In questa pagina sono disponibili un modello Word e un PDF editabile per raccogliere e documentare il consenso al trattamento dei dati personali. I file costituiscono fac simile generici da adattare alle finalità per le quali il consenso rappresenta effettivamente la base giuridica del trattamento.
Prima di utilizzare il modulo il titolare deve individuare la corretta base giuridica e, quando il trattamento si fonda sul consenso, formulare richieste specifiche, comprensibili e separate per le diverse finalità.
Modulo Consenso al Trattamento dei Dati Personali Word
Il formato Word è indicato quando occorre personalizzare il documento, inserire i dati del titolare e predisporre scelte distinte per ciascuna finalità facoltativa. Prima dell’utilizzo devono essere eliminate eventuali formule generiche non pertinenti al trattamento concreto.
Fac Simile Consenso al Trattamento dei Dati Personali PDF Editabile
Il PDF editabile può essere utilizzato quando la struttura del fac simile corrisponde alle finalità effettivamente previste. Anche in questo caso il modulo deve essere accompagnato o preceduto dall’informativa privacy applicabile.
Quando serve il consenso al trattamento dei dati
L’articolo 6 del Regolamento (UE) 2016/679 prevede diverse basi giuridiche per il trattamento dei dati personali. Il consenso è soltanto una di queste.
Non deve quindi essere richiesto automaticamente quando il trattamento è necessario, per esempio, per eseguire un contratto o adottare misure precontrattuali richieste dall’interessato, adempiere un obbligo legale, proteggere interessi vitali, svolgere un compito di interesse pubblico oppure perseguire un legittimo interesse quando ne ricorrono i presupposti.
Il consenso può invece essere appropriato per finalità realmente facoltative, come determinate attività promozionali, alcuni trattamenti di profilazione, la comunicazione dei dati a soggetti terzi per finalità autonome oppure ulteriori utilizzi dei dati che non siano necessari per fornire il servizio richiesto.
Non è corretto subordinare una prestazione al consenso per trattamenti che non sono necessari all’esecuzione del contratto. Il rifiuto di una finalità facoltativa deve poter essere espresso senza conseguenze indebite sulla prestazione principale.
Informativa privacy e modulo di consenso sono documenti diversi
L’informativa serve a spiegare all’interessato come vengono trattati i suoi dati. Quando i dati vengono raccolti direttamente presso la persona, trova applicazione l’articolo 13 del GDPR; quando provengono da altre fonti può trovare applicazione l’articolo 14.
L’informativa deve indicare, secondo il caso, almeno:
- identità e contatti del titolare del trattamento;
- contatti del Responsabile della protezione dei dati, se un DPO è stato designato;
- finalità del trattamento e relativa base giuridica;
- eventuali legittimi interessi, quando costituiscono la base del trattamento;
- destinatari o categorie di destinatari dei dati;
- eventuali trasferimenti verso Paesi terzi e relative garanzie, quando presenti;
- periodo di conservazione oppure criteri utilizzati per determinarlo;
- diritti dell’interessato applicabili al trattamento;
- diritto di proporre reclamo al Garante per la protezione dei dati personali;
- natura obbligatoria o facoltativa del conferimento e conseguenze dell’eventuale mancata comunicazione dei dati;
- eventuale esistenza di processi decisionali automatizzati quando ricorrono le condizioni previste dal GDPR.
Non è invece necessario inserire nell’informativa i recapiti di tutti i responsabili del trattamento nominati ai sensi dell’articolo 28. Devono essere indicati i destinatari o le relative categorie quando previsto dal GDPR.
Come predisporre il modulo di consenso
Il fac simile deve essere personalizzato in funzione del trattamento concreto. Il titolare dovrebbe evitare formule come “autorizzo il trattamento dei miei dati per tutte le finalità previste dalla legge”, perché non consentono all’interessato di comprendere realmente ciò che sta accettando.
Nel modulo è opportuno indicare:
- titolare del trattamento e relativo recapito;
- persona interessata alla quale si riferiscono i dati;
- informativa privacy di riferimento, preferibilmente individuata mediante data o versione;
- finalità specifica per la quale viene richiesto il consenso;
- eventuali categorie di dati rilevanti per comprendere la scelta;
- eventuali destinatari collegati alla finalità autorizzata;
- modalità per revocare il consenso;
- data e firma quando il consenso viene raccolto su carta, oppure un’altra evidenza dell’azione positiva compiuta in caso di raccolta elettronica.
Il consenso riguarda una persona fisica interessata dal trattamento. Quando il rapporto coinvolge una società, può firmare materialmente il suo rappresentante per gli aspetti contrattuali pertinenti, ma la società in quanto tale non diventa “interessato” ai sensi del GDPR. La normativa protegge i dati personali riferiti a persone fisiche.
Consensi separati per finalità diverse
Quando il trattamento persegue più finalità indipendenti, la persona deve poter scegliere separatamente. Marketing, profilazione e comunicazione dei dati a terzi per loro autonome finalità non dovrebbero essere raccolti attraverso un’unica autorizzazione indistinta quando richiedono consensi diversi.
