Prova del consenso: registri del consenso pronti per un audit

La prova del consenso è un registro che mostra chi ha acconsentito, quando, a che cosa e in che modo, così puoi dimostrare la validità del consenso se te lo chiedono un’autorità di controllo o un visitatore. Ai sensi dell’articolo 7, paragrafo 1, del Regolamento generale sulla protezione dei dati (GDPR), quest’onere spetta a te. Un buon registro collega un ID pseudonimo a una marca temporale, alla versione esatta del banner mostrato, alle scelte per categoria, alla modalità utilizzata e alle regole regionali applicate.

Perché ti serve una prova del consenso?

Perché il GDPR pone l’onere della prova a carico dell’organizzazione, non del visitatore. L’articolo 7, paragrafo 1, stabilisce che, quando il trattamento si basa sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha acconsentito, e l’articolo 5, paragrafo 2, ti rende più in generale responsabile di dimostrare la conformità.

Per i cookie, l’obbligo di chiedere il consenso deriva dall’articolo 5, paragrafo 3, della direttiva ePrivacy, mentre lo standard del consenso deriva dal GDPR. Le linee guida dell’EDPB sul consenso lasciano a te la scelta del metodo, ma si aspettano che tu sia in grado di dimostrare come e quando il consenso è stato ottenuto e quali informazioni la persona ha ricevuto in quel momento.

I registri del consenso servono più spesso di quanto i team si aspettino: richieste delle autorità, reclami degli utenti, richieste di accesso degli interessati e due diligence durante round di finanziamento o acquisizioni. Come mostrano i provvedimenti sanzionatori del passato, le autorità esaminano con attenzione che cosa faceva realmente il banner, e un log ordinato è il modo più rapido per rispondere.

Che cosa deve contenere un registro del consenso?

Come minimo: chi (in forma pseudonima), quando, che cosa ha visto, che cosa ha scelto, come ha scelto e quali regole si applicavano. Ogni campo risponde a una domanda che un auditor probabilmente porrà.

Campo	Esempio	Perché è importante
ID del consenso	UUID casuale memorizzato in un cookie di prima parte	Collega il registro a un browser senza identificare la persona per nome
Marca temporale	2026-09-15T09:42:17Z (UTC)	Dimostra che il consenso è stato prestato prima dell’avvio di qualsiasi tracciamento
Versione del banner	banner-v14	Dimostra quali testi, pulsanti e layout sono stati mostrati
Versione dell’informativa	cookie-policy-2026-08	Mostra quali informazioni sono state fornite alla persona
Scelte per categoria	Preferenze sì, analisi sì, marketing no	Dimostra un consenso specifico e granulare
Modalità	Accetta tutto, rifiuta tutto, preferenze salvate, segnale GPC	Dimostra un’azione positiva anziché il silenzio
Area geografica e regole applicate	UE, opt-in GDPR	Mostra quale regime giuridico ha applicato il tuo banner
Lingua	de-DE	Conferma che le informazioni sono state mostrate nella lingua del visitatore
Sito	shop.example.com	Mantiene separati i registri di domini e proprietà diversi
Collegamento all’account (facoltativo)	ID utente interno dopo l’accesso	Sincronizza le scelte tra dispositivi e aiuta a rispondere alle richieste di accesso

Il campo della modalità è importante perché il consenso deve derivare da un atto positivo chiaro. Nella sentenza Planet49 (C-673/17) la CGUE ha confermato che le caselle preselezionate non valgono, quindi un registro che mostra un clic deliberato è molto più solido di uno che riporta soltanto “ha acconsentito”.

Registra ogni modifica come un nuovo evento invece di sovrascrivere quello precedente. Anche una revoca è un evento, così come un rinnovo quando chiedi di nuovo il consenso dopo una modifica dell’informativa.

Escludi ciò che non ti serve. Memorizza l’area geografica derivata anziché l’indirizzo IP completo e tieni nomi e indirizzi email fuori dal log del consenso. La minimizzazione dei dati (articolo 5, paragrafo 1, lettera c) si applica alle tue prove come a qualsiasi altra cosa.

Come dimostri che cosa ha visto davvero il visitatore?

Gestisci le versioni e archivia ogni configurazione del banner e ogni cookie policy. Un registro che riporta banner-v14 è utile solo se puoi esibire banner-v14 esattamente come appariva, comprese le etichette dei pulsanti, le categorie, gli elenchi dei fornitori e ogni variante linguistica.

