Consenso al trattamento dei dati personali: quando serve e com'è valido

Il consenso non serve sempre, ed è l'equivoco più diffuso: cos'è il consenso al trattamento dei dati personali, quando è davvero necessario, quali requisiti lo rendono valido secondo il GDPR, come si revoca e cosa deve dimostrare chi lo raccoglie.

In breve — Il consenso è una delle basi giuridiche che rendono lecito il trattamento dei dati personali, ma non l’unica e nemmeno la più frequente: nella maggior parte dei casi i dati si trattano senza consenso, perché lo giustificano un contratto, un obbligo di legge o un interesse legittimo. Quando serve, però, il consenso deve rispettare requisiti precisi (art. 7 GDPR): dev’essere libero, specifico, informato e inequivocabile — un atto positivo, mai il silenzio o una casella già spuntata. Deve poter essere revocato con la stessa facilità con cui è stato dato, e chi lo raccoglie deve essere in grado di dimostrarlo.

1. Che cos’è il consenso (e perché non serve sempre)

Il consenso è la manifestazione di volontà con cui una persona autorizza il trattamento dei propri dati personali per una o più finalità. È la base giuridica più conosciuta — al punto che molti credono serva sempre un consenso per trattare i dati. Ed è invece, all’opposto, quella che le aziende dovrebbero utilizzare in via eccezionale: solo quando non c’è nessun’altra base giuridica da invocare.

Il GDPR (art. 6) prevede infatti sei basi giuridiche che rendono lecito un trattamento, e il consenso è soltanto una di esse. Le altre cinque coprono la gran parte delle situazioni quotidiane: il trattamento necessario a eseguire un contratto (i dati del cliente che servono a spedire l’ordine), quello imposto da un obbligo di legge (i dati fiscali del dipendente da trasmettere al fisco), quello che risponde a un interesse legittimo del titolare (la sicurezza dei sistemi, la prevenzione delle frodi), quello necessario per un compito di interesse pubblico, o per tutelare un interesse vitale della persona. In tutti questi casi il consenso non serve — e chiederlo sarebbe addirittura un errore: lascerebbe intendere all’interessato di poter dire di no, quando in realtà il trattamento avverrebbe comunque.

Il consenso, allora, è la base che entra in gioco solo quando le altre cinque non ci sono: tipicamente per il marketing, la profilazione, l’invio di newsletter, i cookie non tecnici. È qui che sta il rovesciamento di prospettiva utile a chi tratta i dati: la prima domanda non è “come raccolgo il consenso”, ma “mi serve davvero il consenso, o questo trattamento ha già un’altra base?”. Partire di slancio a raccogliere consensi per trattamenti che ne farebbero a meno è uno degli errori più comuni — e crea più problemi di quanti ne risolva, perché un consenso raccolto a sproposito può poi essere revocato, bloccando un trattamento che invece era legittimo a prescindere.

2. I requisiti di validità

Quando il consenso serve, non ne basta uno qualsiasi. L’art. 7 del GDPR e le linee guida del Comitato europeo (EDPB 05/2020) fissano quattro requisiti, e la mancanza anche di uno solo lo rende nullo — come se non fosse mai stato dato.

Il requisito su cui si sbaglia più spesso è la libertà: il consenso non deve essere “in cambio di qualcosa”. Subordinare la fornitura di un servizio all’accettazione di un trattamento non necessario a quel servizio — la logica del cookie wall, o della fidelity card che si nega a chi rifiuta la profilazione — rende il consenso non libero, e quindi invalido.

3. Il consenso esplicito per i dati particolari

Non tutti i consensi sono uguali. Per i dati più delicati il GDPR alza l’asticella e pretende una forma rafforzata: il consenso esplicito (art. 9).

Riguarda anzitutto le categorie particolari di dati — quelle che il Regolamento protegge di più perché la loro diffusione può ferire davvero la persona: lo stato di salute, l’orientamento sessuale, le convinzioni religiose o politiche, l’appartenenza sindacale, i dati genetici e biometrici. Ma il consenso esplicito serve anche in altre situazioni ad alto rischio: le decisioni interamente automatizzate che producono effetti giuridici sulla persona (art. 22) e i trasferimenti di dati verso Paesi terzi privi di garanzie adeguate (art. 49).

La differenza con il consenso ordinario sta nel grado di chiarezza dell’atto. Il consenso ordinario può risultare anche da un comportamento inequivocabile; quello esplicito, no: richiede una dichiarazione espressa, riferita proprio a quel trattamento e a quei dati, che non lasci margini di interpretazione — tipicamente una formula scritta, spuntata o firmata separatamente rispetto agli altri consensi. In pratica, più il dato è sensibile, più l’atto con cui lo si autorizza deve essere netto e isolato dal resto.

4. La revoca del consenso

Un consenso non è un vincolo perpetuo: chi lo ha dato può revocarlo in qualsiasi momento, e senza dover motivare la propria scelta. Il GDPR aggiunge una regola precisa sulle modalità: revocare dev’essere facile quanto è stato facile prestare il consenso (art. 7, par. 3). Se ci si è iscritti a una newsletter con un clic, ci si deve poter cancellare con un clic — non con una raccomandata, una telefonata in orari d’ufficio o una procedura a ostacoli pensata per scoraggiare.

Attorno alla revoca ruotano tre regole pratiche che il titolare deve rispettare. La prima: la revoca vale per il futuro, non cancella il passato — i trattamenti svolti quando il consenso era valido restano legittimi, ma da quel momento in poi devono cessare. La seconda: del diritto di revocare l’interessato va informato prima, al momento della raccolta del consenso; è un contenuto obbligatorio dell’informativa, non una cortesia. La terza: alla revoca il titolare deve dare seguito concreto e tempestivo, interrompendo il trattamento e, se richiesto, cancellando i dati. Predisporre un consenso facile da dare e una revoca difficile da ottenere è una delle scorrettezze che il Garante sanziona più spesso: la simmetria tra le due, per la legge, non è negoziabile.

