Modelli e registrazioni · ISO 27701 · Punto A.1
Modello di registro dei consensi ISO 27701
La prova che ogni persona ha detto sì, a che cosa ha detto sì e quando, e che la sua revoca è stata rispettata. Senza registro, il consenso non si può dimostrare.
In una frase
Il registro dei consensi conserva, per ogni interessato, il momento, il mezzo, la finalità accettata, la versione dell’informativa e l’eventuale revoca, perché l’articolo 7.1 del GDPR obbliga il titolare a poter dimostrare il consenso quando è la base del trattamento e la ISO/IEC 27701 inserisce la sua raccolta e registrazione tra i controlli della tabella A.1.
- Dove lo richiede la norma
- ISO 27701 · Punto A.1 Si cita l’edizione 2025: i numeri da 4 a 10 sono capitoli; A.1, A.2 e A.3 sono le tabelle dell’Appendice A con i controlli del titolare, del responsabile e comuni a entrambi.
- Tipo di informazione
- Registrazione obbligatoria Registrazione da conservare quando il trattamento si basa sul consenso (art. 7.1 GDPR; tabella A.1)
- Chi lo compila
- Il sistema che raccoglie il consenso Il marketing o l’area che lo chiede risponde della correttezza del testo
- Quando
- Nel momento in cui viene dato o revocato In automatico, non con un’annotazione successiva
- Per quanto tempo si conserva
- Per la durata del trattamento e il periodo necessario a dimostrarlo Lo stabilisce l’organizzazione in base ai termini di prescrizione di eventuali reclami
Che cosa richiede la norma
Che cosa impone la norma ISO 27701 e che cosa lascia alla sua discrezione
La norma chiede al titolare di stabilire quando ha bisogno del consenso, di ottenerlo e di poterlo dimostrare. Vale solo per i trattamenti la cui base giuridica è il consenso: molti si fondano sul contratto, su un obbligo di legge o sul legittimo interesse, e chiedere un consenso non necessario genera confusione.
Il GDPR richiede che il consenso sia libero, specifico, informato e inequivocabile, che revocarlo sia facile quanto darlo (art. 7.3) e che, se richiesto in un documento che riguarda anche altre questioni, sia chiaramente distinguibile (art. 7.2).
Il registro deve permettere di sapere quale testo ha visto la persona: se la clausola cambia, bisogna conservarne la versione precedente.
Struttura
Campi che il modello deve contenere
- Identificazione dell’interessato
- Finalità accettate, una per una
- Data, ora e canale
- Versione dell’informativa mostrata
- Forma della dichiarazione: casella, firma, azione positiva
- Revoca: data e canale
- Trattamenti e sistemi interessati dalla revoca
Esempio
Esempio: newsletter commerciale di un negozio online fittizio
Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.
| Campo | Contenuto |
|---|---|
| Interessata | Cliente n. 48213 · Negozio Erica (fittizio) |
| Finalità | Invio di newsletter con offerte (casella separata dall’acquisto) |
| Data e canale | 14 febbraio 2026, 19:42 · Modulo di registrazione sul sito |
| Testo | Informativa v2.1 |
| Revoca | 3 luglio 2026 · Link di disiscrizione dalla newsletter · Disiscrizione applicata sulla piattaforma di invio lo stesso giorno |
In audit
Errori che gli auditor rilevano più spesso
- Caselle preselezionate o consenso accorpato all’accettazione delle condizioni.
- Non si conserva quale versione della clausola ha accettato ciascuna persona.
- La revoca viene annotata, ma il fornitore degli invii continua a mandare e-mail.
- Si chiede il consenso per trattamenti che hanno già un’altra base giuridica.
In Kimobox
Come si gestisce questa registrazione in Kimobox
- 1I moduli registrano il consenso con data, canale e versione del testo come documento controllato.
- 2La revoca avvia un flusso con le attività per ogni sistema coinvolto e la relativa data di chiusura.
- 3Il registro di audit lascia traccia di chi ha cambiato che cosa e quando.
Domande frequenti
Cosa ci chiedono prima di iniziare
Serve il consenso per tutto?
No. È una delle sei basi giuridiche dell’articolo 6 del GDPR. Se il trattamento si fonda sul contratto o sulla legge, non c’è alcun consenso da registrare.
Basta il registro del sistema di posta?
Se conserva chi, quando, per cosa e con quale testo, e anche la revoca, può bastare. Non va bene un elenco di indirizzi senza tracciabilità.
Gestisca le registrazioni ISO 27701 senza modelli sparsi
Le mostriamo il modulo in funzione con dati simili ai suoi.
Continua a esplorare
Pagine correlate
Controlli per titolari e responsabili
L’Appendice A raccoglie i controlli di riferimento del PIMS per titolari e responsabili; l’Appendice B…
Modello di registro delle attività di trattamento ISO 27701
Che cosa deve contenere il registro delle attività di trattamento in un PIMS ISO 27701 e per l’art. 30 del…
Modello di inventario dei dati personali ISO 27701
Come impostare un inventario dei dati personali per un PIMS ISO 27701: dove si trovano i dati, in quali…
Modello di valutazione dei rischi per la privacy ISO 27701
Come documentare la valutazione dei rischi privacy della ISO 27701: criteri, rischio per le persone…
Fonti
Da dove arriva ogni dato
Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.
- Regolamento (UE) 2016/679, Regolamento generale sulla protezione dei dati (GDPR) EUR-Lex · 27 aprile 2016; applicabile dal 25 maggio 2018
- ISO/IEC 27701:2025 — Sistemi di gestione delle informazioni sulla privacy. Requisiti e linee guida ISO/IEC · Seconda edizione, ottobre 2025