Gestione del consenso GDPR per trasferimenti file sicuri

Il consenso ai sensi dell'Articolo 6(1)(a) del GDPR è spesso la base giuridica sbagliata per i trasferimenti file. I contratti (6(1)(b)), gli obblighi legali (6(1)(c)) e gli interessi legittimi (6(1)(f)) coprono la maggior parte degli scenari B2B di condivisione file senza richiedere l'opt-in degli interessati. Quando il consenso è davvero la base corretta — liste marketing, iscrizioni a newsletter, contributi dati volontari — l'Articolo 7 stabilisce regole stringenti: libero, specifico, informato, inequivocabile e revocabile in qualsiasi momento con la stessa facilità con cui è stato concesso. Sbagliare il consenso rende l'intero trasferimento un trattamento illecito ai sensi dell'Articolo 5(1)(a).

Perché il consenso è raramente la base giusta per i trasferimenti B2B

Un freelance che invia a un cliente la consegna di un progetto da 2 GB non ha bisogno del consenso del cliente — il contratto di incarico è la base giuridica ai sensi del 6(1)(b). Uno studio legale che invia un NDA firmato alla controparte non ha bisogno di consenso. Un sito di sperimentazione clinica che trasferisce dati pseudonimizzati allo sponsor opera ai sensi del 6(1)(b) o del 9(2)(j) per i dati di categoria speciale. Applicare il consenso a tutto crea fragilità: gli interessati possono revocare in qualsiasi momento ai sensi dell'Articolo 7(3), rischiando di lasciarti impossibilitato ad adempiere agli obblighi contrattuali. Scegli la base giusta una volta, documentala, smetti di chiedere.

I requisiti del consenso dell'Articolo 7

L'Articolo 7(1) richiede di dimostrare che il consenso è stato concesso. L'Articolo 7(2) stabilisce che le richieste di consenso devono essere chiaramente distinguibili, intellegibili e in linguaggio semplice. L'Articolo 7(3) garantisce che la revoca sia facile quanto la concessione. L'Articolo 7(4) invalida il consenso quando è condizionato alla fornitura di un servizio che non richiede effettivamente i dati. Tradotto in termini di trasferimento file: non puoi abbinare "acconsento a ricevere PDF promozionali" con "acconsento a ricevere la mia ricevuta d'acquisto". Il primo è consenso, il secondo è esecuzione contrattuale. Tienili separati o violerai l'Articolo 7(4).

Dark pattern che invalidano il consenso

Una casella pre-selezionata è invalida (sentenza Planet49 C-673/17, ottobre 2019). I cookie wall che rifiutano il servizio fino alla concessione del consenso sono invalidi per i cookie non essenziali (linee guida EDPB, maggio 2020). I pulsanti "Accetta tutto" e "Rifiuta tutto" devono essere ugualmente prominenti (sanzioni CNIL a Google e Facebook, dicembre 2021, 150 M€ e 60 M€). Per i trasferimenti file, il dark pattern equivalente è collegare l'accesso al download all'opt-in marketing: "Scarica il tuo file" è essenziale; "Iscriviti alla nostra newsletter" non lo è. Non unirli mai dietro un singolo pulsante.

Consenso granulare e tipi di file

Se gestisci una piattaforma dove gli utenti caricano foto, documenti e video, gli interessati necessitano di consenso granulare per ogni tipo di dato. Una newsletter con abbonati che caricano foto delle vacanze in una galleria condivisa necessita di consenso separato per l'email marketing e per l'hosting delle foto. La granularità si estende agli scopi: il consenso a "condividere con i partner" senza nominare i partner fallisce il test di "specificità" dell'Articolo 7. Indica le categorie di destinatari — inserzionisti, fornitori di analisi, sub-responsabili — e se non puoi farlo, ricorri agli interessi legittimi con un adeguato test di bilanciamento.

