Cosa intende il GDPR per consenso inequivocabile

Il Regolamento Generale sulla Protezione dei Dati (GDPR n.2016/679) ha introdotto standard elevatissimi per il trattamento dei dati personali, ponendo il consenso dell’interessato al centro di molte operazioni. Ma cosa significa davvero un “consenso inequivocabile”? Questo articolo esplorerà in profondità i requisiti di un consenso valido, l’importanza della sua documentazione e le implicazioni delle nuove prassi giurisprudenziali per le aziende che desiderano operare in piena conformità.

– Definizione di consenso: il cuore della protezione dei dati

– Il consenso alla privacy nel panorama GDPR

– Consenso: l’imperativo dell’inequivocabilità e la sfida della dimostrabilità

– La durata del consenso: un limite temporale ben definito

– Conformità al GDPR: navigare le complessità con BSD Legal

L’introduzione del GDPR ha infatti profondamente ridefinito i criteri di validità del consenso, elevando gli standard e ponendo un’enfasi senza precedenti sulla trasparenza e la responsabilità, qui intesa soprattutto come capacità di rendicontare l’avvenuto rilascio del consenso (il principio di accountability). Per comprendere appieno la sua importanza, è utile richiamare i principi fondamentali del GDPR che guidano ogni attività di trattamento dei dati. Il consenso, infatti, si inserisce perfettamente nel quadro di principi come la liceità, la correttezza, la trasparenza e la limitazione delle finalità, come definiti dall’articolo 5 del GDPR. Per maggiori informazioni su come si articolano questi principi nel panorama della protezione dei dati e per conoscere l’applicazione pratica di questi principi, vi rimandiamo ad un altro nostro articolo.

Affinché sia considerato valido e lecito, il consenso deve quindi rispettare cinque caratteristiche imprescindibili, riassunti nella nostra grafica.

In primo luogo, emerge l’elemento della manifestazione di volontà “libera”. Questo implica che l’interessato abbia una scelta effettiva e il controllo sui propri dati. Come definito dalle Linee Guida EDPB sul consenso 5/2020, se l’interessato non dispone di una scelta effettiva o si sente obbligato ad acconsentire oppure subirà conseguenze negative se non acconsente, il consenso non sarà valido.

• Esempio pratico: un sito web non può condizionare l’accesso ai propri contenuti alla spunta obbligatoria di una casella di consenso per finalità di e-mail marketing. Se l’utente non spunta la casella, deve comunque poter fruire del servizio principale. Questo perchè l’utente sta innanzitutto richiedendo di accedere alla risorsa; se desidera anche ricevere una sequenza di mail a carattere commerciale, dovrà essere una scelta opzionale e non obbligata.

Uno degli elementi da considerare per valutare la libera scelta è la presenza di squilibri di potere tra l’interessato e il Titolare del Trattamento. Il considerando 43 indica chiaramente che è improbabile che le autorità pubbliche possano basarsi sul consenso per effettuare il trattamento, proprio perché il Titolare esercita maggiore potere nella relazione tra le parti. Lo squilibrio di potere sussiste anche nel contesto dell’occupazione. Data la dipendenza risultante dal rapporto datore di lavoro/dipendente, è improbabile che l’interessato sia in grado di negare al datore di lavoro il consenso al trattamento dei dati senza temere o rischiare di subire ripercussioni. In questo caso quindi il consenso non è la corretta base giuridica da utilizzare.

Un altro elemento cardine da considerare è quello della condizionalità. Ciò significa che il consenso non può essere accorpato e/o subordinato all’accettazione di altre condizioni. Come succede quando il consenso per il trattamento dei dati viene accorpato all’accettazione delle condizioni generali o di servizio. L’obbligo di acconsentire all’uso di dati personali aggiuntivi rispetto a quelli strettamente necessari limita la scelta dell’interessato e ostacola l’espressione del libero consenso.

In modo simile, l’interessato dovrebbe essere libero di scegliere quale finalità accettare anziché dover acconsentire a un insieme di finalità, secondo il principio della granularità. Il Garante Privacy è intervenuto con la decisione del 27 febbraio 2025 su un caso nato da 82 reclami per chiamate indesiderate effettuate da una società poi sanzionata. La società aveva ricevuto i dati personali da altri titolari che, durante la raccolta, avevano ottenuto un consenso generico per la comunicazione a terzi per finalità di marketing. Gli interessati erano costretti a una scelta binaria: accettare tutto o rifiutare completamente. L’articolo 6, paragrafo 1, lettera a), conferma infatti che il consenso dell’interessato deve essere espresso in relazione a “una o più specifiche” finalità e che l’interessato deve poter scegliere in relazione a ciascuna di esse.

Esempio di consenso poco granulare (NON conforme):

Un singolo campo di spunta con la seguente dicitura: “Accetto di ricevere comunicazioni commerciali da questa azienda e da società terze nei settori energia, telefonia, finanza, automotive e retail”.

Esempio di consenso granulare (conforme):  

• Un modulo con caselle di spunta separate: 

• Casella 1: “Desidero iscrivermi alla newsletter.” 

