Novità rispetto alle versioni precedenti

Il Comitato europeo per la protezione dei dati, l’EDPB, il 4 maggio scorso, ha presentato una nuova Guideline sul GDPR, che sebbene ripercorra il percorso del precedente lavoro WP29 dell’aprile 2018, delimita meglio l’”acquisizione” del consenso, in virtù anche dei case history accaduti negli ultimi mesi.

Pur ripercorrendo, e lo vedremo tra poco, un po’ il perimetro del consenso, l’EDPB si concentra soprattutto su due questioni strategiche:

1 La validità del consenso fornito dall’interessato quando interagisce con il cosiddetto “cookie wall”;

2 L’esempio 16 sullo scorrimento (“scrolling”) e il consenso.

Per esempio 16, si legge più avanti, si fa riferimento al seguente passo: «In base al considerando 32, azioni come lo scorrimento o lo scorrimento di una pagina web o attività simili dell’utente non soddisferanno in nessun caso il requisito di un’azione chiara e affermativa: tali azioni possono essere difficili da distinguere da altre attività o interazioni da parte di un utente e quindi non sarà possibile determinare che sia stato ottenuto un consenso univoco. Inoltre, in tal caso, sarà difficile fornire all’utente la possibilità di ritirare il consenso in modo altrettanto semplice di come è stato concederlo.»

https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_it

Consenso

Le presenti linee guida forniscono un’analisi approfondita della nozione di consenso di cui all’art 6 del regolamento 2016/679, che deve essere ottenuto in piena conformità con i dettami del GDPR, e che rappresenta lo strumento con cui ogni individuo può controllare come e se vengono trattati i propri dati personali.

Tale consenso, come sappiamo dall’art 4, paragrafo 11 del GDPR, deve essere dato liberamente,

• specifico,
• informato e
• l’indicazione inequivocabile della volontà dell’interessato con la quale egli, con una dichiarazione o con una chiara azione affermativa, esprime il consenso al trattamento dei dati personali che lo riguardano.

Di conseguenza, il consenso non sarà considerato libero se l’interessato non è in grado di rifiutare o di ritirare il proprio consenso senza pregiudizio.

Quello che aiuta, in questo rapporto, è il massiccio utilizzo di esempi concreti, che aiutano a guidare non solo l’interessato, ma anche i titolari e responsabili del trattamento ad applicare coerentemente ed efficacemente i dettami alla base di un consenso legittimo.

Per aiutare a comprendere l’obbligatorietà di un consenso libero ed informato, viene riportato nel documento il seguente esempio – case study: «un’applicazione mobile per il fotoritocco chiede ai suoi utenti di attivare la localizzazione GPS per il l’utilizzo dei suoi servizi. L’app comunica inoltre ai propri utenti che utilizzerà i dati raccolti per la pubblicità comportamentale. Né la geolocalizzazione né la pubblicità comportamentale online sono necessarie per la fornitura di il servizio di fotoritocco e vanno oltre la fornitura del servizio principale fornito. Poiché l’utente non può utilizzare l’app senza il suo consenso a questi scopi, il consenso non può essere considerato come libero». Ne discende che un servizio che obblighi, in maniera diretta o indiretta, all’accettazione dei cookies per usufruire del servizio, come in questo caso, non direttamente collegato alle specifiche dell’applicazione, è da ritenersi coattivo e pertanto non valido.

A maggior ragione, questo avviene, nei rapporti cittadino Pubblica Amministrazione, ove lo squilibrio di potere potrebbe rendere difficile far ritenere veramente libero il consenso: ma qui si chiarificano le poche eccezioni in cui il consenso del cittadino potrebbe essere condizionato per essere ammesso al godimento di determinati diritti. Esempio: un comune locale sta pianificando lavori di manutenzione stradale. Poiché i lavori stradali possono perturbare il traffico per lungo tempo, il comune offre ai suoi cittadini la possibilità di iscriversi ad una lista di posta elettronica per ricevere aggiornamenti sullo stato di avanzamento dei lavori e sui ritardi previsti. Il Comune chiarisce che non vi è alcun obbligo di partecipazione e chiede il consenso all’utilizzo di indirizzi e-mail per questo (esclusivo) scopo. I cittadini che non acconsentono, non perderanno nessun servizio di base del comune o l’esercizio di qualsiasi diritto, in modo da poter dare o rifiutare il proprio consenso liberamente. Tutti Le informazioni sui lavori stradali saranno disponibili anche sul sito web del comune.

Il consenso può essere valido solo se l’interessato è in grado di esercitare una scelta reale, e non vi è alcun rischio di inganno, intimidazione, coercizione o significative conseguenze negative (ad es. notevoli costi aggiuntivi) se non acconsente. Il consenso non sarà libero nei casi in cui vi sia un qualsiasi elemento di costrizione, pressione o incapacità di esercitare il libero arbitrio.

