Interesse legittimo o consenso: come scegliere nel GDPR

Scegliere tra interesse legittimo o consenso significa descrivere correttamente una specifica operazione, le aspettative della persona e il controllo che le viene davvero concesso. Non si cerca la base più protettiva per l’impresa: una scelta elegante ma contraria ai fatti non rende lecito il trattamento ¹.

Risposta rapida Per scegliere tra interesse legittimo o consenso, definite finalità, necessità e conseguenze del rifiuto. Il consenso richiede una scelta libera, informata e revocabile. L’interesse legittimo richiede finalità, necessità e bilanciamento documentati. Per email e tecnologie simili, la disciplina ePrivacy può decidere prima se il canale sia utilizzabile ^{2 3}.

Ultimo aggiornamento: 26 agosto 2026

Partire dall’operazione evita una scelta di comodo

La base giuridica appartiene a una finalità concreta, non a un reparto o a un database; «marketing» non è una decisione, perché una newsletter scelta dalla persona, un messaggio a clienti esistenti e un profilo costruito con dati acquistati sono operazioni differenti. Prima di nominare la base occorre descrivere dati, persone, canale e risultato.

La sequenza impedisce di presentare un consenso dove non esiste libertà o di usare l’interesse legittimo come formula universale. Se un datore deve trattare coordinate bancarie per pagare lo stipendio, chiedere al lavoratore di «acconsentire» nasconde che il rifiuto non è praticabile. Se una persona sceglie una ricerca facoltativa, il controllo può invece essere autentico.

La finalità va scomposta anche quando i dati sono identici. L’indirizzo email impiegato per confermare un ordine non passa automaticamente sotto la stessa base quando entra in una campagna, e il fatto che il CRM conservi un solo campo non unifica scopi, aspettative o diritti.

Il record iniziale definisce evento di ingresso, dati minimi, risultato, destinatari e punto di arresto. Se la descrizione passa da «rispondere alla richiesta» a «coltivare il contatto», si apre una seconda finalità; non si allunga la prima finché ogni uso sembra rientrarvi.

Il consenso è una scelta, non una schermata

Un consenso valido è un atto positivo, specifico, informato e inequivocabile. La persona deve poter scegliere senza squilibrio, condizionamento o svantaggio ingiustificato. Caselle preselezionate, consenso nascosto nelle condizioni o formule che riuniscono usi indipendenti non creano quel controllo ².

La granularità segue le finalità. Se un modulo propone newsletter, condivisione con partner e profilazione, un’unica accettazione impedisce di scegliere separatamente. L’informazione deve precedere l’atto e nominare ciò che accadrà; spiegare dopo il trattamento non rende informata una decisione già compiuta.

La prova collega chi ha acconsentito, finalità selezionata, versione del testo, data, canale e azione. Non serve conservare dati eccedenti solo per dimostrare la scelta, ma una colonna «sì/no» priva di versione non permette di sapere che cosa la persona abbia visto quando l’interfaccia cambia.

Il progetto della scelta deve corrispondere alla prova: pulsanti, testo e conseguenze del rifiuto vengono verificati insieme, perché un registro perfetto non salva un’interfaccia che evidenzia soltanto l’accettazione, nasconde l’alternativa o fa sembrare necessario un uso facoltativo. Prima del rilascio, una persona estranea al progetto percorre entrambe le strade, confronta ciò che accade nei sistemi e controlla che nessun servizio accessorio si attivi dopo il rifiuto; il risultato della prova resta collegato alla versione del modulo.

Revocare deve essere facile quanto prestare il consenso. Un clic dato online non dovrebbe richiedere una telefonata in orari limitati; il segnale deve raggiungere piattaforme, liste e fornitori prima del ciclo successivo. Il GDPR chiarisce inoltre che la revoca opera per il futuro e non pregiudica la liceità del trattamento precedente ¹.

Il consenso non è quindi «più sicuro» per attività che devono comunque avvenire. Se il titolare sa che ignorerà un rifiuto o una revoca, non dovrebbe chiedere una scelta che non intende rispettare; deve cercare la base corrispondente alla necessità reale oppure rinunciare all’uso accessorio.

Il percorso di revoca va collaudato con un contatto reale. La verifica segue il segnale dal modulo al sistema principale, ai fornitori e alle copie di campagna, controllando che un caricamento successivo non reintroduca la persona. Il difetto più comune vive tra sistemi con stati incompatibili, non nella definizione astratta del diritto.

