GDPR Privacy 2018

CONDIZIONI PER IL CONSENSO AL TRATTAMENTO DEI DATI PERSONALI (ART. 7)

Il titolare del trattamento dei dati personali deve informare gli interessati in merito alle finalità e alle modalità del trattamento.

Con il GDPR l’attenzione si sposta dalla raccolta del consenso all’importanza di una buona ed esauriente informativa (art.13 e 14).

La garanzia di una buona informativa a monte fa perdere tutta questa attenzione che abbiamo riposto fin’ora in un’affannosa richiesta di consensi a valle.

I casi in cui è sufficiente la consegna dell’informativa sono quelli per i quali i trattamenti sono necessari e/o il relativo conferimento è obbligatorio, ad esempio:

• La necessità, da parte del titolare del trattamento, di trattare i dati personali per eseguire un contratto

• Un trattamento necessario ad adempiere a obblighi previsti dalla legge a carico del titolare del trattamento

• La salvaguardia di interessi vitali dell’interessato o di altre persone fisiche

• La necessità di eseguire compiti di interesse pubblico o comunque connessi all’esercizio di poteri pubblici di cui è investito il titolare del trattamento

• Il perseguimento di un interesse legittimo da parte del titolare del trattamento o di terzi sempre che, rispetto all’interesse legittimo non prevalgano gli interessi, i diritti e le libertà fondamentali dell’interessato soprattutto se minore.

Il caso dell’interesse legittimo del titolare ovviamente deve essere attentamente valutato.

Se le finalità indicate sopra sono alla base dei trattamento dei dati personali degli interessati alIora il consenso non ha senso. Se il titolare invece raccoglie i dati per finalità differenti magari per l’invio di pubblicità all’interessato allora il trattamento è subordinato al consenso espresso dall’interessato.

È l’interessato, in questo caso, che “consente” al titolare l’utilizzo dei propri dati in relazione a tale finalità.

L’ipotesi di rilasciare o meno il consenso al trattamento dei dati personali da parte dell’interessato nei confronti del titolare infatti non può esistere se ricorrono i casi basati su necessità, obblighi e interesse legittimo.

Come deve essere rilasciato il consenso da parte dell’interessato

Il consenso al trattamento dei propri dati, come indica il GDPR, deve essere rllasciato liberamente e non deve essere frutto di pressione psicologica. Chi lo esprime deve farlo in maniera consapevole e libera senza essere condizionato dalle condizioni che sono alla base delle relazioni e dalle circostanze.

Una buona formazione da fare in azienda ad esempio dovrebbe sottolineare la necessità di considerare gli  interessati come i “proprietari dei loro dati personali”. Quando siamo chiamati a richiedere il consenso agli interessati dobbiamo stare sempre attenti alla reale consapevolezza ed accettazione da parte dell’interessato che lo rilascia.

Il DGPR sottoliena la necessità della trasparenza dell’informativa e della richiesta del consenso. L’informativa, ove fosse non completa e non in linea con con i requisiti di trasparenza, potrebbe essere sanzionata. E la sanzione tenderebbe a scoraggiare il comportamento delle “informative standard” o le informative scritte in “legalese”. Assolutamente no. L’informativa deve essere semplice e la richiesta del consenso non è più cumulativa.

Sottolineando la necessità di promuovere la consapevolezza del consenso da una parte e l’accountability dall’altra, il consenso deve essere espresso in corrispondenza di ciascuna finalità per la quale è richiesto.

“Acconsenti al fatto che io ti invii mensilmente una mail che ti descrive le novità sui prodotti che vedi sul mio sito?”

“Acconsenti al fatto che io invii il tuo indirizzo mail al mio socio in affari che vorrebbe contattarti per proporti delle soluzioni adatte a te?”

A ciascuna domanda bisogna rispondere. La risposta unica che le accetta tutte è segnale di inconsapevolezza.

Le formule del consenso

E’ vero che l’impianto documentale privacy, sia esso cartaceo che elettronico, debba ricorrere ad un inseme ordinato di concetti semplici ed efficaci. Con formule semplici ed efficaci che permettono di fotografare un istante importarte per un passaggio di dati come la “richiesta del consenso”. Le formule che rispondono alla richiesta di consenso devono essere altrettanto efficaci, dal punto di vista verbale, da richiamare l’attenzione da parte di chi sottoscrive.

Un consulente che mette in sicurezza la privacy di un’azienda potrebbe avere la necessità, in alcuni casi, di estremizzare la formalizzazione dei concetti per made maggiore enfasi al consenso. Es:

Spett.le Titolare del trattamento,

ho letto e capito ogni punto espresso nell’informativa e tutte le finalità e le modalità di trattamento…

e acconsento al trattamento dei miei dati personali per l’attività di …

ESEMPIO DEI DATI PERSONALI DEI DIPENDENTI

Per comprendere in maniera più chiara tali dinamiche facciamo qualche esempio. Il lavoratore che presta la propria attività lavorativa presso un’azienda non ha la facoltà di rifiutare il trattamento dei propri dati poiché il titolare del trattamento (azienda) deve necessariamente trattarli per eseguire il contratto di lavoro e per adempiere ad obblighi di legge quali l’elaborazione della busta paga.

Se sopravvengono circostanze per le quali gli interessi vitali dell’interessato sono messi a rischio, il Regolamento considera legittima l’ipotesi del trattamento dei suoi dati personali a prescindere dal suo consenso espresso. Almeno nell’immediato.

Se il trattamento dei dati personali dell’interessato è connesso all’esecuzione di compiti pubblici che riguardano il bene e l’interesse della collettività anche in questo caso il consenso perde di valore poiché “la pubblica necessità” prevale sulle intenzioni dell’interessato.

Se a seguito del bilanciamento di interessi tra il titolare e l’interessato viene riconosciuto preminente il legittimo interesse del titolare a trattare i dati dell’interessato ebbene, anche in questo caso, il consenso dell’interessato perde di valore.

In definitiva, l’interessato è chiamato ad esprimere il consenso tutte quelle volte in cui non è obbligato a conferire i propri dati come ad esempio nel caso in cui egli presenti il proprio curriculum al titolare del trattamento oppure quando gli si richieda la possibilità di comunicare i suoi dati per recapitare pubblicità oppure offrire promozioni ecc.