La revoca del consenso al trattamento dei dati personali è l’azione con cui l’interessato ritira la propria autorizzazione a far usare i suoi dati per finalità che si basavano su quel consenso. Serve a ridare controllo all’interessato sulla propria privacy: una volta revocato, il titolare del trattamento non può più continuare a trattare i dati sulla base di quel consenso e deve adottare le misure necessarie (cessare il trattamento, cancellare o rendere anonimi i dati, salvo che esista un altro fondamento giuridico o obbligo di conservazione). La revoca deve essere semplice da esercitare e non influenza la liceità dei trattamenti effettuati prima della revoca stessa.
Come scrivere una revoca consenso trattamento dati personali
Per redigere una revoca del consenso al trattamento dei dati personali in modo completo e operativamente efficace è fondamentale che il documento contenga una serie di informazioni precise e formulate in modo inequivocabile, così da permettere al titolare del trattamento di identificare il soggetto che revoca, ricostruire il consenso originariamente prestato, individuare le specifiche operazioni di trattamento da cessare e adottare le azioni tecniche e organizzative necessarie per conformare i trattamenti alla volontà del richiedente. Occorre innanzitutto che la revoca identifichi chiaramente la persona che la presenta: il nome e cognome per esteso, l’indirizzo di residenza o di domicilio eletto a fini della comunicazione, almeno un recapito telefonico e un indirizzo email validi; se esiste un codice cliente, un numero di pratica o altro identificativo interno associato al rapporto con il titolare, tale riferimento va indicato per agevolare la correlazione con il fascicolo dati. È altresì utile indicare eventuali dati aggiuntivi che consentano di associare senza ambiguità la richiesta alla documentazione di consenso originaria, come la data in cui il consenso è stato prestato, il canale o lo strumento attraverso il quale è stato espresso (ad esempio modulo online, firma cartacea, spunta su form), e l’ambito o la finalità specifica per la quale il consenso era stato manifestato.
La revoca deve descrivere con precisione l’oggetto della rinuncia: non basta un generico “revoco il consenso”, perché il consenso, ai sensi del regolamento, è orientato a finalità e operazioni di trattamento specifiche. Pertanto il documento dovrebbe specificare le finalità che si intendono annullare (ad esempio marketing diretto via email e sms, profilazione per offerte personalizzate, comunicazione a partner commerciali, ecc.), le tipologie di dati che si riferiscono alla revoca (dati di contatto, dati di navigazione, dati economico-finanziari) e, se possibile, indicare i trattamenti o i servizi specifici che si desidera siano interessati dalla revoca. Se il consenso riguardava cookie o altri strumenti di tracciamento, è opportuno menzionarlo espressamente, indicando anche l’ambito temporale in cui il consenso era stato dato, per consentire una corretta gestione tecnica (ad esempio disabilitazione di cookie persistenti).
Occorre poi porre in modo chiaro quale azione si richiede al titolare: la cessazione immediata dei trattamenti basati sul consenso revocato e la conferma che non verranno utilizzati per le finalità oggetto della revoca; l’eventuale richiesta di cancellazione (erasure) dei dati personali trattati esclusivamente sulla base del consenso, con la precisazione che la cancellazione deve comprendere copie, estratti e qualsiasi riproduzione accessibile negli archivi attivi. Se non si desidera la cancellazione totale, ma una limitazione del trattamento, la richiesta dovrebbe indicarlo e definire il perimetro della limitazione (ad esempio mantenimento dei dati solo per obblighi contrattuali o fiscali). È importante altresì chiedere esplicitamente la cessazione delle comunicazioni a terzi: se i dati sono stati condivisi con responsabili o destinatari esterni, la revoca dovrebbe richiedere che il titolare informi tali terze parti e richieda a loro volta la cessazione dei trattamenti pertinenti.
Nel testo è opportuno prevedere la richiesta di una conferma scritta delle azioni intraprese dal titolare, con l’indicazione delle tempistiche entro cui si attende la risposta, e la richiesta di dettaglio sulle misure adottate: quali dati sono stati cancellati, quali sono stati limitati, quali destinatari sono stati informati, oppure eventuali motivi che legittimano il mantenimento parziale dei dati (ad esempio obblighi legali, esercizio di diritti in sede giudiziaria, esigenze di conservazione a fini probatori). Va ricordato e fatto presente nel documento che la revoca del consenso non pregiudica la liceità del trattamento basata sul consenso prima della revoca stessa: le operazioni già compiute permangono lecite, mentre quelle future devono essere sospese se fondate esclusivamente sul consenso revocato; nel caso in cui il titolare intenda continuare a trattare i dati per una diversa base giuridica, la comunicazione dovrebbe specificare le ragioni e la base giuridica invocata.