• Casella 2: “Desidero ricevere offerte personalizzate sul settore energia.” 

• Casella 3: “Acconsento a essere contattato tramite SMS.” 

• Casella 4: “Acconsento alla comunicazione dei miei dati ad aziende partner per attività di marketing.” 

È evidente che questa frammentarietà può “spaventare”, ma l’utente deve essere messo nelle condizioni di scegliere. Forse creare un unico funnel con più consensi condensati non sarà più la scelta ottimale?
Qui lasciamo rispondere agli esperti di marketing ma è indubbio che strategie devono adattarsi alle normative e alle best practice di settore. La compliance, infatti, incide e inciderà sempre di più sui processi aziendali, e non solo di marketing.  

Al di là delle modalità con cui viene acquisito il consenso, il principio fondamentale è che per effettuare un trattamento di dati che si base sul consenso è necessario che il Titolare lo abbia acquisito in modo corretto e che sia in grado di provarlo.  

Con il provvedimento di novembre 2024 il Garante ha sanzionato Sky Italia per €842.062 avendo effettuato attività promozionali via telefono e SMS senza adeguata verifica del consenso, anche contattando numeri iscritti al Registro Pubblico delle Opposizioni; l’Autorità ha rilevato inoltre che i consensi erano conservati in file Excel facilmente modificabili e quindi non idonei a comprovare la volontà degli interessati. Dalla complessa istruttoria è emerso che alcune delle utenze erano state contattate in base ad un consenso acquisito molto tempo prima e in alcuni casi in epoca antecedente alla piena efficacia del GDPR, senza che la società ne verificasse l’idoneità anche dopo il cambio del quadro normativo. 

Un altro requisito del consenso è che deve essere informato. Questo requisito riprende un principio cardine del GDPR, ossia il principio della trasparenza, che si collega ai requisiti di correttezza e liceità. Cosa comporta questo in concreto? L’interessato deve ricevere, prima di esprimere il proprio consenso, un’informativa chiara e completa ai sensi degli articoli 13 e 14 del GDPR. 

Perché? Se il titolare del trattamento non fornisce informazioni accessibili, il controllo dell’utente diventa illusorio e il consenso non costituirà una base valida per il trattamento. Per il consenso informato alcuni requisiti devono essere obbligatoriamente presenti nell’Informativa Privacy:   

• l’identità del titolare;  

• la finalità per ciascuno dei trattamenti per il quale è richiesto il consenso;  

• le tipologie di dati;  

• l’esistenza del diritto di revocare il consenso;  

• informazioni sull’uso dei dati per un processo decisionale automatizzato (articolo 22, para 2, lett. c), e nel caso;  

• informazioni sui possibili rischi di trasferimenti di dati dovuti alla mancanza di una decisione di adeguatezza e di garanzie adeguate come descritto nell’articolo 46. 

Il requisito dell’inequivocabilità del consenso costituisce un pilastro fondamentale nell’architettura del GDPR, elevando tale manifestazione di volontà da una mera formalità a un’espressione chiara e inequivocabile dell’assenso dell’interessato. Il Regolamento infatti stabilisce in modo perentorio che il consenso debba concretizzarsi in una “dichiarazione o un’azione positiva inequivocabile”. Ciò implica l’assenza di ambiguità circa la volontà dell’individuo di acconsentire a uno specifico trattamento dei propri dati. 

L’espressione “azione positiva inequivocabile” denota quindi un atto deliberato e attivo da parte dell’interessato, volto a manifestare il proprio assenso al trattamento specifico.  

Criteri di invalidità del consenso inequivocabile secondo il GDPR: 

• Caselle preselezionate: l’impiego di caselle di adesione (opt-in) pre-selezionate è considerato non valido. L’interessato deve compiere un’azione attiva di selezione;  

• Silenzio o inattività: l’assenza di risposta o l’inerzia da parte dell’interessato non possono essere interpretate come una manifestazione di consenso, è necessaria un’azione positiva e proattiva;  

• Semplice navigazione o utilizzo del servizio: la mera navigazione di un sito web, lo scorrimento di pagine o la continuazione dell’uso di un’applicazione non configurano un’azione positiva inequivocabile;  

• Accettazione globale di termini e condizioni: il consenso al trattamento dei dati personali non può essere inglobato nell’accettazione generica di un contratto o delle condizioni generali di servizio. Deve essere oggetto di una richiesta distinta e specifica, come spiegato poco fa.  

Il titolare del trattamento è gravato inoltre dall’onere di dimostrare che il consenso è stato ottenuto in modo valido. Ciò include la capacità di ricostruire l’azione compiuta dall’utente, le informazioni fornite al momento del consenso e le finalità specifiche.  

L’ultimo provvedimento del Garante (sanzione di 347.000 € a WindTre) ribadisce che il semplice timestamp IP non è sufficiente per dimostrare la validità del consenso. Il Garante richiede una documentazione molto più dettagliata.  