L’interesse legittimo richiede un test scritto in tre parti

L’interesse legittimo offre flessibilità e richiede responsabilità analitica. Il fatto che un’attività sia comune, redditizia o tecnicamente possibile non supera il test. Ogni ricorso all’articolo 6, paragrafo 1, lettera f), mantiene finalità, necessità e bilanciamento ³.

La necessità è più esigente della convenienza. Se un controllo antifrode può funzionare con i dati dell’ordine corrente, aggiungere una cronologia estesa o fonti esterne richiede una giustificazione autonoma. Se una soglia più stretta o una revisione umana riduce l’impatto, la salvaguardia deve entrare nel flusso e non restare soltanto nel documento.

Il bilanciamento considera vulnerabilità, rapporto di potere e conseguenze inattese. Un uso accettabile fra contatti professionali può sorprendere clienti occasionali; il monitoraggio dei lavoratori richiede particolare attenzione. La conclusione specifica persone e circostanze a cui si applica, invece di attribuire un unico rischio a tutto il database.

Le aspettative ragionevoli non sono ciò che il titolare spera venga tollerato. Derivano da relazione, informazioni date, pratica effettiva e distanza fra il motivo della raccolta e il nuovo uso. Una clausola ampia migliora forse la trasparenza, ma non trasforma da sola un trattamento sorprendente in uno atteso.

Il test contiene una vera alternativa e il motivo del suo scarto. «Non esistono alternative» non permette controllo; il titolare confronta invece dati, efficacia, impatto e costo operativo di metodi capaci di raggiungere davvero la stessa finalità. Il repertorio di casi sullo sportello unico mostra quanto contino la descrizione precisa dello scopo e l’effettivo bilanciamento nelle decisioni delle autorità ⁵. Per un controllo antifrode, ad esempio, il fascicolo prova una soglia limitata su ordini correnti contro una profilazione storica estesa, registra falsi positivi e riesame umano e sceglie il metodo meno invasivo che raggiunge il risultato. Se la soglia limitata funziona, la preferenza per più dati non supera la necessità.

Le conseguenze rendono visibile la differenza

Confrontare soltanto le definizioni nasconde il lavoro quotidiano. La distinzione emerge quando una persona rifiuta, revoca o si oppone e quando il titolare deve provare la decisione.

Nessuna colonna è intrinsecamente più favorevole. Il consenso è forte quando il controllo della persona costituisce la natura dell’attività. L’interesse legittimo è appropriato quando la finalità può essere perseguita senza un permesso artificiale, ma soltanto se il test dimostra proporzione e rispetto delle aspettative.

Cambiare base quando arriva una revoca o un’opposizione svuota entrambi i regimi. La decisione precede il trattamento; non è una riserva sostituibile a posteriori. Se un’operazione distinta prosegue per obbligo legale, va spiegata come tale dall’inizio e non ricostruita dopo il rifiuto.

La base non sostituisce le altre condizioni

Una base dell’articolo 6 risponde alla liceità, non a tutte le domande. Minimizzazione, correttezza, trasparenza, sicurezza e conservazione restano obblighi separati. Un interesse legittimo ben argomentato non autorizza dati eccedenti, mentre un consenso valido non rende proporzionata una profilazione illimitata ¹.

Per categorie particolari serve anche una condizione dell’articolo 9. Informazioni sanitarie, biometriche usate per identificare o relative a convinzioni non diventano trattabili grazie a una casella generica. L’analisi tiene distinti base ordinaria, condizione aggiuntiva e qualsiasi regola settoriale.

Anche il ruolo conta. Il titolare determina finalità e mezzi e sostiene la base; il responsabile opera secondo istruzioni documentate. Un fornitore non può inventare un interesse legittimo per ampliare autonomamente l’uso dei dati affidati dal cliente, né una funzione accessoria diventa parte dell’incarico perché attiva per impostazione predefinita.

I diritti devono raggiungere il record della base. Chi gestisce accesso, cancellazione, limitazione e opposizione deve capire quali attività siano coperte e quali proseguano per una ragione distinta; altrimenti la risposta nega troppo o promette una cancellazione incompatibile con un obbligo.

La separazione si vede anche nelle comunicazioni. Chi revoca una newsletter può continuare a ricevere un messaggio strettamente necessario su un ordine aperto, purché il secondo non contenga promozioni e abbia una base autonoma. Il sistema classifica quindi le comunicazioni per finalità, non il contatto come globalmente «attivo» o «inattivo».

