55. L’articolo 6, paragrafo 1, lettera a), conferma che il consenso dell’interessato deve essere espresso in relazione a “una o più specifiche” finalità e che l’interessato deve poter scegliere in relazione a ciascuna di esse. Il requisito secondo il quale il consenso deve essere “specifico” mira a garantire un certo grado di controllo da parte dell’utente e trasparenza per l’interessato. Tale requisito non è stato modificato dal regolamento e rimane strettamente legato al requisito del consenso “informato”. Allo stesso tempo, deve essere interpretato in linea con il requisito della “granularità”, affinché il consenso sia “libero”. In sintesi, per rispettare l’elemento della specificità (“specifico”), il titolare del trattamento deve applicare:
i la specificazione delle finalità come garanzia contro la “function creep”, ossia l’estensione indebita delle funzionalità;
ii la granularità nelle richieste di consenso, e
iii una chiara separazione delle informazioni sull’ottenimento del consenso per le attività di trattamento dei dati rispetto alle informazioni su altre questioni.
56. Sul punto i): ai sensi dell’articolo 5, paragrafo 1, lettera b), del regolamento, per ottenere un consenso valido occorre sempre prima determinare la finalità specifica, esplicita e legittima dell’attività di trattamento prevista. La necessità di un consenso specifico associata alla nozione di limitazione delle finalità di cui all’articolo 5, paragrafo 1, lettera b), funge da garanzia contro l’ampliamento progressivo, o la commistione, delle finalità di trattamento dei dati dopo che l’interessato ha acconsentito alla loro raccolta iniziale. Questo fenomeno, noto anche come “function creep”, rappresenta un rischio per l’interessato, in quanto può comportare l’uso non previsto di dati personali da parte del titolare del trattamento o di terzi e la perdita del controllo da parte dell’interessato.
57. Se il titolare del trattamento si basa sull’articolo 6, paragrafo 1, lettera a), l’interessato deve sempre fornire il consenso per una finalità di trattamento specifica. In linea con il concetto di limitazione delle finalità e con l’articolo 5, paragrafo 1, lettera b), e il considerando 32 del regolamento, il consenso può coprire trattamenti distinti, purché abbiano la medesima finalità. Chiaramente il consenso specifico può essere ottenuto soltanto quando l’interessato è specificamente informato delle finalità previste dell’uso dei dati che lo riguardano.
58. Nonostante le disposizioni in materia di compatibilità delle finalità, il consenso deve essere specifico per finalità. L’interessato presterà il consenso nella convinzione di avere il controllo sui suoi dati e nella convinzione che questi saranno trattati esclusivamente per le finalità specificate. Se tratta i dati basandosi sul presupposto del consenso e intende trattarli per un’altra finalità, il titolare del trattamento deve richiedere un ulteriore consenso per tale finalità a meno che non possa basarsi su un’altra base legittima che risponda meglio alla situazione.
59. Esempio 11: Una rete TV via cavo raccoglie i dati personali degli abbonati, sulla base del loro consenso, per fornire suggerimenti personali su nuovi film che, stando alle abitudini di visualizzazione, potrebbero interessare loro. Dopo un po’, la rete TV vorrebbe consentire a terzi di inviare (o mostrare) pubblicità mirata sulla base delle abitudini di visualizzazione degli abbonati. Data questa nuova finalità, è necessario ottenere un nuovo consenso.
60. Sul punto ii): i meccanismi di consenso devono essere granulari non solo per soddisfare il requisito del consenso “libero”, ma anche per soddisfare quello del consenso “specifico”. Ciò significa che il titolare del trattamento che richiede il consenso per finalità diverse dovrebbe prevedere una possibilità di adesione distinta per ciascuna finalità, in modo da consentire all’utente di esprimere un consenso specifico per le finalità specifiche.
61. Sul punto iii): il titolare del trattamento dovrebbe fornire informazioni specifiche, in relazione a ciascuna richiesta di consenso distinta, sui dati che vengono trattati per ciascuna finalità,al fine di rendere noto all’interessato l’impatto delle diverse scelte a sua disposizione. In questo modo l’interessato può esprimere un consenso specifico. Questo aspetto si sovrappone al requisito che impone al titolare del trattamento di fornire informazioni chiare, come analizzato al punto 3.3.
