GDPR Consent — essenza, requisiti e ottenimento del consenso

Cos'è il GDPR Consent?

GDPR Consent è una base giuridica per il trattamento dei dati personali, definita all'articolo 4(11) e all'articolo 7 del Regolamento Generale sulla Protezione dei Dati dell'Unione Europea. Il regolamento è entrato in vigore il 25 maggio 2018 e ha sostituito la obsoleta Direttiva 95/46/CE, stabilendo standard uniformi di protezione dei dati per tutti gli Stati membri dell'UE.

Secondo il GDPR, il consenso deve essere libero — l'utente deve avere una scelta reale senza conseguenze negative in caso di rifiuto. Se il rifiuto del consenso comporta la negazione dell'accesso a un servizio che non richiede il trattamento dei dati, tale consenso è considerato forzato e invalido. L'articolo 7(4) indica direttamente che le condizioni contrattuali correlate non possono subordinare l'esecuzione del contratto all'ottenimento del consenso per trattare dati non necessari per tale contratto.

Informato — il secondo elemento chiave: l'interessato deve comprendere quali dati specifici vengono raccolti, per quale scopo, chi li tratterà e per quanto tempo saranno conservati. Il Comitato Europeo per la Protezione dei Dati (EDPB) nelle linee guida 05/2020 sottolinea che le informazioni devono essere fornite in un linguaggio chiaro, senza formulazioni giuridiche complesse. La pratica dimostra che il consenso è considerato invalido se l'informativa sulla privacy contiene formulazioni ambigue o generiche.

Inequivocabile significa che il consenso deve essere espresso mediante un'azione attiva — spuntare una casella, premere un pulsante o firmare un modulo. L'inazione, il silenzio o le caselle pre-selezionate non soddisfano il requisito di inequivocabilità. Nella sentenza Planet49 GmbH (C-673/17), la Corte di Giustizia dell'Unione Europea ha confermato che il consenso non può essere dedotto dall'inazione dell'utente.

Quali dati rientrano nel GDPR

I dati personali ai sensi del GDPR sono qualsiasi informazione riguardante una persona fisica identificata o identificabile. Ciò include non solo identificatori evidenti — nome, indirizzo, email, telefono — ma anche indirizzi IP, identificatori di cookie, identificatori pubblicitari dei dispositivi (IDFA, GAID), dati biometrici, geolocalizzazione e informazioni genetiche.

L'articolo 9 del GDPR evidenzia categorie particolari di dati il cui trattamento è vietato senza consenso esplicito: origine razziale o etnica, opinioni politiche, credenze religiose, appartenenza sindacale, dati genetici e biometrici, dati relativi alla salute e orientamento sessuale. Per tali categorie è richiesta la forma più rigorosa di consenso — separato, dettagliato e non implicito dal contesto generale.

Quando il GDPR Consent è obbligatorio

Il GDPR Consent è necessario quando il trattamento dei dati non può basarsi su altri fondamenti giuridici: necessità contrattuale (articolo 6(1)(b)), interesse legittimo (articolo 6(1)(f)) o adempimento di un obbligo legale (articolo 6(1)(c)). In pratica, il consenso è necessario per comunicazioni di marketing, tracciamento a fini pubblicitari, raccolta di dati non obbligatori e utilizzo di cookie non strettamente necessari per il funzionamento del servizio.

Secondo il Rapporto Annuale di Governance IAPP-EY (2024), il 67% delle aziende utilizza il consenso come base giuridica principale per il trattamento dei dati nelle applicazioni mobili, nonostante una crescente tendenza al ricorso all'interesse legittimo ove possibile. Ciò è dovuto al fatto che il consenso fornisce il rapporto più trasparente con l'utente, ma allo stesso tempo impone i maggiori obblighi di registrazione e gestione dei consensi.

Requisiti fondamentali del GDPR per il consenso

L'articolo 7 del GDPR stabilisce sei condizioni per la validità del consenso, ciascuna delle quali deve essere soddisfatta simultaneamente. La violazione di almeno una condizione rende il consenso invalido e il trattamento dei dati illecito. Esaminiamo ciascuna condizione in dettaglio, tenendo conto delle linee guida dell'EDPB e della giurisprudenza.

La libertà del consenso è violata quando esiste uno squilibrio di potere tra il titolare e l'interessato. L'EDPB indica direttamente che i datori di lavoro non possono fare affidamento sul consenso dei dipendenti a causa della dipendenza nel rapporto di lavoro. Analogamente, le autorità pubbliche non possono richiedere il consenso dei cittadini nella fornitura di servizi pubblici.