L’informativa non dovrebbe offrire basi alternative mai decise. «Consenso o interesse legittimo» non dice alla persona quale diritto esercitare e lascia una via di fuga al titolare; la forma utile identifica la base per ciascuna finalità e le eventuali condizioni ulteriori sul dato, sul canale o sul ruolo del fornitore.

Il punto di contatto competente in Italia è il Garante per la protezione dei dati personali. Il collegamento offre un percorso verso l’autorità senza trasformare una regola nazionale in fondamento della base europea.

La disciplina ePrivacy può decidere prima il canale

Per email, messaggi e tecnologie di tracciamento, la domanda «interesse legittimo o consenso?» può arrivare troppo presto. La direttiva ePrivacy e le norme dello Stato membro che la attuano disciplinano il canale e possono richiedere il consenso o prevedere condizioni specifiche ⁴. Il GDPR continua ad applicarsi ai dati personali, ma non cancella quella disciplina.

Nel marketing elettronico occorre identificare destinatario, tipo di messaggio, origine del contatto e relazione precedente. Qualunque eccezione prevista dalla norma nazionale di attuazione ha condizioni proprie e non va estesa per analogia a liste acquistate, destinatari diversi o finalità lontane.

La sequenza corretta verifica prima se il canale può essere usato, poi documenta la base per trattare i dati e infine applica trasparenza e opposizione. Saltare il primo passaggio produce la falsa conclusione che un test di interesse legittimo autorizzi da solo l’invio o il tracciamento.

Nel record le analisi restano affiancate ma riconoscibili. La riga ePrivacy indica comunicazione o tecnologia, destinatario, provenienza, condizione e modalità di uscita; la riga GDPR descrive finalità, base, dati e periodo. Una casella generica «conforme» nasconde quale domanda sia stata davvero risolta.

Le modifiche del canale aprono una nuova verifica. Una decisione per un contatto individuale via email non governa automaticamente messaggistica, chiamate automatizzate o tecnologie sul sito; il titolare ricostruisce i fatti del nuovo mezzo prima di riutilizzare il vecchio esito.

Un follow-up commerciale, lavorato fino in fondo

Un’azienda espone a una fiera. Una responsabile acquisti consegna il biglietto da visita e chiede la scheda tecnica di un macchinario; il commerciale annota la richiesta. Inviare il documento è il primo scopo. Aggiungere il contatto a una newsletter, arricchirne il profilo e misurare ogni apertura sono tre finalità ulteriori.

Per la scheda richiesta, il titolare conserva il contesto, limita il messaggio a quanto atteso e non trasforma la risposta in una sequenza promozionale. Per la newsletter individua prima regola del canale e destinatario, poi documenta la base GDPR. Se propone una scelta, la descrive con frequenza, contenuto e tracciamento; «restiamo in contatto» non basta.

La misurazione merita una riga propria perché genera dati nuovi su aperture, dispositivi o percorsi di clic. Necessità, trasparenza e regola del canale vanno valutate invece di presumere che la possibilità tecnica sia inclusa nella decisione sulla newsletter.

Quando la responsabile scrive «non mandatemi altre offerte», il team non le chiede se intenda revocare o opporsi. Ferma il marketing, registra le parole e propaga la soppressione ai fornitori. Conserva il dato minimo per evitare una nuova inclusione, con accesso limitato e finalità di soppressione; non usa l’elenco come fonte commerciale.

Materiale richiesto, newsletter, misurazione e soppressione ruotano attorno allo stesso indirizzo, ma hanno finalità, condizioni di canale, aspettative e momenti di uscita differenti. Un’unica etichetta «consenso marketing» non racconta nessuna decisione abbastanza bene da renderla operativa.

Revoca e opposizione hanno flussi distinti

Le persone non devono conoscere la terminologia perché il titolare reagisca correttamente. «Basta messaggi» può essere revoca, opposizione al marketing o entrambe secondo il contesto. Il personale riceve il segnale e il sistema lo traduce nel flusso applicabile.

La revoca non riscrive il passato, ma per il futuro non è lecito cercare una base sostitutiva perché la persona ha esercitato il controllo promesso ¹. Un’opposizione segue invece la risposta prevista dall’articolo 21; nel marketing diretto il trattamento per tale finalità deve cessare.

