Consenso nel GDPR per finalità di Marketing e Profilazione: cosa significa?

Vuoi tu gentile utente, fornire i tuoi dati sempre, nella gioia e nel dolore, nella prenotazione delle vacanze, nell’acquisto di medicinali, nella riscossione di pagamenti e nel versamento di tributi, per tutte le sessioni internet della tua vita?

Ovviamente non rappresenta la formula esatta da richiedere all’utente per il consenso al trattamento dei dati personali, ma probabilmente si avvicina maggiormente alla formula erroneamente molto diffusa.

Monica Gobbato, tra le altre cose Avvocato digitale e Data Protection Officer, durante un’intervista a Ius Law Web Radio ha risposto e fatto chiarezza su tanti aspetti legati al consenso al trattamento di dati personali spiegando con chiarezza il delicato rapporto anche con i temi della profilazione e della decisione automatizzata.

“Spesso si riduce tutto a Consenso sì o consenso no, invece occorre dotarsi in azienda di persone qualificate e ferrate in materia che permettano di ridurre gli adempimenti, individuando le circostanze in cui è necessario chiedere il consenso e le occasioni in cui non serve”.

Il GDPR decentralizza il consenso

Tra i numerosi cambiamenti apportati dal GDPR (General Data Protection Regulation), una delle tematiche più calde riguarda la decentralizzazione del consenso dell’interessato riguardo il trattamento dei dati personali.

Nell’art. 6 del GDPR sono elencate tutte le possibili alternative che garantiscono la liceità del trattamento. Tra queste, è ovviamente presente il consenso del titolare del trattamento, ma solamente come alternativa e non più come prerogativa.

La base giuridica o presupposto di liceità di un trattamento è ciò che rende lecita una determinata finalità e fa in modo che l'attività di trattamento e lo scopo perseguito non sia contrario alla legge.

Il discorso non cambia nemmeno quando il trattamento riguarda categorie particolari di dati personali. Nel paragrafo 2 dell’art. 9 del GDPR dedicato alle deroghe al divieto di trattamento di categorie particolari di dati personali viene stilato un elenco di deroghe tra cui scegliere per garantire la liceità di un trattamento.

Il rapporto tra marketing e consenso

In maniera troppo semplicistica si associa il concetto di consenso a tutti i processi di trattamento legati ad attività di marketing.

Il Garante per la protezione dei dati personali, ma oltrepassando i confini nazionali anche i Garanti di altri paesi sono sulla stessa lunghezza d’onda, ha individuato 3 tipologie differenti di consenso:

1. Consenso per marketing generale - Tutte le attività condotte attraverso strumenti elettronici, digitali e automatici per finalità commerciali;
   
2. Consenso alla comunicazione dei dati personali a terzi - Questione delicata perché spesso non viene definita l’identità dei soggetti terzi destinatari a cui saranno comunicati i dati personali. Spesso nelle informative l’identità di questi non viene definita, e in presenza di soggetti indeterminati si tratterebbe di diffusione anziché di comunicazione;
   
3. Consenso alla profilazione - Ambito più discusso perché riguarda la raccolta di dati comportamentali che determinano una profilazione.
   

Profilazione: cosa significa e in cosa consiste

C’è molta confusione quando si parla di profilazione. Il GDPR ha finalmente definito questo concetto come la raccolta e la valutazione di tutte le attività e i comportamenti dell’individuo.

‍Gran parte della confusione che circonda il concetto di profilazione è determinato dalla differenza (sostanziale ma non percepita) con monitoraggio.

Mentre la profilazione è un’attività sempre automatizzata che comprende la raccolta di dati comportamentali sul web, il monitoraggio non è sempre automatizzato (basti pensare ai questionari cartacei) e le finalità si possono definire durante o anche alla fine del processo.

Altro tabù da sfatare per avere chiaro il quadro della situazione è la discrepanza tra decisione automatizza e profilazione. O meglio, esiste decisione automatizzata anche senza profilazione.

‍Un esempio emblematico è l’autovelox che rileva l’eccesso di velocità e determina una sanzione. Una decisione automatizzata alla fine di un processo automatizzato. Se ci fosse stata profilazione, la multa terrebbe in considerazione anche il profilo del pilota e l’eventuale recidività (oltre a numerosi altri fattori).

La profilazione non si riduce al consenso

Definito il concetto di profilazione e illustrati i casi in cui spesso si fa confusione, le parole di Monica Gobbato apparentemente discordanti tra loro possono assumere un senso.

“La profilazione non si riduce solamente al consenso e paradossalmente il consenso non è sempre obbligatorio per la profilazione”.

‍La prima frase indica l’obbligatorietà di fornire maggiori informazioni possibile al proprietario dei dati, come ad esempio le informazioni sulla logica utilizzata nel rispetto di principi come la trasparenza e la chiarezza del trattamento.

‍Occorre fornire informazioni riguardanti la tipologia di attività che si andrà a effettuare, indicare quali dati sono utili e a che scopo.

La seconda frase invece riguarda il caso in cui la profilazione sia necessaria e prevista in un rapporto contrattuale per migliorare e/o garantire il servizio. In questi casi (da valutare singolarmente) non è necessario il consenso in quanto è necessario utilizzare un’altra base giuridica prevista dall’art. 6.

Un esempio di facile comprensione riguarda Netflix che profila gli utenti in base ai loro dati per suggerire e proporre visioni personalizzate.