5. Il consenso dei minori

I minori meritano una tutela particolare, perché sono meno consapevoli dei rischi legati alla cessione dei propri dati. Per questo, quando un servizio online (un social network, un’app, una piattaforma) si rivolge direttamente ai minori e si fonda sul consenso, la legge fissa un’età minima al di sotto della quale il minore non può prestarlo da solo.

Il GDPR fissa questa soglia a 16 anni, ma lascia agli Stati membri la facoltà di abbassarla fino a 13: l’Italia l’ha collocata a 14 anni (art. 2-quinquies del Codice privacy). Il che significa che un quattordicenne può validamente iscriversi da sé a un servizio online; sotto quell’età, invece, il consenso deve essere prestato o autorizzato da chi esercita la responsabilità genitoriale. E non basta una casella da spuntare: il titolare deve compiere sforzi ragionevoli — proporzionati alla tecnologia disponibile — per verificare che il consenso provenga davvero da un genitore e non dal minore stesso. È un punto oggi molto sorvegliato, con l’attenzione crescente del Garante sui servizi digitali frequentati dai più giovani.

6. L’onere della prova: chi raccoglie deve dimostrare

C’è un ultimo punto, il più trascurato, che ribalta la prospettiva a carico di chi tratta i dati: l’onere della prova è del titolare (art. 7, par. 1). In una contestazione non è l’interessato a dover dimostrare di non aver acconsentito; è il titolare a dover provare il contrario — che quel consenso è stato prestato, validamente, per quella specifica finalità e da quella persona.

Nella pratica questo si traduce in un obbligo di documentazione: di ogni consenso va conservata una traccia che indichi quando è stato raccolto, con quale informativa, per quali finalità e con quale modalità (il modulo firmato, il log del clic, la registrazione della scelta nel banner). Non è un formalismo: un consenso realmente prestato ma non documentabile vale, davanti al Garante, come un consenso mai raccolto — e l’intero trattamento che vi si fondava diventa privo di base giuridica.

È esattamente per questo che le organizzazioni ben strutturate si dotano di un registro dei consensi o di una piattaforma di gestione (il consent management): non per zelo burocratico, ma perché la prova del consenso è tra i primi elementi che il Garante chiede in un’istruttoria, e non poterla fornire trasforma una posizione difendibile in una violazione conclamata.

7. Come ti assiste lo Studio Legale Calzoni

Impostare bene il consenso è un lavoro di precisione: capire dove serve davvero e dove invece la base giuridica è un’altra, costruire informative e moduli che reggano i quattro requisiti, separare le finalità, predisporre la revoca e la registrazione delle scelte. Lo Studio Legale Calzoni segue imprese ed enti in questo percorso, dentro la consulenza privacy e GDPR: mappiamo i trattamenti e le loro basi giuridiche, sistemiamo moduli di consenso, informative e strumenti di raccolta, e mettiamo il titolare in condizione di dimostrare ciò che ha fatto. Perché un consenso mal costruito, oltre a non proteggere, è esso stesso una violazione.

Domande frequenti

Quando serve il consenso al trattamento dei dati personali? Solo quando il trattamento non ha un’altra base giuridica tra quelle dell’art. 6 (contratto, obbligo di legge, legittimo interesse, ecc.). Nella pratica il consenso serve soprattutto per marketing, profilazione, newsletter e cookie non tecnici; per la gran parte degli altri trattamenti non è richiesto.

Quali sono i requisiti di un consenso valido? Deve essere libero, specifico, informato e inequivocabile (art. 7 GDPR): dato senza condizionamenti, riferito a una finalità determinata, preceduto da un’informativa chiara ed espresso con un atto positivo. Il silenzio e le caselle pre-spuntate non valgono.

Il consenso al trattamento dei dati serve sempre? No. È l’equivoco più comune: il consenso è solo una delle sei basi giuridiche del GDPR. Quando il trattamento è necessario a un contratto, imposto dalla legge o fondato su un legittimo interesse, il consenso non serve — e chiederlo sarebbe scorretto.

Si può revocare il consenso? Sì, in qualsiasi momento, e la revoca deve essere facile quanto è stato dare il consenso (art. 7, par. 3). Vale per il futuro: non rende illeciti i trattamenti già svolti quando il consenso era valido.

Che cos’è il consenso esplicito? È la forma rafforzata richiesta per i dati particolari (salute, orientamento sessuale, convinzioni religiose, dati biometrici) e per alcune situazioni ad alto rischio: serve una dichiarazione espressa e separata, non ricavabile dal contesto (art. 9 GDPR).

A che età un minore può dare il consenso privacy? In Italia a 14 anni per i servizi online rivolti ai minori fondati sul consenso (art. 2-quinquies del Codice privacy). Sotto tale età il consenso deve essere prestato o autorizzato da chi esercita la responsabilità genitoriale.

Chi deve dimostrare che il consenso è stato dato? Il titolare del trattamento (art. 7, par. 1): l’onere della prova è suo. Deve conservare traccia di ogni consenso — quando, come e per quali finalità è stato raccolto. Un consenso non documentabile equivale a un consenso mai prestato.

I contenuti di questa pagina si riferiscono a fattispecie generali e non possono in alcun modo sostituire il contributo di un avvocato. Per ottenere un parere legale in ordine alla questione giuridica che interessa è possibile richiedere una consulenza, oppure fissare un appuntamento. Gli autori declinano ogni responsabilità per errori od omissioni, nonché per un utilizzo improprio o non aggiornato delle presenti informazioni.