PR31.2 - Gestione dei Consensi

Procedura di Gestione dei consensi

Revisioni

Rev.	Data	Descrizione	Redatto	Approvato
0.0	24/04/2026	Prima emissione	RSGI	Amministratore Unico

Introduzione

L’articolo 4, punto 11, del Regolamento Generale sulla protezione dei dati (GDPR) definisce il consenso dell’interessato come: “qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento”.

Il consenso deve essere:

• liberamente prestato;

• specifico;

• informato;

• inequivocabile, ossia costituisca una dichiarazione di volontà non ambigua al trattamento, svolta attraverso un’azione positiva da parte dell’interessato.

Il consenso è una delle basi di liceità che possono essere utilizzate per il trattamento di dati personali (art.6 lett. a) del GDPR) e “categorie particolari di dati personali” (art.9 lett.a) del GDPR). Il consenso può essere anche utilizzato come deroga in specifiche situazioni (art. 49 del GDPR) per il trasferimento dei dati personali extra UE.

Vectorlab, quando opera come Titolare del Trattamento, deve definire i criteri di gestione del consenso, dalla raccolta alla revoca dello stesso e all’eventuale esercizio della richiesta di cancellazione (“PR31.1 - Procedura di Gestione dei diritti degli interessati”). Qualora la Società operi in qualità di “Responsabile del Trattamento” riceve le istruzioni in merito alla gestione del consenso da parte del Titolare del Trattamento in apposito atto di nomina ai sensi dell’art.28 del GDPR o documentazione correlata e validata dal Titolare stesso.

1. Riferimenti e Allegati

ALPR31.2.H - Registro Consensi

MDPR31.1.A - Registro delle richieste

PR31.1 - Procedura di Gestione dei diritti degli interessati

REGOLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento Generale sulla Protezione dei Dati).

1. Definizioni, Acronimi, Abbreviazioni

GDPR - General Data Protection Regulation

Gestione dei consensi

Scopo della presente procedura è fornire indicazioni sulle modalità di raccolta e gestione del consenso qualora lo stesso si configuri come base di liceità del trattamento.

Attivazione

La procedura viene attivata quando il Titolare identifica il consenso degli interessati come base di liceità per un trattamento di dati personali. In tal caso è necessario che la Società predisponga una metodologia di gestione del consenso.

In particolare, è obbligatorio che gli interessati vengano informati, ai sensi dell’art. 13 o 14 del GDPR, del trattamento e dispongano delle seguenti informazioni:

• l’identità e i dati di contatto del Titolare del trattamento;

• i dati di contatto del responsabile della protezione dei dati (DPO), ove presente;

• la finalità di ciascuno dei trattamenti per i quali è richiesto il consenso;

• quali (tipi di) dati saranno raccolti e utilizzati;

• gli eventuali destinatari o le eventuali categorie di destinatari;

• l’esistenza del diritto di revocare il consenso e l’esercizio degli altri diritti applicabili, tra cui l’accesso e la cancellazione;

• informazioni sull’utilizzo dei dati per un processo decisionale automatizzato tra cui la profilazione, qualora applicabile;

• l’intenzione del Titolare di trasferire dati personali a un paese terzo o ad una organizzazione internazionale e l’esistenza o assenza di una decisione di adeguatezza della Commissione o, nel caso di trasferimenti di cui all’articolo 46 o 47 o all’articolo 49 (par 1 comma 2) del GDPR, il riferimento alle garanzie appropriate o opportune;

• il periodo o criterio di conservazione dei dati personali;

• il diritto di proporre reclamo all’Autorità di Controllo.

  1. Input e output

Le informazioni che entrano in input alla procedura nei vari passi sono:

• Registro Trattamento Dati;

• Registro Consensi.

Le informazioni che escono quali output della procedura nei vari passi sono:

• Informativa;

• Moduli/form cartacei/online per la raccolta del consenso;

• Moduli/form cartacei/online per la raccolta del consenso compilati;

• Registro Trattamento Dati, aggiornato;

• Registro Consensi, aggiornato.

  1. Raccolta del consenso

Il Titolare o suo stretto collaboratore, identificato il trattamento che ha come base di liceità il consenso degli interessati, predispone adeguata informativa e modulo/form cartaceo/online per la raccolta e gestione dello stesso.

Il Titolare o suoi collaboratori devono accertarsi che venga rilasciata l’informativa agli interessati (cartacea o online) e raccogliere il consenso attraverso form o modulo (online o cartaceo). Deve essere prestata particolare attenzione nei casi in cui tra i soggetti interessati vi siano soggetti che non abbiano capacità d’agire (es. minori e incapaci di intendere e volere).

1. Conservazione e archiviazione

Il Titolare o suo stretto collaboratore deve conservare la registrazione del consenso. Nel “ALPR31.2.H - Registro Consensi”” si deve avere evidenza di aver dato adeguata informativa all’utente (es. firma per presa visione, pubblicazione online, invio e-mail, flag lettura informativa online, ecc.), modalità di raccolta del consenso (es. cartacea a mano, form online, ecc.), modalità di conservazione delle evidenze di consenso (archivio evidenze consenso, registrazione del consenso dell’interessato).

La conservazione avviene nel pieno rispetto delle misure di sicurezza garantendo la riservatezza dei dati personali, l’integrità degli stessi e la loro rapida disponibilità in caso di richiesta da parte di altre strutture interne, dell’Autorità garante o degli interessati stessi.

L’accesso a tale modulistica è concesso solo al personale autorizzato nel rispetto del principio di necessità e per motivi congrui alle finalità stesse del trattamento.

Nel documento “MDPR31.1.A - Registro delle richieste” sono tracciate eventuali richieste di revoca del consenso da parte degli interessati.

1. Rinnovo/aggiornamento del consenso

Qualora si verifichino le condizioni per cui è necessario richiedere nuovamente il consenso (es. a seguito di un cambiamento sostanziale del trattamento come una nuova finalità, trasferimenti extra UE, ecc.) il Titolare o suo stretto collaboratore deve procedere alla raccolta del consenso informato di tutti gli interessati coinvolti nel trattamento. In caso contrario, sarà possibile procedere all’utilizzo dei dati personali degli interessati che non hanno rinnovato il consenso soltanto per le finalità per cui era stato raccolto il consenso.

Dal momento che un trattamento, nel corso del tempo, può subire delle variazioni tali da non dover richiedere nuovamente il consenso, sarebbe opportuno definire un periodo temporale oltre il quale riproporre l’informativa aggiornata in modo tale per cui gli interessati possano rivalutare le scelte effettuate.

1. Revoca del consenso su richiesta dell’interessato

L’Interessato può richiedere in ogni momento la revoca del consenso prestato (art. 7 del GDPR). Tale richiesta comporta che i dati personali oggetto dell’esercizio del diritto non debbano più essere trattati per la specifica finalità per cui l’interessato aveva dato il consenso. I dati potrebbero essere, in alternativa anonimizzati, ex art. 17, par. 1 GDPR, salvo non sia presente un’ulteriore base giuridica che legittima la prosecuzione del trattamento dei dati (es. assolvere ad un obbligo di

legge). In qualunque casistica deve essere attivata la procedura “PR31.1 - Procedura di Gestione dei diritti degli interessati”.