La specificità richiede un consenso separato per ciascuna finalità di trattamento. Se un'app raccoglie dati per analisi, personalizzazione della pubblicità e miglioramento del servizio — per ogni finalità è necessaria una casella separata. La combinazione di più finalità in un unico consenso viola il requisito di specificità e rende il consenso invalido.

La dimostrabilità è il requisito tecnologicamente più complesso. L'articolo 7(1) indica direttamente che il titolare sopporta l'onere della prova dell'ottenimento del consenso. In pratica, ciò significa la necessità di mantenere un registro di tutte le azioni dell'utente: chi, quando, per quali finalità ha dato il consenso, quale versione dell'informativa privacy è stata mostrata e come l'utente lo ha revocato.

Come implementare la raccolta del consenso in un'applicazione mobile

L'implementazione del GDPR Consent in un'applicazione mobile richiede un approccio completo, che combini i requisiti legali con l'implementazione tecnica. Lo strumento principale è una Piattaforma di Gestione del Consenso (CMP) che gestisce il ciclo di vita del consenso: visualizzazione della richiesta, registrazione della scelta, archiviazione dei dati e sincronizzazione con gli SDK pubblicitari e analitici.

Utilizzo dell'SDK Google UMP

Google fornisce l'SDK di User Messaging Platform (UMP) per Android e iOS, che si integra con AdMob, Google Analytics e altri servizi Google. L'SDK UMP determina automaticamente la necessità di mostrare il consenso in base alla geolocalizzazione dell'utente e ai requisiti del GDPR. Esaminiamo l'integrazione in Kotlin per Android:

val requestParams = ConsentRequestParameters
    .Builder()
    .setTagForUnderAgeOfConsent(false)
    .build()

ConsentInformation
    .getInstance(this)
    .requestConsentInfoUpdate(requestParams, { @Override
        fun onConsentInfoUpdateSuccess() {
            if (ConsentInformation
                    .getInstance(this@MainActivity)
                    .isConsentFormAvailable()
            ) {
                loadConsentForm()
            }
        }
    }, { @Override
        fun onConsentInfoUpdateFailure(error: FormError) {
            Log.e("UMP", error.message)
        }
    })

Dopo aver caricato il modulo di consenso, deve essere mostrato all'utente. L'SDK UMP supporta due tipi di moduli: per ottenere il consenso alla pubblicità personalizzata e per gestire le scelte successivamente. La gestione del risultato deve tenere conto di tutti i possibili esiti — l'utente può dare il consenso, rifiutarlo o chiudere il modulo senza scegliere.

Archiviazione e verifica del consenso

Per soddisfare il requisito di dimostrabilità, è necessario archiviare non solo il fatto del consenso, ma anche il contesto del suo ottenimento. Il set minimo di dati per l'archiviazione include: identificatore dell'utente o del dispositivo, timestamp con fuso orario, versione dell'informativa privacy, finalità specifiche del trattamento e il meccanismo di consenso utilizzato.

data class ConsentRecord(
    val userId: String,
    val timestamp: Long,
    val privacyPolicyVersion: String,
    val purposes: List<String>,
    val consentGiven: Boolean
)

class ConsentRepository(
    private val dao: ConsentDao
) {
    suspend fun saveConsent(record: ConsentRecord) {
        dao.insert(record.toEntity())
        AnalyticsManager.logConsentEvent(record)
    }
}

Il Comitato Europeo per la Protezione dei Dati (EDPB) nelle raccomandazioni 01/2023 sottolinea che le registrazioni del consenso devono essere conservate per l'intero periodo di trattamento dei dati e fino a tre anni dopo la sua cessazione. Per le applicazioni mobili, ciò significa la necessità di archiviazione lato server delle registrazioni, non solo locale, poiché l'utente potrebbe reinstallare l'app o cambiare dispositivo.

In cosa il GDPR differisce dagli altri regolatori della privacy

Il GDPR non è l'unico regolatore della privacy al mondo, ma è diventato un modello per molte leggi nazionali sulla protezione dei dati. Comprendere le differenze tra il GDPR e gli altri regolatori è di importanza cruciale per gli sviluppatori di applicazioni internazionali che lavorano con utenti di diverse giurisdizioni.

La CCPA (California Consumer Privacy Act) differisce fondamentalmente dal GDPR: funziona secondo il modello opt-out, non opt-in. In base alla CCPA, le aziende sono obbligate a fornire all'utente il diritto di rifiutare la vendita dei propri dati, ma non sono obbligate a ottenere il consenso preventivo per la raccolta. Tuttavia, con l'adozione del CPRA (California Privacy Rights Act) nel 2023, i requisiti di consenso per i dati sensibili si sono avvicinati al GDPR.

