Consenso valido: quattro pilastri, un'insidia

Ai sensi del GDPR, un consenso valido non consiste semplicemente nel selezionare una casella: deve soddisfare quattro condizioni cumulative. «Libero» significa che l'interessato dispone di una scelta effettiva, senza pressioni né penalizzazioni in caso di rifiuto. «Specifico» richiede il consenso per ogni distinta finalità del trattamento, non un'autorizzazione generica. «Informato» impone una spiegazione chiara e in linguaggio semplice dei dati raccolti e delle relative finalità. «Inequivocabile» significa che la manifestazione di volontà dell'interessato deve essere chiara, ad esempio tramite un'adesione attiva, non mediante il silenzio o caselle preselezionate. Ad esempio, un sito web che raggruppa in un'unica casella il consenso per analisi, marketing e condivisione con terzi non soddisfa i requisiti di «specificità» e «libertà».

Per individuare rapidamente un consenso non valido, verificate l’eventuale assenza di una scelta reale: caselle preselezionate, consenso accorpato alle condizioni di servizio o penalità in caso di revoca. Se una domanda descrive uno scenario in cui il consenso è nascosto nelle clausole scritte in caratteri piccoli o combinato con altre richieste, è probabilmente non valido. Un altro accorgimento: ricordate che il silenzio o l’inattività non costituiscono mai un consenso inequivocabile; il GDPR richiede un’azione attiva e affermativa. Negli esami, se un titolare del trattamento sostiene di aver ottenuto il consenso mediante una casella preselezionata, potete immediatamente segnalarlo come violazione dei requisiti del consenso «liberamente prestato» e «inequivocabile».

Utilizzate l’acronimo mnemonico «LSII» (Liberamente prestato, Specifico, Informato, Inequivocabile) per ricordare i principi fondamentali. Per mettervi alla prova, immaginate un modulo di consenso: se non potete dire facilmente «no» senza conseguenze o se il modulo combina finalità diverse, il consenso non è valido. Esercitatevi riscrivendo una dichiarazione di consenso accorpata in forma valida, separando ciascuna finalità e prevedendo per ognuna un consenso esplicito distinto. Questo esercizio attivo consolida la distinzione tra consenso valido e non valido.