GDPR. Il consenso senza se e senza ma

L’espressione del consenso al trattamento dei propri dati personali deve essere libera, specifica, informata e univoca.

La casella con cui l’interessato dichiara di prestare il suo consenso non può essere pre-selezionata dal titolare o dal responsabile perché, in questo caso, l’interessato non esprime la sua volontà di prestare il consenso in maniera valida. Infatti, attraverso questo modo di procedere, non si permette alla persona fisica di effettuare la sua scelta.

La Corte di Giustizia dell’Unione Europea, con una sentenza dell’11 novembre 2020 in cui si esprime su una domanda di pronuncia pregiudiziale relativa all’interpretazione dell’articolo 2, lettera h, della Direttiva Europea sulla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (Dir. 95/46/CE) – “«consenso della persona interessata»: qualsiasi manifestazione di volontà libera, specifica e informata con la quale la persona interessata accetta che i dati personali che la riguardano siano oggetto di un trattamento” – e dell’articolo 4, punto 11 del G.D.P.R. (Reg. UE 2016/679) – “«consenso dell’interessato»: qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento” – ha specificato quali sono le caratteristiche che deve avere l’espressione della volontà dell’interessato che presta il consenso, le condizioni di contorno in cui questa volontà deve essere espressa e a chi spetta l’onere della prova che il consenso sia stato validamente prestato.

Il Tribunale superiore di Bucarest, Romania, ha interpellato la Corte di Giustizia dell’Unione Europea al fine di definire il perimetro della fattispecie del consenso di un interessato al trattamento dei propri dati personali per poterlo considerare validamente prestato ai sensi della normativa attualmente in vigore. In particolare, questo tribunale ha sottoposto alla Corte le seguenti questioni pregiudiziali ai sensi dell’art. 2, lett. h Dir. 95/46/CE:

  • quali sono le condizioni che devono essere soddisfatte per poter considerare che una manifestazione di volontà è una manifestazione specifica e informata;
  • quali sono le condizioni che devono essere soddisfatte per poter considerare che una manifestazione di volontà è una manifestazione liberamente espressa.

La Corte Europea, nel rispondere ha ritenuto di dover emettere la sua decisione sulla base “tanto della Direttiva 45/96 quanto del Regolamento 2016/679” che ha abrogato e sostituito la direttiva precedente.

L’Orange Romania, fornitore di servizi di telecomunicazione mobile, nel 2018 è stata oggetto di un provvedimento con relativa sanzione da parte dell’Autorità Garante rumena (Autorità nazionale di sorveglianza del trattamento dei dati personali, Romania) poiché avrebbe raccolto e conservato copie di documenti di identità dei propri clienti, senza aver raccolto il loro consenso espresso.

L’Orange Romania, infatti, aveva sottoposto ai propri clienti un contratto per la fornitura di servizi di telecomunicazione in cui la casella relativa alla dichiarazione di essere stati informati e di aver manifestato il loro consenso, oltre a non essere adeguatamente differenziata e posta in evidenza nel contesto contrattuale, era già preselezionata.

La Corte Europea nel suo dispositivo chiarisce quali sono gli elementi qualificanti il consenso degli interessati, le condizioni in cui questo debba essere prestato e a carico di chi sia l’onere di provare che quanto previsto dalle norme in vigore sia stato rispettato.

Ai sensi dell’attuale normativa, articolo 4, punto 11 del Reg. UE 2016/679, il consenso dell’interessato è considerato valido quando consiste in una manifestazione di volontà “libera, specifica, informata e inequivocabile”.

Il consenso, in quanto risultato di una manifestazione di volontà, anche alla luce di quanto affermato dal considerando 32 del G.D.P.R., non può ritenersi validamente prestato nei casi di silenzio, inattività ovvero preselezione di caselle. In tutti questi casi, infatti, è impossibile determinare in “modo oggettivo” se l’interessato abbia effettivamente manifestato il proprio consenso.

Infatti, secondo la Corte, il consenso dell’interessato poichè “consistente in una dichiarazione o in un’azione positiva inequivocabile” deve ritenersi un consenso attivo.

