Secondo quanto stabilito nel G.D.P.R. ogni trattamento dei dati deve trovare fondamento in un'idonea base giuridica.
L'art. 6 del regolamento stabilisce che il trattamento dei dati è lecitosole e nella misura in cui ricorre almeno una delle seguenti condizioni (riassumendo: consenso, adempimento obblighi contrattuali, interessi vitali della persona interessata o di terzi, obblighi di legge cui è soggetto il titolare, interesse pubblico o esercizio di pubblici poteri, interesse legittimo prevalente del titolare o di terzi cui i dati vengono comunicati).
Occorre, quindi, valutare attentamente gli scopi del trattamento, in modo da stabilire correttamente quali dati possono essere trattati e quali no.
Il consenso dell’interessatoal trattamento dei dati personali dovrà essere preventivo ed inequivocabile, anche quando espresso attraverso mezzi elettronici (ad esempio selezionando un’apposita casella in un sito web).
Viene esclusa dal GDPR ogni forma di consenso TACITO o PRESUNTO (no a caselle pre-spuntate su un modulo).
Il consenso NON deve essere necessariamente "documentato per iscritto", né è richiesta la "forma scritta", anche se questa è modalità idonea a configurare l'inequivocabilità del consenso e il suo essere "esplicito" (per i dati sensibili); inoltre, il titolare (art. 7.1) DEVE essere in grado di dimostrare che l'interessato ha prestato il consenso a uno specifico trattamento.
Il consenso DEVE essere, in tutti i casi, libero, specifico, informato e inequivocabile e DEVE essere manifestato attraverso "dichiarazione o azione positiva inequivocabile".
Il consenso raccolto precedentemente al 25 maggio 2018 resta valido se ha tutte le caratteristiche sopra individuate.
In caso contrario, è opportuno adoperarsi prima di tale data per raccogliere nuovamente il consenso degli interessati secondo quanto prescrive il regolamento
In particolare, occorre verificare che la richiesta di consenso sia chiaramente distinguibile da altre richieste o dichiarazioni rivolte all'interessato (art. 7.2), per esempio all'interno di modulistica.
Prestare attenzione alla formulautilizzata per chiedere il consenso: deve essere comprensibile, semplice, chiara (art. 7.2).
Il consenso dei minori è valido a partire dai 16 anni; prima di tale età occorre raccogliere il consenso dei genitori o di chi ne fa le veci
I soggetti pubblici non devono, di regola, chiedere il consenso per il trattamento dei dati personali (si vedano considerando 43, art. 9, altre disposizioni del Codice: artt. 18, 20).
Le novità sono dunque molte Vi consiglio dunque a rivolgerVi quanto prima a consulenti informatici e a legali esperti del settore per metterVi in regola con la nuova normativa.
Pavia, lì 22 aprile 2018
Avv. Valter Vernetti