Registri del consenso e prova del consenso

L'Articolo 7(1) pone l'onere della prova sul titolare. Un registro del consenso richiede almeno cinque campi: chi ha prestato consenso (ID dell'interessato, email o identificativo hash), quando (timestamp, fuso orario), a cosa ha acconsentito (testo esatto mostrato), come (versione del modulo, IP, user agent per le acquisizioni web) e come revocare (riferimento al meccanismo). Strumenti come OneTrust, Usercentrics, Didomi e Cookiebot gestiscono le acquisizioni web; per i flussi in-product, costruisci il tuo registro eventi con semantica append-only. La conservazione corrisponde alla finestra di validità del consenso più il termine di prescrizione (tipicamente sei anni nel Regno Unito, cinque in Francia).

Flussi di revoca che rispecchiano la facilità della concessione

L'Articolo 7(3) richiede che la revoca sia facile quanto il consenso. Se il consenso era un singolo clic su una casella, la revoca deve essere un singolo clic. I centri preferenze nascosti dietro tre menu dell'account non sono accettabili. I link di cancellazione via email funzionano se risolvono la revoca al clic senza richiedere il login. Per i trasferimenti file, la revoca significa tipicamente interrompere i trasferimenti futuri e cancellare quelli passati ai sensi dell'Articolo 17(1)(b) dove il consenso era l'unica base. Il tuo endpoint di cancellazione deve attivare sia l'evento di revoca del consenso che il job di eliminazione.

Consenso dei minori e verifica genitoriale

L'Articolo 8 fissa a 16 anni l'età predefinita al di sotto della quale è richiesto il consenso genitoriale per i servizi della società dell'informazione, con la facoltà degli Stati membri di abbassarla a 13. La Francia usa 15, la Germania 16, la Spagna 14, Svezia e Portogallo 13. I metodi di verifica accettabili per le autorità di controllo includono: controllo con carta di credito, verifica dell'identità nazionale, moduli di consenso firmati e double opt-in con l'email verificata del genitore. Se la tua piattaforma di trasferimento file si rivolge al settore educativo, i caricatori under-16 devono ottenere il consenso genitoriale per qualsiasi trattamento basato sul consenso (di solito creazione account e marketing, a volte conservazione dei file).

Consenso per i trasferimenti internazionali

L'Articolo 49(1)(a) consente il consenso come deroga per i trasferimenti verso paesi non adeguati, ma solo per trasferimenti occasionali e non ripetitivi. Le Linee guida EDPB 2/2018 sull'Articolo 49 enfatizzano il "consenso esplicito" — una soglia più alta del consenso ordinario — che richiede una dichiarazione scritta o equivalente, e l'interessato deve essere informato dei rischi specifici, inclusa l'assenza di una decisione di adeguatezza. Per i trasferimenti file di routine verso gli USA o altre giurisdizioni non adeguate, usa le SCC con una Transfer Impact Assessment. Il consenso è una leva di emergenza, non una strategia scalabile.

Ri-consenso quando cambiano le condizioni

Se cambi le finalità del trattamento, aggiungi nuovi destinatari o estendi la conservazione, i consensi esistenti potrebbero non coprire il trattamento ampliato. La mossa più sicura è raccogliere un nuovo consenso con informative aggiornate. Ridurre il perimetro va bene senza ri-consenso. Il test: il consenso originale sarebbe stato dato se l'interessato avesse conosciuto i nuovi fatti? In caso di dubbio, richiedi il consenso. Attiva il flusso di ri-consenso prima che inizi il nuovo trattamento, non dopo, e sospendi i trasferimenti fino a quando non è registrato il nuovo consenso.

Integrazione tecnica nei prodotti di trasferimento

In un prodotto di trasferimento file, il modello corretto è un microservizio di consenso che ogni chiamata di upload, download e notifica controlla prima di procedere. Il registro del consenso porta un UUID referenziato nei log di audit per ogni operazione sui file. La revoca invalida i controlli futuri e attiva un job di eliminazione asincrono. Servizi come HexaTransfer evitano questa complessità basando i trasferimenti sulla necessità contrattuale — il mittente avvia, il destinatario scarica, entrambi impliciti nel contratto di trasferimento — e riservano il consenso ex Articolo 6(1)(a) esclusivamente all'iscrizione alla newsletter opzionale.

Il consenso è uno strumento, non un'impostazione predefinita. Scegli la base giuridica adatta all'operazione. Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.