Le caselle non devono essere preselezionate e il silenzio, l’inattività o la mancata cancellazione di una formula prestampata non costituiscono un valido consenso. Le condizioni sono illustrate anche nelle Linee guida 5/2020 dell’European Data Protection Board.
Quando viene chiesto il consenso all’interno di un contratto o di un altro documento, la richiesta deve inoltre essere chiaramente distinguibile dalle altre clausole e formulata con linguaggio semplice e accessibile.
Dati particolari e consenso esplicito
L’articolo 9 del GDPR disciplina le categorie particolari di dati personali, tra cui dati che rivelano origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, determinati dati biometrici.
Il trattamento di queste informazioni è in linea generale vietato, salvo che ricorra una delle condizioni previste dallo stesso articolo 9. Quando viene utilizzata la condizione fondata sul consenso, questo deve essere esplicito e riferito a una o più finalità specifiche.
Un’autorizzazione generica al trattamento dei dati personali non è quindi sufficiente a legittimare automaticamente il trattamento di dati sanitari o di altre categorie particolari. In molti settori, inoltre, il trattamento di tali dati si basa su condizioni diverse dal consenso.
Per i dati relativi a condanne penali e reati trova invece applicazione l’articolo 10 del GDPR e non è sufficiente fare affidamento su un generico consenso dell’interessato.
Consenso dei minori
La soglia dei 14 anni prevista dalla normativa italiana riguarda uno specifico caso: il consenso fondato sull’articolo 6, paragrafo 1, lettera a), del GDPR nell’ambito dell’offerta diretta di servizi della società dell’informazione ai minori.
L’articolo 2-quinquies del Codice Privacy stabilisce che, in questo contesto, il minore che ha compiuto 14 anni può prestare autonomamente il consenso. Per il minore di 14 anni il consenso deve essere prestato da chi esercita la responsabilità genitoriale.
Questa soglia non deve essere interpretata come una regola generale secondo cui qualsiasi minore di almeno 14 anni può autorizzare autonomamente ogni possibile trattamento dei propri dati. Per attività diverse dai servizi della società dell’informazione devono essere considerate la normativa applicabile, la natura del trattamento e le regole sulla capacità del minore.
Come raccogliere e conservare il consenso
Il GDPR non richiede che ogni consenso sia necessariamente raccolto mediante un foglio firmato. Può essere espresso anche elettronicamente attraverso una casella, un pulsante o un’altra azione positiva inequivocabile, purché il titolare sia in grado di provarlo.
La documentazione dovrebbe consentire di dimostrare almeno chi ha prestato il consenso, quando, per quale finalità, attraverso quale modalità e sulla base di quale informativa. Per un modulo cartaceo è quindi opportuno conservare la copia sottoscritta insieme alla versione dell’informativa richiamata.
Non esiste un termine generale e identico per la conservazione di tutti i moduli di consenso. La prova deve essere mantenuta per il periodo necessario a dimostrare la liceità del trattamento, tenendo conto della durata della finalità e degli eventuali termini applicabili al caso concreto.
Il modulo non deve normalmente essere inviato al Garante né richiede l’autenticazione della firma.
Revoca del consenso
L’articolo 7 del GDPR riconosce all’interessato il diritto di revocare il consenso in qualsiasi momento. La revoca deve essere facile quanto il conferimento.
La revoca non rende illecito ciò che è stato legittimamente trattato prima della sua comunicazione. Dopo la revoca devono cessare le attività fondate esclusivamente su quel consenso, mentre eventuali trattamenti basati su un diverso presupposto giuridico possono continuare nei limiti consentiti dalla legge.
Revoca del consenso e cancellazione dei dati non sono quindi sinonimi. Per questo il modulo o l’informativa dovrebbero spiegare chiaramente attraverso quale canale può essere esercitata la revoca.
Casi in cui il fac simile generico non è adatto
Il modulo deve essere utilizzato con particolare cautela nei rapporti di lavoro, nelle attività sanitarie e nei rapporti con la pubblica amministrazione, perché lo squilibrio tra le parti o l’esistenza di specifiche basi giuridiche può rendere il consenso inappropriato.
Un esempio è la videosorveglianza dei lavoratori, la semplice firma del dipendente non sostituisce le condizioni previste dall’articolo 4 dello Statuto dei lavoratori. Per questo caso è disponibile una specifica informativa sulla videosorveglianza dei dipendenti.
Anche nei curriculum spontaneamente trasmessi per una candidatura non deve essere aggiunta automaticamente la tradizionale formula “autorizzo il trattamento dei dati personali”. L’articolo 111-bis del Codice Privacy prevede che, nei limiti delle finalità indicate dalla norma, il consenso per i dati contenuti nei curricula spontaneamente inviati non sia dovuto.
Consenso per fotografie e video
Se la finalità riguarda l’utilizzo o la pubblicazione dell’immagine di una persona, il profilo privacy può affiancarsi alla disciplina del diritto all’immagine. Un generico consenso al trattamento dei dati non definisce necessariamente in modo adeguato canali di pubblicazione, finalità, durata e utilizzi autorizzati.
Per questi casi è più appropriato predisporre una liberatoria per l’utilizzo di immagini e video, coordinandola con l’informativa privacy e con la corretta base giuridica del trattamento.