Ecco, i Requisiti di prova del consenso richiesti dal Garante:  

• Legenda dettagliata del timestamp (significato di ogni campo): il Garante richiede che ogni campo del timestamp sia spiegato chiaramente. Questo significa che la documentazione deve indicare cosa rappresenta ogni dato registrato (ad esempio: la data e l’ora esatta della raccolta del consenso, l’indirizzo IP, il tipo di dispositivo utilizzato, ecc.). L’obiettivo è rendere il timestamp “leggibile” e comprensibile, in modo da poter ricostruire con precisione il contesto in cui è stato acquisito il consenso.  

• Testo esatto con cui è stato richiesto il consenso: è fondamentale conservare una registrazione precisa del testo che è stato presentato all’utente al momento della richiesta di consenso. Questo include l’intera informativa privacy, le specifiche finalità del trattamento dei dati e le eventuali opzioni di scelta offerte all’utente. Il Garante vuole verificare che l’utente sia stato informato in modo chiaro prima di esprimere il proprio consenso.  

• Misure tecniche per registrare modifiche e revoche del consenso: le aziende devono implementare sistemi che consentano di registrare in modo accurato qualsiasi modifica o revoca del consenso da parte dell’utente. Ciò significa che non solo deve essere registrato il momento in cui l’utente ha fornito il consenso, ma anche qualsiasi successiva variazione. È inoltre necessario che questi sistemi garantiscano l’integrità e l’immutabilità dei dati registrati, per evitare alterazioni ex-post. 

Un aspetto imprescindibile della gestione dei dati personali, strettamente legato al consenso, è la loro “data retention“, ovvero il periodo di conservazione. Il GDPR, con i principi di limitazione della finalità e limitazione della conservazione, impone che i dati siano conservati solo per il tempo strettamente necessario al raggiungimento delle finalità per cui sono stati raccolti. Non esiste una regola “taglia unica“, ma il Garante ha fornito indicazioni specifiche per alcune finalità: 1 

• Marketing: I dati utilizzati per fini di marketing possono essere conservati per un massimo di 24 mesi. 

• Profilazione: I dati trattati per finalità di profilazione (ovvero per analizzare e prevedere comportamenti o preferenze dell’utente) possono essere conservati per un massimo di 12 mesi. 

Questi limiti non sono arbitrari, ma mirano a prevenire la conservazione inutile di dati inattivi, che non solo rappresenta una violazione dei principi GDPR ma aumenta anche i rischi in caso di data breach. Un esempio lampante è la sanzione di € 1.400.000 inflitta a una nota catena di profumerie che conservava milioni di dati di clienti inattivi senza una valida giustificazione. 

Per le aziende, questo significa adottare: 

• Policy chiare di data retention: definire tempi massimi di conservazione differenziati per ogni finalità di trattamento;  

• Sistemi di cancellazione automatica: implementare procedure che eliminino automaticamente i dati scaduti;  

• Campagne di refresh del consenso: prevedere meccanismi per richiedere periodicamente un rinnovo del consenso agli utenti, qualora si voglia prolungare la conservazione per scopi specifici;  

• Approccio selettivo: conservare solo i dati strettamente necessari, evitando raccolte e conservazioni eccessive. 

La revoca del consenso, ovviamente, impone l’immediata cessazione del trattamento e la cancellazione dei dati, salvo diverse basi giuridiche o obblighi normativi che ne giustifichino la conservazione residua. Per approfondire i principi generali della conservazione dei dati, puoi consultare il nostro articolo dedicato: Principi del GDPR ed esempi pratici. 

Il panorama della privacy è in continua evoluzione, e le recenti sanzioni del Garante dimostrano quanto sia fondamentale per le aziende non solo conoscere le regole, ma anche interpretarle correttamente e applicarle con rigore. Un consenso inequivocabile, una gestione oculata dei tempi di conservazione e l’adozione di best practice come il double opt-in non sono solo obblighi legali, ma veri e propri investimenti nella fiducia dei propri clienti e nella reputazione aziendale. 

Navigare queste complessità può essere una sfida. Per questo, affidarsi a professionisti esperti è necessario per garantire che le proprie operazioni di trattamento dei dati siano in linea con le normative più aggiornate. 

Perché scegliere BSD Legal? 

1. La privacy e, in generale, la protezione dei dati personali è la nostra passione. Una passione così forte che, qualche anno fa, alcuni dei nostri partner hanno fondato Privacy Network, un’associazione no-profit diventata ormai un punto di riferimento in Italia e non solo per la divulgazione di questi temi. Ma non solo: da anni siamo sponsor e ideatori, insieme ad altri colleghi e amici, dell’evento Privacy Week che riunisce gli stakeholders del settore e che ha visto l’Autorità Garante come ente patrocinante.
2. L’esperienza conta in un settore così specialistico. Abbiamo ideato soluzioni di privacy-by-design in sistemi ad alto contenuto tecnologico come: app, sistemi IA, gestionali SaaS e tanti altri prodotti in settori anche relativi alle c.d.“infrastrutture critiche”.

3. Adottiamo un approccio tailor-made su ogni nuovo progetto e cliente. E non potrebbe essere diversamente. Di fronte ad una consulenza così specialistica e tecnica, non ci può essere un altro approccio. 

Se volete approfondire la nostra metodologia, vi invitiamo a visitare il nostro sito.