136. Per quanto riguarda l’autorizzazione del titolare della responsabilità genitoriale, il regolamento non prevede modalità pratiche per raccogliere il consenso del genitore o per stabilire che qualcuno è autorizzato a prestare il consenso67. Di conseguenza il Comitato raccomanda l’adozione di un approccio proporzionato, in linea con l’articolo 8, paragrafo 2, e l’articolo 5, paragrafo 1, lettera c), del regolamento (minimizzazione dei dati). Un approccio proporzionato potrebbe essere quello di concentrarsi sull’ottenimento di una quantità limitata di informazioni, ad esempio i dettagli di contatto di un genitore o del tutore.
137. La ragionevolezza degli sforzi, in termini di verifica tanto che l’utente abbia l’età sufficiente per esprimere il consenso quanto che la persona che esprime il consenso a nome del minore sia il titolare della responsabilità genitoriale, può dipendere dai rischi inerenti al trattamento e dalla tecnologia disponibile. Nei casi a basso rischio, può essere sufficiente la verifica della responsabilità genitoriale a mezzo posta elettronica. Viceversa, nei casi ad alto rischio, può essere opportuno chiedere ulteriori prove affinché il titolare del trattamento sia in grado di verificare e conservare le informazioni di cui all’articolo 7, paragrafo 168. I servizi di verifica di terzi fidati possono offrire soluzioni che riducono al minimo la quantità di dati personali che il titolare del trattamento deve trattare autonomamente.
138. Esempio 23: Una piattaforma di gioco online vuole assicurarsi che i clienti minorenni si abbonino ai servizi esclusivamente con il consenso dei genitori o tutori. Il titolare del trattamento segue questi passaggi:
139. passaggio 1: chiede all’utente di indicare se ha meno o più di 16 anni (o dell’età alternativa per il consenso digitale). Se l’utente dichiara di avere un’età inferiore a quella per il consenso digitale:
140. passaggio 2: il servizio informa il minore della necessità che un genitore o il tutore acconsenta o autorizzi il trattamento prima che venga erogato il servizio. All’utente viene quindi richiesto di rivelare l’indirizzo di posta elettronica di un genitore o del tutore;
141. passaggio 3: il servizio contatta il genitore o il tutore e ne ottiene il consenso al trattamento tramite posta elettronica e adotta misure ragionevoli per ottenere la conferma che l’adulto abbia la responsabilità genitoriale; 142. passaggio 4: in caso di reclami, la piattaforma adotta ulteriori provvedimenti per verificare l’età dell’abbonato.
143. Se soddisfa gli altri requisiti del consenso, la piattaforma può soddisfare i criteri supplementari di cui all’articolo 8 del regolamento seguendo questi passaggi.
144. L’esempio mostra che il titolare del trattamento può mettersi in una posizione tale da dimostrare che sono stati compiuti sforzi ragionevoli per garantire che è stato ottenuto un consenso valido in relazione ai servizi forniti a un minore. L’articolo 8, paragrafo 2, aggiunge in particolare che “[i]l titolare del trattamento si adopera in ogni modo ragionevole per verificare che il consenso sia prestato o autorizzato dal titolare della responsabilità genitoriale sul minore, in considerazione delle tecnologie disponibili”.
145. Spetta al titolare del trattamento stabilire quali misure siano appropriate in un caso specifico. Di norma, il titolare del trattamento dovrebbe evitare soluzioni di verifica che implichino una raccolta eccessiva di dati personali.
146. Il Comitato riconosce che in determinati casi la verifica è difficile, ad esempio se il minore che presta il consenso non ha ancora lasciato un’“impronta di identità” o se la responsabilità genitoriale non è facilmente verificabile. Tale aspetto può essere preso in considerazione nel decidere quali sforzi siano ragionevoli, tuttavia ci si aspetta anche che il titolare del trattamento tenga sotto costante controllo i suoi processi e la tecnologia disponibile.
147. Per quanto riguarda l’autonomia dell’interessato a manifestare il consenso al trattamento dei dati personali e il pieno controllo sul trattamento, nel momento in cui raggiunge l’età del consenso digitale l’interessato può confermare, modificare o revocare il consenso prestato o autorizzato dal titolare della responsabilità genitoriale.
148. In pratica, ciò significa che se il minore non intraprende alcuna azione, il consenso prestato o autorizzato dal titolare della responsabilità genitoriale in relazione al trattamento dei dati personali forniti prima dell’età del consenso digitale rimarrà un presupposto valido per il trattamento.
149. Una volta raggiunta l’età del consenso digitale, il minore avrà la possibilità di revocare il consenso, in linea con l’articolo 7, paragrafo 3. In conformità con i principi di correttezza e responsabilizzazione, il titolare del trattamento deve informare il minore di questa possibilità.
150. È importante sottolineare che, ai sensi del considerando 38, il consenso di un genitore o del tutore non è richiesto nel contesto di servizi di prevenzione o consulenza offerti direttamente al minore. Ad esempio, per i servizi di protezione dei minori offerti online ai minori tramite un servizio di chat non occorre la previa autorizzazione dei genitori.
151. Infine, il regolamento prevede che le norme relative ai requisiti di autorizzazione genitoriale nei confronti dei minori non pregiudicano “le disposizioni generali del diritto dei contratti degli Stati membri, quali le norme sulla validità, la formazione o l’efficacia di un contratto rispetto a un minore”. Di conseguenza i requisiti per la validità del consenso all’uso dei dati relativi a minori rientrano in un quadro giuridico da considerarsi distinto dal diritto contrattuale nazionale. Le presenti linee guida non affrontano pertanto la questione se sia lecito o meno per un minore concludere contratti online.
Entrambi i regimi giuridici possono essere applicati simultaneamente e l’ambito di applicazione del regolamento generale sulla protezione dei dati non include l’armonizzazione delle disposizioni nazionali di diritto contrattuale.