Per ragioni di sicurezza e per evitare richieste fraudolente, la revoca dovrebbe essere accompagnata da un’adeguata forma di identificazione del richiedente; ciò può tradursi nell’invio di copia di un documento di identità, oppure nella richiesta di effettuare la revoca tramite canali autenticati (ad esempio PEC, area riservata del sito con accesso con credenziali, firma elettronica). Il documento di revoca dovrebbe essere datato e firmato dal richiedente, e se inviato per posta o PEC è utile conservare l’avviso di ricezione o la ricevuta come prova dell’invio e del contenuto. Chi revoca può anche specificare il canale tramite il quale desidera ricevere la conferma dell’esecuzione delle operazioni richieste (email, PEC, raccomandata, messaggio nell’area riservata) e chiedere espressamente la registrazione della richiesta nel registro delle attività del titolare.
Infine, è buona prassi includere nella revoca una breve richiesta di informazioni sui rimedi in caso di mancata esecuzione, ricordando che il soggetto interessato ha il diritto di proporre reclamo all’autorità di controllo competente; ciò aiuta a definire aspettative realistiche sul follow-up e fornisce un impulso al titolare ad adempiere con tempestività. Una possibile formulazione concreta della revoca, pensata per essere copiata e adattata, potrebbe essere la seguente: “Il/La sottoscritto/a [nome e cognome], nato/a il [data di nascita] e residente in [indirizzo], cliente/utente con riferimento [codice cliente/pratica], con la presente revoca il consenso precedentemente espresso in data [data], mediante [indicare modalità], relativo al trattamento dei miei dati personali finalizzato a [indicare finalità: es. invio comunicazioni commerciali, profilazione, cessione a partner], e chiedo l’immediata cessazione di ogni trattamento basato su tale consenso. Richiedo altresì la cancellazione di tutti i miei dati trattati esclusivamente sulla base del suddetto consenso, la comunicazione ai terzi destinatari affinché cessino i trattamenti, e la conferma scritta entro 30 giorni delle azioni svolte, con dettaglio dei dati cancellati e dei destinatari informati. Allego copia del documento di identità ai fini della verifica dell’identità e dichiaro di essere consapevole che la revoca non pregiudica la liceità di trattamenti effettuati prima della ricezione della presente. Data e firma.” Con questa articolazione si forniscono al titolare tutte le informazioni necessarie per identificare correttamente la revoca, valutare i suoi effetti e dare puntuale esecuzione alle misure richieste.
Esempio revoca consenso trattamento dati personali
Oggetto: Revoca consenso al trattamento dei dati personali
Al Titolare del trattamento: ____________
Indirizzo/PEC/e-mail del Titolare: ____________
Il/La sottoscritto/a: ____________
Nato/a a: ____________ il: ____________
Codice fiscale: ____________
Residente in: ____________ (via, n. civico, CAP, città, prov.): ____________
Numero di telefono: ____________
Indirizzo e-mail: ____________
Riferimento pratica/numero cliente (se applicabile): ____________
Con la presente, ai sensi dell’art. 7 del D.lgs. 30 giugno 2003 n. 196, come modificato, e dell’art. 6 e seguenti del Regolamento (UE) 2016/679 (GDPR),
revoco il consenso al trattamento dei miei dati personali precedentemente fornito a: ____________
in data: ____________
per le seguenti finalità: ____________
Chiedo pertanto che:
– venga confermata per iscritto l’avvenuta revoca del consenso all’indirizzo e-mail/PEC: ____________;
– siano cessate immediatamente le attività di trattamento basate sul consenso revocato, salvo il trattamento necessario per adempiere a obblighi di legge;
– i miei dati personali non siano più trattati per le finalità indicate e non siano oggetto di profilazione o invii promozionali;
– siano adottate le misure ragionevoli per la cancellazione, la limitazione o l’aggiornamento dei miei dati nei sistemi e presso eventuali responsabili e terzi a cui i dati siano stati comunicati, fatte salve le obbligazioni di conservazione previste dalla legge;
– mi venga comunicato l’elenco dei soggetti ai quali i dati sono stati comunicati, se applicabile.
Si prega di prendere atto della presente e di inviarmi risposta scritta entro i termini di legge al seguente recapito: e-mail/PEC: ____________ / indirizzo postale: ____________.
Luogo: ____________
Data: ____________
Firma: ____________