In questa guida
In breve: il GDPR chiede al titolare di poter dimostrare che il visitatore ha dato il consenso (articolo 7, paragrafo 1). Il modo più semplice è un registro dei consensi: per ogni scelta fatta sul banner si salvano data, scelta, categorie accettate e cosa mostrava il banner in quel momento, usando il minimo di dati personali necessario.
Perché serve
L'articolo 7 del GDPR stabilisce che, quando un trattamento si basa sul consenso, il titolare deve essere in grado di dimostrare che l'interessato lo ha prestato. È un'applicazione del principio di responsabilizzazione (articolo 5, paragrafo 2): non basta rispettare le regole, bisogna poterlo provare.
Senza un registro, se un utente o il Garante chiedono conto di un consenso, il titolare ha solo il cookie salvato nel browser del visitatore, che non può consultare né esibire.
Cosa registrare per ogni scelta
- Data e ora della scelta
- Un identificativo casuale del consenso, lo stesso salvato nel cookie del visitatore
- La scelta: accetta tutti, rifiuta tutti o personalizzata
- Le categorie accettate, una per una
- La versione del banner e dei testi mostrati
- L'indirizzo IP troncato, solo come indizio di provenienza
Cosa non registrare
Il registro serve a dimostrare un consenso, non a identificare il visitatore. Per il principio di minimizzazione (articolo 5, paragrafo 1, lettera c) del GDPR) è meglio evitare:
- l'indirizzo IP completo: basta una versione troncata, ad esempio con l'ultimo blocco azzerato;
- email, nomi o altri dati che collegano la scelta a una persona precisa;
- la cronologia di navigazione del visitatore.
Per quanto tempo conservarlo
Nessuna norma fissa una durata minima per il registro dei consensi. Il titolare la stabilisce applicando il principio di limitazione della conservazione: i dati servono finché c'è bisogno di dimostrare il consenso. Due riferimenti utili:
- il consenso ai cookie non va richiesto prima di 6 mesi, secondo le linee guida del Garante;
- molte piattaforme di gestione del consenso conservano il registro per 12 mesi, un periodo che copre più rinnovi del consenso.
Scaduto il periodo, le righe vanno cancellate in automatico.
Registro dei consensi incluso
Cookie Smart registra ogni scelta con IP troncato e copia del banner mostrato, la conserva 12 mesi e ti fa esportare il registro in CSV quando serve.
Come gestirlo nella pratica
-
1
Registra ogni scelta lato server
Ogni clic su «Accetta», «Rifiuta» o «Salva preferenze» genera una riga che non si modifica più: le scelte successive si aggiungono. -
2
Limita chi può consultarlo
Il registro contiene dati personali, anche se pseudonimi: dovrebbero accedervi solo il titolare e chi ne ha bisogno. -
3
Tieni traccia degli export
Ogni download del registro andrebbe registrato a sua volta: chi, quando, quale periodo. -
4
Cancella in automatico
Allo scadere del periodo di conservazione le righe vanno eliminate senza interventi manuali.
Se arriva una richiesta
Se un visitatore chiede di sapere quale consenso ha dato, l'identificativo salvato nel cookie del suo browser permette di trovare la riga corrispondente nel registro. Se è il Garante a chiedere, un export del periodo interessato, con la configurazione del banner di quei giorni, documenta come venivano raccolti i consensi.
Domande frequenti
Il registro dei consensi è obbligatorio?
Il GDPR non usa questa espressione, ma l'articolo 7 chiede al titolare di essere in grado di dimostrare che l'interessato ha prestato il consenso: un registro delle scelte è il modo più semplice per farlo.
Per quanto tempo si conserva?
Nessuna norma fissa una durata minima. Il titolare la stabilisce in base allo scopo, cioè dimostrare il consenso finché il trattamento è in corso, e al principio di limitazione della conservazione. Molte piattaforme usano 12 mesi.
Si può salvare l'indirizzo IP completo?
Non è necessario: per dimostrare una scelta basta un identificativo casuale del consenso, la data e una versione troncata dell'IP. Meno dati si conservano, minori sono i rischi.
Questa guida ha scopo informativo e non sostituisce una consulenza legale. I riferimenti normativi sono aggiornati alla data indicata in alto.