“Bundling” nel consenso

L’art 7 par. 4 del GDPR dà un valido aiuto nel definire situazioni di ”bundling” nel consenso: per cosa sta “bundling”? È quel fenomeno con cui il titolare di un trattamento “accorpa” più consensi insieme, di diversa natura e grado, per poterne “acchiappare” più di uno: l’accettazione di termini o condizioni (cd condizionalità), o “vincolare” la fornitura di un contratto o di un servizio, a una richiesta di consenso a dati personali che non sono necessari per l’esecuzione di tale contratto o servizio, è considerato altamente indesiderabile. Se il consenso viene dato in questa situazione, si presume che non venga dato liberamente (considerando 43).

Consenso e prestazione non possono mai essere uniti per non ingenerare confusione nell’utente: pertanto, per valutare se si verifica una tale situazione di accaparramento o di vincolo, è importante determinare quale sia l’ambito di applicazione del contratto e quali dati sarebbero necessari per la sua relativa esecuzione (esempio: è ammissibile dare il consenso a fornire il proprio indirizzo, qualora l’oggetto della prestazione sia l’acquisto di un bene che deve essere recapitato al domicilio dell’utente).

Ne deriva quindi una maggiore attenzione, in questo recente lavoro dell’EDPB verso la condizionalità e la sua incisività sulla libertà del consenso, che andrà valutata, ex art 7 par 4 GDPR, con la «massima considerazione».

Quando il trattamento dei dati viene effettuato in perseguimento di più scopi, la soluzione per soddisfare le condizioni per un valido consenso risiede nella cosiddetta granularità, cioè la separazione di questi scopi e l’ottenimento del consenso per ogni scopo. «Ai sensi dell’articolo 5, paragrafo 1, lettera b), del GDPR, l’ottenimento di un valido consenso è sempre preceduto dalla determinazione di una finalità specifica, esplicita e legittima per l’attività di trattamento prevista.», al fine di evitare il fenomeno detto di “scorrimento di funzione” che funziona come una salvaguardia contro il graduale ampliamento o l’offuscamento delle finalità per le quali i dati sono trattati, dopo che l’interessato ha acconsentito alla prima raccolta.

Relativamente poi al punto 1 di questa analisi, che toccava il delicato dibattito sulla validità o meno del cookie wall, si determina quanto segue: affinché il consenso possa essere dato liberamente, l’accesso ai servizi e alle funzionalità non deve essere subordinato al consenso dell’utente all’archiviazione delle informazioni o all’ottenimento dell’accesso alle informazioni già memorizzati, nell’apparecchiatura terminale di un utente (i cosiddetti cookie wall).

Pertanto: qualora un fornitore di siti web abbia messo in atto uno script che blocchi la visibilità del contenuto, eccetto per la richiesta di accettare i cookie non rendendo possibile accedere al contenuto, senza cliccare sul pulsante “Accetta i cookie”, poiché all’interessato non viene presentata una vera e propria scelta, il suo consenso è non dato liberamente.

Dimostrazione del consenso

La dimostrazione del consenso ex art 7, paragrafo 1, del GDPR delinea chiaramente l’obbligo esplicito del titolare del trattamento, di dimostrare il consenso del soggetto. L’onere della prova è a suo carico , obbligo assolvibile magari tenendo un registro delle dichiarazioni di consenso ricevute, in modo da mostrare come il consenso è stato ottenuto, quando è stato ottenuto il consenso e le informazioni fornite all’interessato in quel momento deve essere dimostrabile, non essendo sufficiente limitarsi a fare riferimento ad una corretta configurazione del rispettivo sito web.

Infine, in questa Guida si dà risalto alla opportuna maggiore vigilanza e controllo, nel caso di consenso di  minori: l’EDPB raccomanda l’adozione di un approccio proporzionato, in linea con l’articolo 8, paragrafo 2 e articolo 5, paragrafo 1, lettera c), del GDPR (minimizzazione dei dati). Un approccio proporzionato può essere quello di concentrarsi su ottenere una quantità limitata di informazioni, come i dati di contatto di un genitore o di un tutore. Esempio: una piattaforma di gioco online vuole assicurarsi che i clienti minorenni si abbonino solo ai suoi servizi con il consenso dei genitori o dei tutori. Il controllore dovrà pertanto seguire questa procedura:

1. chiedere all’utente di indicare se ha meno di 16 anni o più di 16 anni (o l’età alternativa del consenso digitale) Se l’utente dichiara di non avere ancora raggiunto l’età del consenso digitale:
2. il servizio informa il bambino che è necessario il consenso o l’autorizzazione di un genitore o di un tutore per il trattamento prima che il servizio venga fornito al bambino. L’utente è pregato di comunicare l’indirizzo e-mail di un genitore o tutore.
3. il servizio contatta il genitore o il tutore e ottiene il loro consenso via e-mail per l’elaborazione e adottare misure ragionevoli per confermare che l’adulto ha la responsabilità genitoriale.
4. in caso di reclami, la piattaforma adotterà ulteriori misure per verificare l’età dell’abbonato.

CONCLUSIONI

 L’EDPB riprende un po’ tutti i temi “caldi” del GDPR, non innovando in maniera decisiva ma semplicemente ricapitolando la necessaria e obbligatoria conformità e compliance, di un consenso libero, specifico, informato, granulare e attivo.

Riproduzione Riservata

Avv. Raffaella Aghemo