Cosa si intende per dati personali?
Il GDPR definisce i dati personali come “qualsiasi informazione riguardante una persona fisica identificata o identificabile”, detta interessato. Un soggetto è identificabile quando è possibile, anche indirettamente, risalire alla sua identità attraverso informazioni come nome, cognome, numero di telefono, indirizzo email o altri dati. Tra gli esempi più comuni:
- Dati identificativi diretti: nome, cognome, codice fiscale, numero di documento d’identità.
- Informazioni di contatto: indirizzo di residenza, email, numero di telefono.
- Dati finanziari: numero di carta di credito, dati bancari.
- Dati digitali: indirizzi IP, ID dei dispositivi, cookie, dati di localizzazione.
- Dati sensibili (categorie particolari): origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, biometrici, relativi alla salute, alla vita sessuale o all’orientamento sessuale.
Una gestione adeguata di questi dati limita i rischi di abusi, frodi e furti d’identità, e dà alle persone maggiore controllo su come le informazioni che le riguardano vengono raccolte e utilizzate.
Cos’è il consenso al trattamento dei dati personali?
Il consenso al trattamento dei dati personali è la dichiarazione con cui l’interessato autorizza un’azienda o un’organizzazione a raccogliere, utilizzare e gestire i propri dati. È la base legale più comune per poter trattare dati personali: senza un consenso valido, un’azienda non può raccogliere, usare o conservare i dati, salvo eccezioni specifiche previste dalla legge (ad esempio l’esecuzione di un contratto o un obbligo legale).
Il trattamento dei dati riguarda numerose attività, dalla raccolta alla conservazione, fino all’elaborazione e alla condivisione. Uno dei momenti più comuni in cui si chiede il consenso è durante la navigazione online: i siti raccolgono dati tramite cookie, form di registrazione e tracking, quindi ottenere un consenso chiaro e consapevole è fondamentale.
Un caso particolare è la profilazione: la raccolta e l’analisi di informazioni su un utente per prevederne comportamenti, preferenze e necessità, ad esempio a partire da dati di navigazione, interessi e interazioni online. Proprio perché si tratta di dati sensibili al trattamento, il GDPR impone che gli utenti esprimano il consenso in modo esplicito e informato prima di essere profilati.
Quali sono i requisiti di un consenso valido?
Per rispettare il GDPR, il consenso deve essere:
- Libero: l’utente deve poter scegliere se accettare o rifiutare, senza subire conseguenze negative.
- Specifico: deve riguardare attività chiaramente identificate, come la profilazione per fini di marketing.
- Informato: l’utente deve sapere come e perché vengono raccolti i suoi dati.
- Inequivocabile: deve essere manifestato con un’azione specifica, come la selezione di una casella, non presunto.
Non tutte le forme di “accettazione” soddisfano questi requisiti. Questa tabella riassume alcuni casi che le Linee guida EDPB sul consenso considerano espressamente non validi.
| Pratica | Perché non è valida |
|---|---|
| Casella pre-selezionata nel banner cookie | Il consenso deve derivare da un’azione attiva dell’utente, non da un default |
| Continuare a navigare sul sito | Non costituisce un’azione chiara e inequivocabile di accettazione |
| Cookie wall (nessuna opzione di rifiuto) | Il consenso non è libero se l’accesso al sito è condizionato all’accettazione |
Il GDPR impone inoltre al titolare di poter dimostrare che il consenso sia stato raccolto in conformità al Regolamento: è il principio di “accountability”, che si attua tenendo un registro dei consensi aggiornato.
Come comunicare la profilazione in modo trasparente?
L’informativa sulla privacy e il cookie banner sono gli strumenti principali per comunicare le pratiche di profilazione agli utenti. Non dovrebbero mai mancare:
- Descrizione delle finalità: perché raccogli i dati e come li userai per la profilazione.
- Tipologia di dati raccolti: quali dati verranno profilati, ad esempio dati di navigazione o dati personali.
- Modalità di raccolta: se usi cookie, tag di monitoraggio o altre tecnologie.