Tempi e propagazione sono essenziali. Una preferenza aggiornata nel sistema principale ma non nel fornitore lascia la richiesta incompleta. Il registro elenca sistemi e responsabili che ricevono il segnale, verifica la soppressione al ciclo successivo e impedisce che un’importazione sovrascriva lo stato.

La lista di soppressione conserva solo l’identificativo necessario a evitare nuovi invii, limita gli accessi e vieta segmentazioni. Eliminarla con la campagna farebbe rientrare la persona al caricamento successivo; conservarla per altri scopi sarebbe invece un riuso. Finalità, durata e propagazione devono restare esplicite.

Un record che un’altra persona può usare

La decisione finale deve essere più breve dell’analisi, ma non più povera dei fatti. Un collega dovrebbe capire attività, persone, dati, base, alternativa esclusa e evento che riaprirà la valutazione senza reinterpretare da zero il GDPR.

Per il consenso, il record collega versione dell’informazione, meccanismo di scelta, prova dell’atto, sistemi alimentati e percorso di revoca. Per l’interesse legittimo conserva l’intero test, salvaguardie promesse e prove della loro attuazione. In entrambi i casi indica la disciplina ePrivacy quando il canale la rende pertinente.

La decisione deve diventare sistema. I moduli non preselezionano opzioni; le liste applicano soppressioni; i nuovi usi aprono una revisione; il personale distingue un rifiuto da una domanda. Se il documento promette revoca facile ma l’interfaccia nasconde il comando, il trattamento reale non corrisponde alla base registrata.

Un riesame programmato aiuta, ma gli eventi contano di più. Nuovi destinatari, fonti, persone vulnerabili, canali o reclami possono cambiare necessità e bilanciamento prima della data annuale. Il proprietario della finalità deve ricevere questi segnali e sospendere l’espansione finché la decisione non è aggiornata.

Il record contiene anche una matrice dei sistemi, perché una base non resta coerente se il CRM, la piattaforma di invio e il fornitore di analisi attribuiscono stati diversi alla stessa finalità. Per ogni destinazione vengono indicati dati ricevuti, stato che autorizza l’uso, evento di arresto, tempo di propagazione e prova osservabile; un controllo campione parte dal rifiuto o dall’opposizione, attraversa le integrazioni e verifica che il segnale non venga sovrascritto da un caricamento successivo. Quando una piattaforma non distingue le finalità, il titolare non maschera il limite con un testo più ampio, ma disattiva la funzione, separa gli archivi o sceglie un mezzo capace di applicare la decisione.

Anche le salvaguardie promesse nel test ricevono un proprietario e una misura. Se il bilanciamento dipende da revisione umana, soglia minima o esclusione di persone vulnerabili, il fascicolo specifica chi controlla il requisito, con quale frequenza e quale risultato impone la sospensione; una salvaguardia senza prova non riduce l’impatto soltanto perché compare nella valutazione. Reclami, errori e falsi positivi alimentano quindi il riesame come evidenze, non come osservazioni lasciate nei ticket dell’assistenza.

La decisione viene letta anche al contrario: partendo da una schermata, una campagna o una richiesta di diritti, un collega deve poter risalire alla finalità e alla base esatte. Se trova soltanto un consenso generale oppure un test non collegato all’attività, il percorso è interrotto e l’uso resta sospeso finché record e sistema non coincidono.

La legge britannica vigente contiene oggi una via specifica per alcuni interessi riconosciuti, nella quale il bilanciamento può cadere ma la necessità resta. Il GDPR dell’Unione non ha un equivalente: finalità, necessità e bilanciamento rimangono obbligatori per ogni ricorso all’interesse legittimo. Un gruppo presente nei due sistemi conserva pertanto decisioni separate e non trasferisce la scorciatoia nel record europeo.

Il proprietario firma soltanto quando moduli, informative, liste, fornitori e soppressioni corrispondono alla conclusione. Se la scelta è aggregata, il fornitore non riceve le revoche o il database non distingue le finalità, l’approvazione resta aperta: il trattamento osservabile non è ancora quello descritto dal test.

Infine, il record conserva fonte, versione, responsabile e prossima condizione di riesame. Una persona diversa prova il percorso dall’evento iniziale all’uscita e confronta decisione, interfaccia e log. La scelta tra interesse legittimo e consenso diventa affidabile quando resta riconoscibile nei fatti, nell’informativa, nei sistemi e nella risposta ai diritti.