Nella prassi il consenso è spesso trattato come la chiave universale del trattamento dei dati: lo si richiede ovunque, per ogni evenienza, nella convinzione che «far firmare» metta al riparo. È un equivoco. Il consenso è soltanto una delle sei basi giuridiche previste dal Regolamento (UE) 2016/679 (GDPR), non di rado nemmeno la più appropriata; e, quando è effettivamente necessario, deve possedere requisiti rigorosi, in difetto dei quali è tamquam non esset — come se non fosse mai stato prestato. Conviene dunque chiarire quando il consenso serve, quando non serve, come debba essere raccolto e quali errori ne determinano l’invalidità.
Quando serve il consenso (e quando no)
Il consenso è una delle basi di liceità elencate dall’art. 6, paragrafo 1: accanto ad esso figurano l’esecuzione di un contratto, l’adempimento di un obbligo di legge, la salvaguardia di interessi vitali, l’esecuzione di un compito di interesse pubblico e il legittimo interesse del titolare. Individuare la base corretta è il primo passo: chiedere il consenso dove il trattamento è già legittimato da altra base non solo è superfluo, ma può risultare fuorviante, perché lascia intendere all’interessato una facoltà di scelta in realtà inesistente.
Il consenso è invece tipicamente necessario per i trattamenti non indispensabili al rapporto: l’invio di comunicazioni di marketing, la profilazione, l’installazione di cookie non tecnici, l’uso di categorie particolari di dati (art. 9, salve le eccezioni di legge). Per converso, non occorre il consenso per dare esecuzione al contratto richiesto dall’interessato, per adempiere agli obblighi fiscali e contabili o, entro precisi limiti, per perseguire un legittimo interesse correttamente bilanciato.
Come dev’essere il consenso: libero, specifico, informato, inequivocabile
L’art. 4, n. 11, definisce il consenso come qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile con cui l’interessato accetta il trattamento mediante dichiarazione o azione positiva inequivocabile. L’art. 7 vi aggiunge le condizioni operative:
- libero: l’interessato deve avere una scelta effettiva; non è libero il consenso «forzato» o quello reso condizione per un servizio che non lo richiede (art. 7, par. 4);
- specifico e granulare: distinto per ciascuna finalità (un consenso per il marketing, uno diverso per la profilazione), non cumulato in un’unica casella;
- informato: preceduto da un’adeguata informativa;
- inequivocabile: manifestato con un atto positivo; il silenzio e l’inerzia non valgono consenso;
- documentabile: il titolare deve poter dimostrare di averlo ottenuto (art. 7, par. 1);
- revocabile: in ogni momento, con la stessa facilità con cui è stato prestato (art. 7, par. 3).
Gli errori che invalidano il consenso
Alcuni vizi ricorrono con regolarità e privano il consenso di validità:
- le caselle preselezionate: la spunta già attiva non è un’azione positiva dell’interessato;
- il consenso cumulativo, raccolto con un’unica formula per finalità eterogenee (marketing e profilazione) o per una pluralità di soggetti (il titolare «e i suoi partner»);
- la subordinazione di un bene o servizio al rilascio di un consenso non necessario;
- il consenso preteso dove sarebbe sufficiente un’altra base giuridica.
Il consenso dei minori
Per i servizi della società dell’informazione offerti direttamente al minore, l’art. 8 fissa una soglia di età (in Italia, quattordici anni, ai sensi dell’art. 2-quinquies del Codice) al di sotto della quale il consenso deve essere prestato o autorizzato da chi esercita la responsabilità genitoriale, con meccanismi idonei a verificarlo. Trattare dati di minori per finalità di marketing e profilazione senza tali cautele integra una violazione.
Cosa dice la giurisprudenza
La violazione delle regole sul consenso, incidendo sulla base stessa del trattamento, è ricondotta alla fascia più grave dell’art. 83, paragrafo 5 (fino a 20 milioni di euro o al 4% del fatturato mondiale annuo).
Con provvedimento del 22 febbraio 2024 (doc. web n. 10027096) il Garante ha sanzionato per 100.000 euro la società Italiaonline. In sede di registrazione ai portali Libero e Virgilio, il consenso per le finalità di marketing e profilazione era raccolto con un’unica casella e, una volta prestato, con due ulteriori caselle — per le singole finalità — entrambe preselezionate, e dunque da deselezionare per negare l’assenso; il consenso al marketing era inoltre acquisito con un’unica formula tanto per Italiaonline quanto per i suoi «partner». Una simile modalità — ha osservato l’Autorità — contrasta con il principio del consenso «libera e specifica, oltre che informata, comprovabile ed espressa in modo inequivocabile». Venuta meno la validità del consenso, il trattamento è risultato privo di base giuridica (artt. 6 e 7); e proprio perché investiva il cuore della liceità, la condotta è stata ricondotta alla fascia sanzionatoria più severa.
Scegliere la base giuridica corretta e, dove occorra il consenso, raccoglierlo a regola d’arte non è un tecnicismo: è ciò che distingue un trattamento lecito da uno esposto a sanzione. È il medesimo rigore che governa gli altri adempimenti privacy — dal banner dei cookie alla privacy policy del sito — e che costituisce il fulcro dell’adeguamento al GDPR di imprese e professionisti. Per una verifica puntuale delle basi giuridiche e delle modalità di raccolta del consenso, offriamo una consulenza GDPR per aziende e professionisti calibrata sulla singola realtà.
Domande frequenti
Il consenso serve sempre? No: è soltanto una delle sei basi giuridiche dell’art. 6. Spesso il contratto, l’obbligo di legge o il legittimo interesse sono basi più appropriate; chiederlo dove non occorre è un errore.
Le caselle preselezionate valgono come consenso? No: il consenso esige un’azione positiva dell’interessato. Le spunte già attive non integrano una manifestazione di volontà valida.
Posso subordinare un servizio al consenso al marketing? Di regola no (art. 7, par. 4): se l’accesso al servizio è condizionato a un consenso non necessario, il consenso non è «libero» e dunque non è valido.
Il presente approfondimento ha finalità informative e fotografa la disciplina vigente alla data di pubblicazione; non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 17 giugno 2026.