- Registro dei consensi: traccia delle preferenze espresse, con data, ora e modalità con cui il consenso è stato dato o revocato.
- Possibilità di revoca: gli utenti devono poter revocare il consenso in qualsiasi momento con la stessa facilità con cui lo hanno dato.
Come si raccoglie il consenso in pratica?
Per raccogliere il consenso in un contesto digitale servono strumenti dedicati, generalmente riuniti in una consent solution: una soluzione progettata per gestire raccolta, archiviazione e gestione del consenso in modo conforme al GDPR. Le funzionalità principali sono:
- Banner per il consenso ai cookie: compare al primo accesso, informa chiaramente sull’uso di cookie e altre tecnologie di tracciamento, e permette di selezionare quali categorie autorizzare.
- Integrazione con i form: gestisce il consenso direttamente in moduli di contatto, iscrizione a newsletter, registrazione o richiesta di servizi, ad esempio con checkbox per l’accettazione della privacy policy.
- Gestione delle preferenze: permette agli utenti di selezionare quali tipi di dati autorizzano (cookie essenziali, di marketing, analitici).
- Registro del consenso: registra e conserva le informazioni sul consenso fornito, fornendo una traccia documentata delle preferenze espresse.
- Facilità di revoca e modifica: consente di cambiare idea in qualsiasi momento.
- Integrazione con piattaforme di marketing e analytics: si collega a strumenti terzi per assicurare che il consenso venga rispettato durante campagne pubblicitarie e analisi dei dati.
Avacy è una piattaforma di gestione del consenso (Consent Management Platform) progettata per facilitare la conformità: aiuta le aziende a gestire in modo trasparente il consenso degli utenti per l’uso dei cookie, con una soluzione pensata sia per chi conosce bene queste tematiche sia per chi ha meno familiarità con il tema.
Cos’è il consenso granulare?
Il consenso granulare è la possibilità per l’utente di selezionare quali dati condivide e per quali finalità, invece di dover accettare o rifiutare in blocco. Ad esempio, un utente può consentire la profilazione solo per la personalizzazione dei contenuti, ma non per l’invio di comunicazioni di marketing. Un cookie banner con consenso granulare può proporre scelte come “Accetto la profilazione per ricevere consigli personalizzati”, “Accetto la profilazione per scopi di analisi e miglioramento del sito” e “Accetto la profilazione per ricevere offerte commerciali”, ciascuna selezionabile in modo indipendente.
Un buon sistema di gestione dei consensi (CMP) come Avacy facilita proprio questo: raccoglie i consensi in modo automatico, mantiene un registro aggiornato dei consensi e garantisce la possibilità di revocarli o modificarli in ogni momento.
Quali diritti ha l’interessato e quali responsabilità ha l’azienda?
Una volta fornito il consenso, l’interessato mantiene diritti importanti sui propri dati: il diritto di revoca in qualsiasi momento (i siti devono prevedere una procedura semplice per esercitarlo) e il diritto di accesso e portabilità ai propri dati.
Dal lato delle aziende, il GDPR impone di gestire il consenso in modo responsabile: bisogna poter dimostrare di averlo ottenuto in modo conforme, conservando documenti e registrazioni che ne attestino la manifestazione (approfondisci sul registro dei consensi). Quando cambiano le finalità del trattamento, va richiesto un nuovo consenso, informando l’interessato delle nuove modalità di utilizzo dei dati: un consenso raccolto per una finalità non copre automaticamente finalità diverse aggiunte in seguito.
Le Linee guida EDPB 05/2020 sul consenso, che hanno aggiornato le indicazioni del precedente Gruppo di lavoro Articolo 29, chiariscono in modo netto che caselle pre-selezionate, continuazione della navigazione e cookie wall non costituiscono mai un consenso valido, indipendentemente da come vengono presentati nell’interfaccia.
In assenza di un consenso valido, le aziende rischiano sanzioni amministrative e legali che possono arrivare fino al 4% del fatturato globale annuo o 20 milioni di euro, oltre a danni reputazionali significativi.
