Aggiornamenti

Il GDPR ha modificato ed ampliato il novero delle informazioni da rendere all’interessato, elemento essenziale per garantire un trattamento dei dati corretto e trasparente.

Il tool privacyforhospitality genera le informative rivolte agli interessati per ogni specifica finalità con gli elementi circa l’identità del titolare, la finalità e la modalità del trattamento, etc.

Possono però sorgere alcune questioni, soprattutto in vista dello scadere del termine di prima applicazione del GDPR fissato, lo ricordiamo, al 19 maggio 2019.

Siccome l’informativa è uno degli obblighi principali in materia di privacy, è opportuno fare il puntodella situazione.

1. Le informative rese prima del 25 Maggio 2018

Che fare con le informative rese prima del 25 Maggio 2018?

Il Garante ha evidenziato la necessità che il Titolare del trattamento verifichi la rispondenza delle informative ai nuovi criteri. Un particolare riguardo ai contenuti obbligatori e alle modalità di redazione, in modo da apportare le modifiche o le integrazioni eventualmente necessarie ai sensi del GDPR.

E’ molto probabile che l’informativa fornita prima del 25 maggio 2018 non sia conforme al GDPR e si verifichi quindi la necessità di adeguarla, utilizzando quella contenuta nel tool.

In concreto, la modalità più semplice è quella di usare la nuova informativa per tutti gli interessati.

2. Come rendere correttamente l’informativa: quando e come

L’informativa deve essere resa:

• se i dati sono forniti dall’interessato – come di solito accade -, al momento della raccolta;
• se i dati NON me li fornisce l’interessato, entro un termine ragionevole che non può superare un mese dalla raccolta oppure al momento della comunicazione dei dati.

Può essere fornita con qualsiasi mezzo, anche oralmente, se richiesto dall’interessato: in questocaso, il GDPR richiede che sia comunque comprovata con altri mezzi l’identità dell’interessato.

In pratica è quindi preferibile utilizzare una forma scritta per evitare discussioni: indifferente se cartacea o tramite pagina web/applicazione. Importante che possa darsi la prova di aver fornito le informazioni previste dal GDPR.

Nei casi in cui il Titolare deve semplicemente rendere l’informativa, senza necessità di raccogliere uno specifico consenso dell’interessato. L’informativa può essere resa anche mediante l’apposizione di un cartello affisso all’interno dei locali.

In questo primo aggiornamento ci occupiamo del consenso.

Dopo il 25 maggio 2018 – data in cui il GDPR è diventato definitivamente applicabile in tutta Europa – e dopo il 19 settembre 2018 – data in cui il Codice Privacy (D. Lgs. 196/2003 è stata adeguata al GDPR) – è utile procedere a fare un piccolo riassunto degli “istituti-pilastro” previsti all’interno della normativa . 

Il consenso non è l’unica base giuridica per trattare dati personali: la base giuridica può essere un trattamento di dati personali necessari per 

• eseguire un contratto (es. il mandato professionale; il contratto di prestazione di un servizio) o rispondere a richieste dall’Interessato; 
• adempiere ad un obbligo di legge; 
• eseguire un interesse pubblico o 
• perseguire un legittimo interesse del Titolare prevalente sui diritti dell’Interessato (i casi di legittimo interesse presenti nel GDPR sono pochi e altri saranno aggiunti grazie all’evoluzione della normativa). 

1. Quanto un consenso è valido 

Se non ci sono altre basi giuridiche valide e dunque resta solo il consenso, questo è valido se: 

• all’interessato è resa l’informativa sul trattamento dei dati personali; 
• è espresso dall’interessato liberamente, in modo inequivocabile e, se il trattamento persegue più finalità, specificamente con riguardo a ciascuna di esse. 

Peculiarità e aspetto di grande importanza da tenere in considerazione è che Il consenso deve essere sempre revocabile con la stessa facilità con il quale questo è stato conferito (dunque ad esempio se acconsento ad un trattamento tramite una check box online con un semplice click del mouse, non posso poi chiedere all’interessato di chiamare un numero a pagamento, attivo per sole 2 ore al giorno per revocare il consenso precedentemente prestato). 

Occorre verificare che la richiesta di consenso sia chiaramente distinguibile da altre richieste o dichiarazioni rivolte all’interessato, per esempio all’interno della modulistica è possibile procedere ad evidenziare in riquadri o elementi grafici la richiesta di consenso. 

Non è mai ammesso il consenso tacito o presunto (per esempio, presentando check box già compilate su un modulo). 

Quando il trattamento riguarda le “categorie particolari di dati personali” (articolo 9 Regolamento, ad esempio l’appartenenza politica) il consenso deve essere “esplicito”; lo stesso vale per il consenso a decisioni basate su trattamenti automatizzati (compresa la profilazione) cioè decisioni con effetto giuridico che vengono in toto stabilite da un computer che esamina dei dati senza che intervenga un soggetto umano a valutare il contesto nel quale ci si sta muovendo ( ad esempio la concessione di un finanziamento). 

Il consenso, come vedremo anche poco più giù, non deve essere necessariamente “documentato per iscritto”, né è richiesta la “forma scritta”, anche se questa è modalità migliore e più semplice a configurare l’inequivocabilità del consenso e il suo essere “esplicito”. 

2. Non è necessario scritto 

Non è necessario che il consenso sia dato per iscritto. 

Il consenso può essere prestato sia mediante dichiarazione sia mediante una azione positiva inequivocabile che manifesta la volontà libera, specifica, informata e inequivocabile dell’interessato (Considerando 32 GDPR). 

Il consenso quindi può essere espresso: 

• mediante dichiarazione scritta; 
• mediante strumenti elettronici, ossia mediante selezione di un’apposita casella o mediante 

qualsiasi comportamento positivo che indichi chiaramente in contesto digitale che l’interessato accetta il trattamento proposto; 

• anche al di fuori del contesto digitale, mediante qualsiasi comportamento che indichi chiaramente che l’interessato accetta il trattamento proposto; 
• oralmente. 

Se il consenso dell’interessato è richiesto attraverso mezzi elettronici, la richiesta deve essere chiara e concisa e deve essere sempre documentabile, laddove l’interessato faccia richiesta di sapere quando ha autorizzato tale trattamento. 

3. Il consenso dei minori 

Il consenso può essere prestato solo dal soggetto che abbia la capacità giuridica per farlo. A seguito dell’entrata in vigore del GDPR e delle norme del D. Lgs. 101/2018, che hanno modificato il Codice Privacy, è stato disposto che il minore che vuole usufruire dei servizi della società dell’informazione può esprimere validamente il consenso se ha compiuto almeno 14 anni. Tale disposizione è circoscritta a trattamenti che sono effettuati nell’ambito dei servizi prestati normalmente dietro retribuzione, a distanza, per via elettronica ed a richiesta individuale di un destinatario. Si tratta ad esempio dei trattamenti di dati conseguenti all’iscrizione a servizi di messaggistica, newsletter, piattaforme e-commerce. 

In tali casi, l’informativa e redatta con un linguaggio particolarmente chiaro e semplice, conciso ed esaustivo, facilmente accessibile e comprensibile al minore. 

Tolta questa eccezione, il consenso al trattamento di dati sensibili di un minore deve essere prestato dal soggetto (padre/madre) che esercita la potestà genitoriale. 

Tali requisiti sono correttamente implementati all’interno dei documenti predisposti dal tool privacy fornito da Fulcri. (www.privacyforhospitality.it)