In questa pagina sono disponibili un modello Word e un PDF editabile per raccogliere e documentare il consenso al trattamento dei dati personali. Il modulo può essere adattato dal titolare del trattamento alle finalità per le quali il consenso costituisce la corretta base giuridica.
Prima della firma, l’interessato deve ricevere un’informativa completa. Il solo modulo non rende conforme qualsiasi trattamento e non deve essere utilizzato quando il consenso non è necessario oppure non può essere considerato liberamente prestato.
Modulo Consenso al Trattamento dei Dati Personali Word
Il formato Word consente di modificare il documento, inserire i dati del titolare e predisporre scelte separate per ciascuna finalità.
Modulo Consenso Trattamento Dati Personali PDF Editabile
Il PDF editabile può essere compilato quando la struttura e le finalità indicate nel documento corrispondono al trattamento effettivamente previsto.
Quando serve il consenso al trattamento dei dati
Il consenso è una delle basi giuridiche previste dall’articolo 6 del Regolamento UE 2016/679, ma non è necessario per ogni trattamento. I dati possono essere trattati anche quando ciò è necessario per eseguire un contratto o misure precontrattuali richieste dall’interessato, adempiere un obbligo legale, proteggere interessi vitali, svolgere un compito di interesse pubblico oppure perseguire un legittimo interesse nel rispetto delle condizioni previste dal GDPR.
Il consenso può essere appropriato per finalità facoltative, come determinate comunicazioni promozionali, attività di profilazione non necessarie al servizio oppure ulteriori utilizzi dei dati chiaramente distinti dalla prestazione principale. Non dovrebbe essere richiesto soltanto per prudenza quando esiste già un’altra base giuridica adeguata.
Quando viene utilizzato, il consenso deve essere libero, specifico, informato e inequivocabile. Il rifiuto non deve impedire l’accesso a un servizio quando il trattamento oggetto del consenso non è necessario per fornirlo. Le indicazioni pratiche sulle diverse basi giuridiche sono disponibili anche nella pagina dell’European Data Protection Board sul trattamento lecito dei dati.
Informativa privacy e consenso sono documenti diversi
L’informativa descrive il trattamento e deve indicare, secondo il caso, l’identità e i contatti del titolare, le finalità, la base giuridica, i destinatari, gli eventuali trasferimenti fuori dallo Spazio economico europeo, il periodo o i criteri di conservazione, i diritti dell’interessato, il diritto di reclamo e le conseguenze dell’eventuale mancato conferimento.
Il modulo di consenso serve invece a registrare la scelta dell’interessato per una o più finalità fondate sul consenso. Può contenere l’informativa completa oppure richiamarne una copia consegnata separatamente, purché il riferimento consenta di identificare il testo e la versione conosciuti dall’interessato.
La raccolta temporanea dei dati o la loro cancellazione dopo un evento non eliminano automaticamente l’obbligo di fornire l’informativa. Anche raccolta, consultazione, utilizzo e cancellazione costituiscono operazioni di trattamento, indipendentemente dalla durata della conservazione.
Come predisporre e compilare il modulo
Il documento deve essere adattato al trattamento concreto. In genere è opportuno indicare:
- nome, denominazione e recapiti del titolare del trattamento;
- eventuali contatti del Responsabile della protezione dei dati, se designato;
- dati necessari a identificare l’interessato;
- riferimento all’informativa consegnata e alla relativa versione o data;
- finalità specifica per la quale viene richiesto il consenso;
- categorie di dati interessate, quando questa informazione è necessaria per rendere comprensibile la scelta;
- eventuali soggetti o categorie di destinatari collegati alla finalità;
- una scelta positiva e chiaramente distinguibile per ciascuna finalità;
- modalità con cui il consenso può essere revocato;
- luogo, data e firma oppure evidenza dell’azione elettronica compiuta.
Se sono previste finalità diverse, come marketing, profilazione e comunicazione dei dati a partner, non è corretto utilizzare un’unica autorizzazione indistinta. Ogni scelta deve essere formulata separatamente e con parole comprensibili. Le caselle non devono essere preselezionate e il silenzio o l’inattività non costituiscono consenso.
Come raccogliere e conservare il consenso
Il modulo cartaceo deve essere consegnato al titolare o al soggetto incaricato secondo le modalità comunicate nell’informativa. Non è normalmente necessario inviarlo al Garante per la protezione dei dati personali né autenticare la firma.
Il consenso può essere raccolto anche elettronicamente mediante una casella, un pulsante o un’altra azione positiva. Il titolare deve poter dimostrare chi ha prestato il consenso, quando, con quale modalità, per quali finalità e sulla base di quale informativa. È quindi necessario conservare in modo sicuro il modulo firmato o la registrazione elettronica insieme alla versione dei testi mostrati all’interessato.
È opportuno consegnare o rendere disponibile una copia del modulo all’interessato. Non esiste un unico periodo di conservazione valido per tutti i consensi: la documentazione deve essere mantenuta per il tempo necessario a dimostrare la liceità del trattamento e in coerenza con i termini applicabili alla situazione concreta.
Revoca del consenso
L’interessato può revocare il consenso in qualsiasi momento e la revoca deve essere semplice quanto il suo conferimento. Il modulo o l’informativa devono indicare un canale utilizzabile, per esempio un indirizzo email, una funzione dell’account o un collegamento per modificare le preferenze.
La revoca non rende illecito il trattamento effettuato prima della sua comunicazione. Dopo la revoca, il titolare deve interrompere le attività basate esclusivamente sul consenso, ma alcuni dati possono continuare a essere conservati quando esiste un diverso obbligo o fondamento giuridico. Revoca e cancellazione non producono quindi sempre gli stessi effetti.
Curriculum, immagini e dati particolari
Una formula generica di autorizzazione non è normalmente necessaria nel curriculum inviato per candidarsi a un lavoro. Nei limiti delle finalità precontrattuali, l’articolo 111-bis del Codice Privacy stabilisce che il consenso al trattamento dei dati presenti nei curriculum non è dovuto. L’informativa per i curriculum spontaneamente trasmessi viene fornita al primo contatto utile successivo all’invio.
Se il trattamento riguarda dati che rivelano origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, biometrici diretti a identificare una persona, salute, vita sessuale o orientamento sessuale, occorre verificare anche le condizioni dell’articolo 9 del GDPR. Un consenso generico può non essere sufficiente.
Per pubblicare o utilizzare fotografie e video identificabili possono inoltre rilevare i diritti sull’immagine, distinti dalla sola protezione dei dati personali. In questi casi è opportuno utilizzare una specifica liberatoria fotografica che definisca immagini, finalità, canali di diffusione e durata dell’utilizzo.
Per trattamenti riguardanti minori, dati sanitari, riconoscimento biometrico, profilazione con effetti rilevanti o trasferimenti internazionali, il fac simile generico deve essere utilizzato soltanto dopo avere verificato la normativa e le garanzie applicabili al caso concreto.