I titolari del trattamento che attualmente trattano dati sulla base del consenso conformemente alla normativa nazionale in materia di protezione dei dati non sono automaticamente tenuti a rinnovare completamente tutte le relazioni di consenso con gli interessati in preparazione dell’entrata in vigore del regolamento generale sulla protezione dei dati. Il consenso ottenuto continua ad essere valido nella misura in cui è in linea con le condizioni stabilite nel regolamento generale sulla protezione dei dati.
È importante che prima del 25 maggio 2018 i titolari del trattamento rivedano in maniera approfondita i processi di lavoro e le registrazioni correnti, al fine di accertarsi che i consensi in essere soddisfino quanto previsto dal regolamento generale sulla protezione dei dati (cfr. considerando 171 del regolamento generale sulla protezione dei dati). In pratica, il regolamento generale sulla protezione dei dati fissa prescrizioni più rigorose riguardo all’attuazione di meccanismi di consenso e introduce nuovi requisiti che impongono ai titolari del trattamento di modificare i meccanismi di consenso, non di riscrivere soltanto le politiche in materia di protezione dei dati.
Ad esempio, poiché il regolamento impone al titolare del trattamento di essere in grado di dimostrare che ha ottenuto un consenso valido, tutti i presunti consensi dei quali non viene conservato alcun riferimento si considereranno automaticamente al di sotto del livello di consenso fissato dal regolamento e dovranno quindi essere rinnovati. Analogamente, poiché il regolamento richiede una “dichiarazione o un’azione positiva inequivocabile”, tutti i presunti consensi basati su una forma di azione più implicita dell’interessato (ad esempio una casella di adesione preselezionata) non saranno conformi al livello di consenso stabilito dal regolamento.
Inoltre, per poter dimostrare l’ottenimento del consenso o fornire indicazioni più granulari sulle volontà dell’interessato, il titolare del trattamento potrebbe dover effettuare un riesame delle operazioni e dei sistemi informativi. Devono essere disponibili meccanismi che consentano agli interessati di revocare facilmente il consenso e devono essere fornite informazioni su come revocare il consenso. Se le procedure esistenti per l’ottenimento e la gestione del consenso non soddisfano i livelli previsti dal regolamento, il titolare del trattamento dovrà ottenere un nuovo consenso conforme al regolamento.
D’altro canto, poiché non tutti gli elementi indicati negli articoli 13 e 14 devono sempre essere presenti come condizione per un consenso informato, gli obblighi di informazione estesa ai sensi del regolamento non si oppongono necessariamente alla continuità del consenso prestato prima dell’entrata in vigore del regolamento (cfr. precedente pagina 15). La direttiva 95/46/CE non prevedeva alcun obbligo di informare gli interessati in merito alla base del trattamento.
Qualora ritenga che il consenso ottenuto in base alla vecchia normativa non rispetti le norme per il consenso fissate dal regolamento, il titolare del trattamento deve agire per conformarvisi, ad esempio mediante il rinnovo del consenso in un maniera conforme al regolamento. Ai sensi del regolamento non è possibile passare da una base legittima a un’altra. Se il titolare del trattamento non è in grado di rinnovare il consenso in maniera conforme né è in grado, come circostanza una tantum, di conformarsi al regolamento basando il trattamento dei dati su una base legittima diversa garantendo nel contempo che la prosecuzione del trattamento corrisponda ai principi di correttezza e responsabilizzazione, le attività di trattamento devono essere interrotte. In ogni caso, il titolare del trattamento deve rispettare i principi di un trattamento lecito, corretto e trasparente.
