Spesso si richiede ai docenti o ai genitori solo il consenso al trattamento dei dati , tralasciando una adeguata informazione su come verranno trattati . Di seguito vengono riportati i cardini su cui impostare una corretta informativa/consenso.
INFORMATIVA
Si riportano di seguito gli elementi che devono essere contenuti nella comunicazione dell’informativa :
1) Il nome e i dati di contatto del Titolare del trattamento e del suo eventuale Rappresentante.
2)I dati di contatto del Responsabile della protezione dei dati, ove applicabile.
3) Le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento.
4) Gli eventuali destinatari o le categorie di destinatari dei dati personali.
5) Se del caso, l’intenzione del Titolare di trasferire dati personali a un paese terzo o a un’organizzazione internazionale. È necessario precisare il luogo di trasferimento e le garanzie adottate nonché le modalità attraverso le quali sia possibile per l’interessato ottenere una copia dei propri dati.
6) Il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinarlo.
7) L’esistenza di diritti per ogni interessato e la possibilità di esercitarli.
8) Il diritto di revocare il consenso in qualsiasi momento.
9) Il diritto di presentare reclamo a un’Autorità di controllo.
10) L’esistenza di obblighi legali o contrattuali o di requisiti necessari per la conclusione di un contratto che determinano la necessità per l’interessato di comunicare i propri dati personali, nonché le possibili conseguenze dalla mancata comunicazione.
11) L’esistenza di un processo decisionale automatizzato, compresa la profilazione e, almeno in tali casi, le informazioni sulla logica utilizzata e le conseguenze previste per l’interessato a seguito di tale trattamento.
Qualora i dati personali non siano stati ottenuti presso l’interessato, l’informativa deve essere fornita entro un termine “ragionevole” (in considerazione delle circostanze di trattamento) dall’ottenimento dei dati ma al più tardi entro un mese; se i dati sono utilizzati per la comunicazione con l’interessato, l’informativa deve essere fornita all’atto della prima comunicazione. Nel caso in cui i dati debbano essere trasmessi ad altro destinatario, la comunicazione all’interessato deve avvenire non oltre la prima comunicazione dei dati personali.
CONSENSO
Il consenso dell’interessato è “qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento”. L’espressione del consenso può avvenire attraverso una dichiarazione o una azione positiva inequivocabile, attraverso una dichiarazione scritta – valida anche se avviene mediante mezzi elettronici – o orale. Il Titolare deve essere in grado di dimostrare che l’interessato abbia prestato il proprio consenso al trattamento (Reg. art. 7). Il consenso quindi richiede all’interessato il compimento di una azione o una dichiarazione e non può mai essere implicito o tacito. La richiesta di consenso, debitamente compilata e/o firmata dall’interessato, ovvero l’evidenza delle azioni inequivocabili compiute dall’interessato a seguito della richiesta del Titolare, devono essere conservate dal Titolare per dimostrare la legittimità delle operazioni di trattamento conseguenti all’espressione del consenso dell’interessato.I soggetti pubblici non devono, di regola, chiedere il consenso per il trattamento dei dati personali (si vedano considerando 43, art. 9, altre disposizioni del Codice: artt. 18, 20). Il consenso dei minori è valido a partire dai 16 anni; prima di tale età occorre raccogliere il consenso dei genitori o di chi ne fa le veci.
Cosa cambia
Per i dati “sensibili” (si veda art. 9 regolamento) il consenso deve essere “esplicito”; lo stesso dicasi per il consenso a decisioni basate su trattamenti automatizzati (compresa la profilazione – art. 22). Non deve essere necessariamente “documentato per iscritto”, né è richiesta la “forma scritta”, anche se questa è modalità idonea a configurare l’inequivocabilità del consenso e il suo essere “esplicito” (per i dati sensibili); inoltre, il titolare (art. 7.1) deve essere in grado di dimostrare che l’interessato ha prestato il consenso a uno specifico trattamento. Il consenso dei minori è valido a partire dai 16 anni; prima di tale età occorre raccogliere il consenso dei genitori o di chi ne fa le veci.
Cosa non cambia
Deve essere, in tutti i casi, libero, specifico, informato e inequivocabile e non è ammesso il consenso tacito o presunto (no a caselle pre-spuntate su un modulo). Deve essere manifestato attraverso “dichiarazione o azione positiva inequivocabile” (per approfondimenti, si vedano considerando 39 e 42 del regolamento).
Raccomandazioni
Il consenso raccolto precedentemente al 25 maggio 2018 resta valido se ha tutte le caratteristiche sopra individuate. In caso contrario, è opportuno adoperarsi prima di tale data per raccogliere nuovamente il consenso degli interessati secondo quanto prescrive il regolamento, se si vuole continuare a fare ricorso a tale base giuridica. In particolare, occorre verificare che la richiesta di consenso sia chiaramente distinguibile da altre richieste o dichiarazioni rivolte all’interessato (art. 7.2), per esempio all’interno di modulistica. Prestare attenzione alla formula utilizzata per chiedere il consenso: deve essere comprensibile, semplice, chiara (art. 7.2). I soggetti pubblici non devono, di regola, chiedere il consenso per il trattamento dei dati personali (si vedano considerando 43, art. 9, altre disposizioni del Codice: artt. 18, 20).