Il consenso, inoltre, deve essere il risultato di una manifestazione di volontà SPECIFICA. Questo, cioè, deve riferirsi “precisamente” al trattamento dei dati oggetto di attenzione anche se inserito in un contesto contrattuale più ampio. Come specificato al punto 2 dell’articolo 7 del G.D.P.R., infatti, qualora il consenso dell’interessato sia prestato “nel contesto di una dichiarazione scritta che riguarda anche altre questioni” la richiesta di questo deve essere presentata in maniera che sia “chiaramente distinguibile” dagli altri contenuti. Inoltre, tale dichiarazione deve essere “presentata in forma comprensibile e facilmente accessibile ed essere formulato in un linguaggio semplice e chiaro”.

È necessario anche che il consenso sia INFORMATO. In altre parole, è richiesto che l’interessato riceva una corretta e completa informazione da parte del Titolare o dal Responsabile del trattamento circa le finalità, le modalità e “tutte le circostanze che corredano il trattamento dei dati”, con particolare riferimento alle conseguenze che derivano in ragione della scelta effettuata. Tuttavia, la semplice comunicazione non è sufficiente, è richiesto che questa sia data in una “forma comprensibile e facilmente accessibile” utilizzando un linguaggio semplice e chiaro.

L’interessato deve avere la possibilità di esprimere il suo consenso in maniera LIBERA. Il Titolare o il responsabile devono dunque permettere alla persona fisica cui si riferiscono i dati una “effettiva libertà di scelta”. Le clausole del contratto non devono, quindi, essere formulate in modo che l’interessato possa essere indotto in errore “circa la possibilità di stipulare il contratto anche qualora rifiuti di acconsentire al trattamento dei suoi dati”. In assenza di queste ultime informazioni non è possibile ritenere che l’interessato abbia prestato liberamente il suo consenso.

Il consenso, infine, deve essere prestato in maniera INEQUIVOCABILE. Ciò comporta il fatto che l’onere di provare l’esistenza di un consenso validamente prestato sia a carico del Titolare o del Responsabile del trattamento.

In merito la Corte ha dichiarato: “spetta al responsabile del trattamento dei dati dimostrare che la persona interessata, mediante un comportamento attivo, ha manifestato il proprio consenso al trattamento dei suoi dati personali e che essa ha ottenuto, previamente, un’informazione alla luce di tutte le circostanze che corredano tale trattamento, in forma comprensibile e facilmente accessibile e con un linguaggio semplice e chiaro, che le consenta di individuare agevolmente le conseguenze del consenso prestato, affinché sia garantito che questo sia espresso con piena cognizione di causa. Un contratto relativo alla fornitura di servizi di telecomunicazione che contiene una clausola secondo cui l’interessato è stato informato e ha acconsentito alla raccolta e alla conservazione di una copia del suo documento di identità a fini di identificazione non è idoneo a dimostrare che tale persona abbia validamente manifestato il proprio consenso, nell’accezione di tali disposizioni, a tale raccolta e conservazione, qualora:

  • la casella relativa a tale clausola sia stata selezionata dal responsabile del trattamento dei dati prima della sottoscrizione di tale contratto, o qualora
  • le clausole contrattuali di detto contratto possano indurre in errore la persona interessata circa la possibilità di stipulare il contratto in questione anche se essa rifiuta di acconsentire al trattamento dei suoi dati, o qualora
  • la libera scelta di opporsi a tale raccolta e a tale conservazione sia indebitamente pregiudicata da detto responsabile esigendo che la persona interessata, per rifiutare il proprio consenso, compili un modulo supplementare che attesti tale rifiuto.

Renato Carafa

Richiedi una consulenza

Fiscolexnews oltre ad offrire ai propri lettori informazioni e aggiornamenti sui principali argomenti in materia fiscale, legale e del mondo dell’impresa, implementa il proprio servizio offrendo la sezione “Richiedi una consulenza”. Sarai messo in contatto diretto con i nostri esperti nelle varie materie, che saranno pronti a fornire consulenze mirate e specifiche su quesiti ad hoc.