In questo articolo ci occuperemo di approfondire le tematiche del consenso e dei diritti dell’interessato in materia di privacy policy (ripetiamo che per interessato si intende la persona fisica i cui dati personali saranno oggetto di trattamento).
Consenso
Per quanto riguarda il primo aspetto, occorre infatti specificare che non sempre è sufficiente, ai fini della legal compliance, predisporre un’informativa privacy e inviarla e/o comunque renderla disponibile all’interessato.
Per alcuni trattamenti è necessario altresì raccogliere il consenso di quest’ultimo; consenso che deve essere espresso, libero, informato e specifico.
Nelle informative cartacee il consenso viene raccolto mediante una o più sottoscrizioni (è capitato ad ognuno di noi di scorrere il testo di una privacy policy e decidere, mediante sottoscrizione, a quale trattamento acconsentire).
Nel mondo del web, invece, la prassi è generalmente quella di raccogliere il consenso mediante le cd. spunte o flag.
Caratteristiche del consenso
Come abbiamo visto, il consenso, oltre che espresso secondo le modalità sopra indicate, deve essere: 1. informato, cioè vi deve essere un’informativa che specifichi le finalità e modalità del trattamento; 2. specifico, il che significa che deve essere espresso un consenso per ogni singola finalità; 3. libero, il che significa che l’interessato ha sempre la facoltà di non dare il proprio consenso al trattamento dei propri dati personali o di revocarlo successivamente.
Qui di seguito vi indichiamo alcuni casi di trattamento dati per i quali è necessario raccogliere un consenso specifico e separato:
newsletter informativa
newsletter commerciale (cd. comunicazioni commerciali)
profilazione
comunicazione e/o cessione di Dati
Segnaliamo, inoltre, che, per quanto riguarda il web, il Garante della Privacy ha più volte sanzionato quei Siti che presentavano form in cui i consensi erano già “prespuntati” o “flaggati”, in quanto tale pratica è stata ritenuta in contrasto con il principio del consenso esplicito (cfr. provvedimento n. 349 dell’11 giugno 2015; provvedimento n. 532 del 20 novembre 2014; provvedimento n. 429 del 20 dicembre 2012).
Casi particolari: quando il consenso non basta…
Vi sono delle ipotesi, tuttavia, in cui raccogliere il consenso non è sufficiente.
Ad esempio, se si vogliono trattare dati personali per finalità di profilazione (finalità che consiste nell’analizzare le abitudini, i gusti e le preferenze di un soggetto al fine di creare un profilo dello stesso) sarà necessario altresì notificare questo trattamento al Garante.
Un altro esempio è dato dal trattamento dei cd. dati sensibili, vale a dire “i dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale”.
In questo caso, oltre ad un’adeguata informativa e al consenso dell’interessato, occorrerà altresì ottenere l’autorizzazione al trattamento da parte del Garante (art. 26 Codice Privacy).
Diritti dell’interessato
Come abbiamo visto nell’articolo Come scrivere una Privacy Policy, nell’informativa policy sarà altresì necessario indicare i diritti dell’interessato (nel caso di un sito web, per interessato si intenderà l’utente).
Si tratta di una serie di diritti che non possono essere derogati e/o esclusi dalle parti.
In sintesi, l’interessato avrà sempre il diritto di:
ottenere la conferma dell’esistenza o meno di dati personali che lo riguardano e la loro comunicazione in forma intelligibile;
ottenere l’indicazione: a) dell’origine dei dati personali; b) delle finalità e modalità del trattamento; c) della logica applicata in caso di trattamento effettuato con l’ausilio di strumenti elettronici; d) degli estremi identificativi del titolare e dei responsabili; e) dei soggetti o delle categorie di soggetti ai quali i dati personali possono essere comunicati;
ottenere: a) l’aggiornamento, la rettificazione ovvero, quando vi ha interesse, l’integrazione dei dati; b) la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge;
opporsi, in tutto o in parte: a) per motivi legittimi al trattamento dei dati personali che lo riguardano, ancorché pertinenti allo scopo della raccolta; b) al trattamento di dati personali che lo riguardano a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale.
CONTATTI
Avv. Daniele Costa
KBL Law
daniele.costa@kbl-law.com
L’immagine del post è stata realizzata da geralt, rilasciata con licenza cc.
