezione di un’apposita casella o mediante
qualsiasi comportamento positivo che indichi chiaramente in contesto digitale che l’interessato accetta il trattamento proposto;
- anche al di fuori del contesto digitale, mediante qualsiasi comportamento che indichi chiaramente che l’interessato accetta il trattamento proposto;
- oralmente.
Se il consenso dell’interessato è richiesto attraverso mezzi elettronici, la richiesta deve essere chiara e concisa e deve essere sempre documentabile, laddove l’interessato faccia richiesta di sapere quando ha autorizzato tale trattamento.
3. Il consenso dei minori
Il consenso può essere prestato solo dal soggetto che abbia la capacità giuridica per farlo. A seguito dell’entrata in vigore del GDPR e delle norme del D. Lgs. 101/2018, che hanno modificato il Codice Privacy, è stato disposto che il minore che vuole usufruire dei servizi della società dell’informazione può esprimere validamente il consenso se ha compiuto almeno 14 anni. Tale disposizione è circoscritta a trattamenti che sono effettuati nell’ambito dei servizi prestati normalmente dietro retribuzione, a distanza, per via elettronica ed a richiesta individuale di un destinatario. Si tratta ad esempio dei trattamenti di dati conseguenti all’iscrizione a servizi di messaggistica, newsletter, piattaforme e-commerce.
In tali casi, l’informativa e redatta con un linguaggio particolarmente chiaro e semplice, conciso ed esaustivo, facilmente accessibile e comprensibile al minore.
Tolta questa eccezione, il consenso al trattamento di dati sensibili di un minore deve essere prestato dal soggetto (padre/madre) che esercita la potestà genitoriale.
Tali requisiti sono correttamente implementati all’interno dei documenti predisposti dal tool privacy fornito da Fulcri. (www.privacyforhospitality.it)
