Registro dei consensi e GDPR

Qualsiasi sia il fine per il quale si raccolgono dati personali sul sito web, bisogna accertarsi che i moduli di raccolta dati raccolgano un consenso lecito, e che la raccolta avvenga nel pieno rispetto dei principi fondamentali del GDPR.

Sul web, le raccolte di dati personali più delicate sono quelle che hanno come finalità quella del marketing, per le quali il GDPR stabilisce come base giuridica il consenso.

Ciò significa che se effettui una raccolta di dati personali per l’invio di newsletter (finalità di marketing) o per attività di telemarketing (altra finalità di marketing), dovrai richiedere il consenso esplicito all’utente per poter fare uso dei suoi dati.

La delicatezza sta nel fatto che per essere considerato valido e lecito, il consenso deve avere determinate caratteristiche, che si riflettono a cascata sulle caratteristiche che dovranno avere i moduli del tuo sito web.

Secondo quando stabilito dal GDPR, il consenso al trattamento dei dati personali deve essere:

• Informato: la formula usata per richiedere il consenso deve essere comprensibile, semplice e chiara. Ogni raccolta deve essere associata ad una specifica informativa, che informi l’utente sulla finalità per cui i suoi dati sono raccolti, quali sono i tempi di conservazione e quali sono le modalità con cui i suoi dati saranno trattati.
• Specifico: il consenso deve essere granulare, vale a dire raccolto in modo puntuale per ciascuna delle finalità scelte e per le modalità di trattamento previste. Se le finalità per le quali raccogli i dati sono X, dovrai ottenere X consensi.
• Libero: il consenso deve essere manifestato tramite una “dichiarazione o azione positiva inequivocabile”, ad esempio tramite la spunta manuale di una casella (check-box), che non deve essere pre-spuntata.
• Revocabile: l’utente devo poter revocare il consenso in qualsiasi momento e in modo semplice, così come è stato semplice darlo.
• Documentato: il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha prestato consenso a uno specifico trattamento, per cui in fase di raccolta è consigliabile raccogliere e memorizzare i dati che possono aiutare a documentarlo, ad esempio indirizzo IP, data e informativa privacy aggiornata al momento del consenso.

Seguendo i principi fondamentali della protezione dei dati, combinati alle caratteristiche di un consenso lecito, è possibile capire quali caratteristiche dovrà avere un modulo di raccolta dati di un sito web.

I moduli del sito devono quindi:

• prevedere delle caselle spuntabili dall’utente
• queste caselle devono essere impostate su “no” o essere vuote (non devono essere già spuntate sul sì).

Il consenso deve essere “specifico”, ossia la casella per l’accettazione dell’informativa privacy deve essere separata da quella relativa ad altre finalità.

Ogni fine per cui si raccolgono i dati dovrà avere la sua casella da spuntare, un consenso per:

• l’accettazione dell’informativa privacy

• l’iscrizione alla newsletter

• il contatto commerciale

Per quanto riguarda i consensi raccolti via web, vanno conservate come prova una serie di informazioni legate alla raccolta, in modo da avere un quadro il più completo possibile del momento in cui il consenso è stato raccolto.

Oltre ai dati personali e ai consensi prestati (finalità, scadenza, base giuridica), vanno quindi raccolte queste informazioni:

• indirizzo IP dell’interessato
• data e ora della raccolta (timestamp)
• indirizzo completo della pagina web dove la raccolta è stata effettuata
• codice http relativo alla transazione
• volume del pacchetto dati trasferito (bytes)
• informazioni sul browser
• il codice del form che ha raccolto i dati in quel momento
• il riferimento all’informativa privacy di quel momento

Quanto tempo mantenere le prove del consenso?

La prova del consenso va mantenuta per tutta la durata del trattamento dei dati personali.

Il trattamento non è solo l’utilizzo di un dato personale, per esempio per inviare una newsletter.

Il GDPR prevede 16 tipi di trattamento:

• Raccolta
• Registrazione
• Organizzazione
• Strutturazione
• Conservazione
• Adattamento
• Modifica
• Estrazione
• Consultazione
• Uso
• Comunicazione tramite trasmissione, diffusione o altra forma a disposizione
• Raffronto
• Interconnessione
• Limitazione
• Cancellazione
• Distruzione.

Terminato il trattamento dei dati personali, dopo che i dati vengono cancellati o anonimizzati, la prova del consenso deve essere conservata per il tempo necessario per adempiere ad obblighi giuridici o per l’accertamento, esercizio o difesa di un diritto in sede giudiziaria (rif. art. 17 GDPR, par. 3).

Come tenere traccia dei consensi?

Essendo i consensi non statici, bisogna poter tenere traccia delle modifiche, per evitare trattamenti di dati illeciti.

Gli utenti infatti hanno il diritto di revocare o modificare i consensi prestati per il trattamento dei dati personali in qualsiasi momento.

Ciò significa che:

• è necessario per gli operatori in azienda poter accedere a tutti i consensi, per aggiornarli in base alle richieste dell’interessato
• i consensi devono essere aggiornati in tempo reale in azienda, per evitare trattamenti illeciti sui dati personali

Accessibilità questa, e di conseguenza l’onere della prova (GDPR), che diventa complicata se i consensi sono distribuiti in più archivi in azienda e in applicativi diversi, magari anche con informazioni duplicate o non aggiornate.

La soluzione quindi più tutelante per l’azienda per rispondere all’obbligo GDPR dell’onere della prova è creare un Registro dei Consensi centralizzato in modo che i consensi siano accessibili in sicurezza da parte degli operatori dell’azienda ed eventualmente anche degli interessati stessi.

E’ obbligatorio quindi registrare in modo puntuale i consensi ottenuti affinché l’organizzazione sia in grado di dimostrare che l’utente abbia effettivamente prestato il consenso; in caso di problemi, l’onere della prova è a carico del titolare del trattamento, quindi la tenuta di un registro accurato è vitale.

Il registro dovrebbe includere:

• chi ha fornito il consenso
• quando e come è stato acquisito il consenso del singolo utente
• il modulo di raccolta del consenso presentato all’utente in fase di raccolta dello stesso
• un riferimento ai documenti legali e alle condizioni in essere nel momento in cui il consenso è stato acquisito.

Non farti trovare impreparato, adeguati al GDPR 😉