Non esiste un modello standard applicabile a tutti i siti web ma che ciascuno dovrà dotarsi di una informativa che contiene i dati richiesti dal regolamento, specificamente rivolta al fine per cui i dati sono richiesti.

In altre parole, se il tuo sito è un e-commerce dovrai indicare, in una sezione apposita e chiaramente raggiungibile, l’informativa riferita al trattamento dei dati personali che occorrono per poter procedere all’acquisto e al pagamento dei prodotti venduti. 

Se, invece, ti occupi di un blog e vuoi offrire una newsletter ai tuoi iscritti, anche in questo caso dovrai fornire un’informativa specifica, indicando la finalità per cui tratterai i dati personali nel box di iscrizione. 

Tutt’altra informativa, con indicazione specifica delle diverse finalità, nel caso dei cookie commerciali, dei banner pubblicitari e quant’altro.

​

Il consenso dell’interessato

Dopo aver chiarito cosa si intende per trattamento dei dati personali e aver descritto l’informativa privacy, dobbiamo chiederci a cosa servono questi adempimenti. 

La risposta è semplice: grazie all’informativa miriamo a raccogliere il consenso dell’utente alle operazioni di trattamento. Quest’ultimo, infatti, è il requisito necessario per dimostrare che l’interessato ha letto ed è d’accordo con l’informativa privacy proposta dal sito web.

Il Regolamento GDPR precisa che il consenso si traduce in un atto di assenso dell’interessato, mediante una propria dichiarazione o altra azione equipollente, rispetto alla proposta di trattamento dei suoi dati da parte del sito: normalmente, questo si traduce nella predisposizione di un box nel quale all’utente verrà richiesto di confermare (premendo il tasto “Accetto” e simili) il trattamento dei dati. 

Ciò non ti vieta, però, di poter chiedere un assenso esplicito in altre forme che raggiungano lo stesso risultato.

Perché il consenso possa dirsi validamente prestato esso deve essere libero, e cioè incondizionato: questo significa che non è possibile subordinare alla prestazione del consenso l’accesso ad un determinato servizio, se per l’esecuzione dello stesso il consenso non è strettamente necessario. 

Ad esempio, se per uno dei servizi relativi al tuo sito web non c’è neanche astrattamente alcun profilo che riguarda il trattamento dei dati personali non puoi condizionare l’accesso al servizio alla prestazione del consenso.

Ovviamente, il GDPR chiede che il consenso sia preventivo, esplicito e informato: 
– preventivo, nel senso che esso deve essere prestato prima che il trattamento abbia inizio; esplicito, nel senso che non è possibile lasciarlo sottinteso in qualunque modo; 
– informato, nel senso che all’interessato deve essere offerta la possibilità di leggere l’informativa sul trattamento, sulle finalità del medesimo e sui propri diritti prima di prestare il consenso.

Anche in questo caso, questo si traduce nella pratica nella predisposizione di un box in cui, accanto alle opzioni di assenso o dissenso rispetto al trattamento dei dati, vengono linkati i documenti in cui sono riportate le informative (o si permette di selezionare la spunta che certifica l’avvenuta lettura dei medesimi).

Occorre precisare che il GDPR pone anche due ulteriori regole circa il consenso al trattamento dei dati personali:

– l’interessato può negare il proprio consenso e, se lo concede, può ritirarlo in ogni momento;- il gestore del sito web non può abbinare più consensi al medesimo atto di accettazione: tornando all’esempio dell’e-commerce, la prestazione del consenso relativamente alla finalità del trattamento necessaria a perfezionare l’acquisto non può essere utilizzata anche per l’iscrizione ad una newsletter; per quest’ultima o per qualsiasi altra finalità occorre predisporre un’autonoma informativa e richiedere un autonomo atto di consenso da parte dell’interessato.

Altro adempimento importante per il sito web richiesto dal GDPR riguarda la prova del consenso: il titolare del sito, infatti, deve conservare e documentare l’avvenuto consenso da parte dell’interessato, ad esempio registrandone l’indirizzo IP nel momento in cui l’utente clicca su “Accetto” o su “Ok” nel box opportunamente predisposto. 

Dovrai conservare questa prova per tutto il periodo in cui si effettua il trattamento e fino al momento in cui avverrà la cancellazione dei dati personali: ti può occorrere sia per rispondere ad eventuali richieste di accesso dell’interessato, sia per le eventuali verifiche da parte dell’Autorità.