Regole pratiche per farlo funzionare:

• Tratta i testi e le impostazioni del banner come contenuti versionati, con un registro delle modifiche e un responsabile dell’approvazione identificato.
• Conserva un’istantanea renderizzata di ogni versione in ogni lingua.
• Conserva i risultati delle scansioni da cui derivava l’elenco dei cookie in quel momento; un audit dei cookie periodico li produce.
• Aggiorna la versione ogni volta che cambiano finalità, fornitori o testi, e chiedi di nuovo il consenso quando la modifica è sostanziale.

Perché la protezione dalle manomissioni è importante?

Un log del consenso che puoi modificare senza lasciare traccia è una prova debole. Se i registri possono essere cambiati a posteriori, un auditor non è in grado di distinguere un log autentico da uno ritoccato poco prima di un’indagine.

I log a prova di manomissione rendono rilevabili le modifiche. La tecnica più comune è una catena di hash: ogni registro contiene un hash crittografico del registro precedente, quindi modificare o eliminare una qualsiasi voce invalida tutti gli hash successivi.

import { createHash } from 'node:crypto';

type Category = 'necessary' | 'preferences' | 'analytics' | 'marketing';

interface ConsentRecord {
  consentId: string;
  timestamp: string;
  bannerVersion: string;
  region: string;
  method: 'accept_all' | 'reject_all' | 'save_preferences' | 'gpc';
  choices: Record<Category, boolean>;
  prevHash: string; // hash del registro precedente nella catena
}

function hashRecord(record: ConsentRecord): string {
  // In produzione usa una serializzazione canonica, così l'ordine delle chiavi non può cambiare l'hash
  return createHash('sha256').update(JSON.stringify(record)).digest('hex');
}

Abbina la catena a uno storage append-only e a permessi di scrittura strettamente limitati. Copia periodicamente l’hash più recente in un sistema separato o in un’esportazione firmata, così nemmeno un amministratore può riscrivere la cronologia senza che emerga la discrepanza.

Per quanto tempo conservare i registri del consenso?

Conserva ogni registro finché ti basi su quel consenso, più un periodo limitato successivo. Il GDPR non fissa un numero di anni.

Secondo le linee guida dell’EDPB, l’obbligo di dimostrare il consenso dura quanto il trattamento. Una volta concluso il trattamento, conserva la prova solo per il tempo necessario ad adempiere obblighi di legge o a far fronte a eventuali contestazioni in sede giudiziaria. Indica il periodo scelto nella tua policy di conservazione e applicalo in modo automatico.

Decidi anche ogni quanto chiedere di nuovo il consenso. Basarsi a tempo indeterminato su un singolo clic è difficile da difendere, e alcune autorità pubblicano indicazioni sulla frequenza dei rinnovi, quindi verifica che cosa si applica nei tuoi mercati.

Checklist per essere pronti a un audit

Rispondi a queste domande prima che lo faccia un auditor:

1. Dato un ID del consenso, riesci a recuperare in ordine tutti gli eventi associati?
2. Riesci a esibire la versione esatta del banner e dell’informativa che la persona ha visto?
3. Riesci a dimostrare che gli script non essenziali non sono stati eseguiti prima del consenso?
4. I rifiuti e le revoche sono registrati con la stessa chiarezza delle accettazioni?
5. Ti accorgeresti di un registro modificato o eliminato, e chi può scrivere nel log?
6. Il log è minimizzato, ad accesso controllato e coperto da una regola di conservazione?
7. Riesci a esportare i registri di una persona in un formato leggibile per una richiesta di accesso?

Se non riesci a rispondere a tutte e sette, parti dalle lacune più vicine alle condizioni per un consenso valido: che cosa ha visto la persona e come ha agito.

In sintesi

La prova del consenso consiste nel saper raccontare una storia completa e credibile sulla scelta di qualsiasi visitatore: che cosa ha visto, che cosa ha fatto, quando e secondo quali regole. Minimizza ciò che memorizzi, gestisci le versioni di ciò che mostri e rendi il log a prova di manomissione. Strumenti come Cookiesh possono automatizzare la tenuta dei registri con log del consenso immutabili e concatenati tramite hash.

Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.