La direttiva ePrivacy (direttiva sulla privacy nelle comunicazioni elettroniche) integra il GDPR per quanto riguarda i cookie e il marketing elettronico. A differenza del GDPR, che regola tutti i dati personali, l'ePrivacy si concentra sui dati di comunicazione. Il requisito di ottenere il consenso per i cookie non essenziali deriva proprio dall'ePrivacy, non dal GDPR, sebbene il meccanismo di consenso sia lo stesso.

La LGPD del Brasile copia quasi interamente la struttura del GDPR con modifiche minori: l'età del consenso è elevata a 18 anni e il trattamento dei dati dei defunti richiede il consenso degli eredi. La PIPL della Cina, al contrario, introduce requisiti più rigorosi: localizzazione obbligatoria dei dati, valutazione d'impatto sulla protezione dei dati (DPIA) per tutte le decisioni automatizzate e notifica del trasferimento dei dati all'estero.

Errori tipici nell'implementazione del GDPR Consent

L'analisi delle multe e delle ingiunzioni delle autorità di vigilanza europee per il periodo 2018-2024 mostra violazioni ricorrenti nell'implementazione del consenso. Secondo Enforcement Tracker (CMS Law, 2024), oltre il 40% di tutte le multe GDPR sono correlate all'ottenimento e alla gestione scorretti del consenso. Esaminiamo gli errori più comuni.

Caselle pre-selezionate e consenso passivo

L'errore più comune è l'utilizzo di caselle pre-selezionate per ottenere il consenso. La sentenza della Corte di Giustizia dell'UE nel caso Planet49 GmbH (C-673/17) ha stabilito inequivocabilmente che il consenso non può essere dedotto dall'inazione dell'utente. Nonostante ciò, molte applicazioni continuano a utilizzare opzioni pre-selezionate, specialmente per i banner dei cookie, portando a multe e ingiunzioni dirette.

Nel 2024, la Commissione Nazionale per l'Informatica e le Libertà francese (CNIL) ha multato una grande holding pubblicitaria RTB per 250 milioni di euro per l'utilizzo di caselle pre-selezionate e informazioni insufficientemente trasparenti agli utenti. È la multa più alta legata al consenso, dimostrando la priorità del controllo dei consensi per i regolatori europei.

Combinazione di finalità in un unico consenso

Molte applicazioni richiedono un unico consenso generale per tutti i tipi di trattamento: analisi, personalizzazione, pubblicità, trasferimento a terzi. Ciò viola direttamente il requisito di specificità (limitazione delle finalità). L'EDPB nelle linee guida 05/2020 sottolinea: se una finalità può essere raggiunta senza un'altra, l'utente deve poter consentire a ciascuna finalità separatamente.

La Commissione Irlandese per la Protezione dei Dati (DPC) nella sua decisione su Meta Platforms Ireland (2023) ha indicato che la combinazione di personalizzazione della pubblicità e miglioramento del servizio in un unico consenso costituisce una violazione. Meta è stata obbligata a implementare meccanismi di consenso separati per diverse finalità di trattamento in Facebook e Instagram.

Revoca difficile o impossibile del consenso

Il GDPR richiede che la revoca del consenso sia semplice quanto la sua concessione. Se l'utente ha dato il consenso con un singolo clic, la revoca non può richiedere la compilazione di un modulo, l'invio di una email o una chiamata all'assistenza. In pratica, molte applicazioni nascondono il meccanismo di revoca nelle impostazioni o richiedono molteplici passaggi per eseguirla.

Pratica consigliata — aggiungere una schermata dedicata alla gestione dei consensi nelle impostazioni dell'app con la possibilità di revocare ciascun consenso separatamente con un singolo interruttore. L'SDK UMP di Google fornisce un meccanismo integrato per mostrare nuovamente il modulo di consenso, che l'utente può richiamare dalle impostazioni dell'app in qualsiasi momento.

Mancanza di prova dell'ottenimento del consenso

Molti sviluppatori si affidano a consensi verbali o non conservano registrazioni dell'ottenimento del consenso. Ciò rende impossibile soddisfare il requisito di dimostrabilità (responsabilità) ai sensi dell'articolo 5(2) del GDPR. Durante un'ispezione, l'autorità di vigilanza richiederà non solo l'informativa privacy, ma anche i log dei consensi ottenuti per l'intero periodo di trattamento dei dati.

La soluzione è utilizzare una Piattaforma di Gestione del Consenso (CMP) con registrazione automatica di tutti gli eventi: visualizzazione del modulo, scelta dell'utente, versione del documento, timestamp. Le CMP popolari per applicazioni mobili includono Usercentrics, OneTrust e ConsentManager — tutte supportano la registrazione automatica dell'audit dei consensi.