Nel mondo della protezione dei dati personali, il consenso è spesso percepito come una formula magica capace di risolvere ogni problema di compliance. In realtà, il Regolamento (UE) 2016/679 (GDPR) lo considera una delle diverse basi giuridiche su cui si può fondare un trattamento — e non certo la più comoda o universale.

Tuttavia, molte PMI, enti e organizzazioni continuano a utilizzarlo come un “jolly” giuridico, chiedendo all’interessato di autorizzare qualsiasi trattamento: dalla gestione del contratto alla fatturazione, fino alla semplice iscrizione a un servizio informativo. Il risultato? Un consenso inutile quando non serve, e pericoloso quando manca la prova della sua corretta acquisizione.

Il falso mito del consenso universale

L’articolo 6 del GDPR elenca le basi giuridiche legittime per trattare dati personali. Il consenso è solo una di esse, accanto a:

– l’esecuzione di un contratto;

– l’adempimento di un obbligo legale;

– la tutela di interessi vitali;

– l’esecuzione di un compito di interesse pubblico;

– il legittimo interesse del titolare.

Molte aziende, però, richiedono il consenso anche quando non è necessario. Ad esempio: per l’invio di fatture o la gestione di un ordine (basi contrattuali), per la conservazione dei documenti fiscali (obbligo legale) o per comunicazioni interne ai dipendenti (legittimo interesse o contratto di lavoro).

In questi casi, chiedere il consenso non solo è superfluo, ma può invalidare la legittimità del trattamento: se l’interessato revoca il consenso, l’azienda si troverebbe teoricamente senza base giuridica per continuare l’attività, nonostante fosse perfettamente lecita.

Criticità doppia: forma e sostanza

Il consenso, quando è realmente richiesto, deve rispettare quattro caratteristiche fondamentali (art. 4, par. 11 GDPR):

Requisito Significato
Libero Non deve essere condizione per ottenere un servizio o un vantaggio non proporzionato.
Specifico Deve riferirsi a una o più finalità determinate, non a trattamenti generici.
Informato L’interessato deve conoscere chiaramente finalità, destinatari, diritti e modalità di revoca.
Revocabile Deve poter essere ritirato facilmente, in qualsiasi momento, con effetto per il futuro.

Ma oltre alla forma, conta la tracciabilità del consenso: deve essere dimostrabile. Il titolare del trattamento deve poter provare quando, come e da chi è stato espresso, attraverso log informatici, timestamp, sistemi di conservazione della prova e versioning dell’informativa.

I casi più frequenti di “consenso mal raccolto”

– Moduli cartacei senza data o firma: impossibile dimostrare la provenienza.

– Caselle preselezionate online: consenso non libero.

– Consensi unici per più finalità: consenso non specifico.

– Assenza di registro o log di raccolta: consenso non dimostrabile.

– Revoca impossibile o ignorata: violazione del diritto alla revoca.

Buone pratiche per la gestione del consenso

Per evitare di raccogliere consensi “a vuoto”, le organizzazioni dovrebbero:

Azione consigliata Descrizione operativa
Analizzare le basi giuridiche Evitare il consenso quando esiste una base più solida come contratto, obbligo o interesse legittimo.
Formulare informative chiare Distinguere le finalità e spiegare in modo accessibile ogni trattamento.
Utilizzare strumenti di tracciamento Registrare timestamp, versione dell’informativa e log della raccolta.
Gestire la revoca Permettere di ritirare il consenso facilmente, ad esempio con un click o una mail.
Archiviare le prove Conservare le evidenze in modo centralizzato e sicuro.

Consenso e accountability: due facce della stessa medaglia

L’errore più grave è considerare il consenso un “foglio da firmare” e non un processo di responsabilità. Nel paradigma dell’accountability, il titolare deve poter dimostrare non solo di aver rispettato la norma, ma di aver adottato misure organizzative e tecniche per garantirne l’efficacia nel tempo.

Un consenso raccolto male è un consenso inutile. Un consenso usato male è un boomerang legale. Solo un consenso correttamente gestito, tracciato e contestualizzato è davvero conforme.

Conclusione: dal “sì” automatico alla consapevolezza

Il consenso non è una firma di cortesia, ma un atto di fiducia informata. Richiederlo senza criterio significa banalizzare un diritto e indebolire la relazione con l’interessato. Meglio un consenso in meno ma valido, che cento consensi raccolti male.

Il consenso non è una coperta per coprire l’incertezza giuridica, ma una prova della maturità organizzativa di chi tratta i dati.