Il Diritto di Opposizione secondo il GDPR (ex art. 21)

Data Protection Forum 2025

1.     Inquadramento normativo

L'art. 21 del Regolamento (UE) 2016/679, di seguito GDPR, riconosce agli interessati il diritto di opporsi in qualsiasi momento, per motivi connessi alla loro situazione particolare, al trattamento dei dati personali che li riguardano ai sensi dell'art. 6, par. 1, lett. e) (esecuzione di un compito di interesse pubblico o esercizio di pubblici poteri) o lett. f) (interesse legittimo del titolare o di terzi). In tal caso, il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che dimostri l'esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, diritti e libertà dell'interessato oppure per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria. Il secondo comma dell'articolo amplia la portata del diritto, riconoscendo agli interessati la facoltà di opporsi, in qualsiasi momento, al trattamento dei dati personali per finalità di marketing diretto, compresa la profilazione nella misura in cui sia connessa a tale marketing. I considerando 69 e 70 del GDPR, invece, ribadiscono il principio secondo cui l’interessato deve poter opporsi, in particolare, quando il trattamento avviene sulla base dell’interesse legittimo del titolare e il trattamento è effettuato per finalità di marketing diretto.

2.     Profili procedurali

Ai sensi dell’art. 12 GDPR, il titolare del trattamento è tenuto a facilitare l’esercizio del diritto di opposizione e a fornire riscontro senza ingiustificato ritardo, al più tardi entro un mese dalla ricezione della richiesta. Il termine può essere prorogato di due mesi in casi complessi, previa comunicazione motivata. L’onere della prova circa la liceità del trattamento, anche in caso di opposizione, grava sul titolare, che deve dimostrare la prevalenza dei propri interessi legittimi su quelli dell’interessato. Nel caso in cui il trattamento sia connesso a finalità di marketing diretto, il GDPR è tassativo: in presenza di opposizione, il trattamento deve cessare senza possibilità di bilanciamento.

3.     Analisi comparata e problemi attuali

A livello comparato, si registra una maggiore effettività del diritto di opposizione in Paesi come la Germania, dove le Autorità di controllo applicano rigidamente il principio di minimizzazione dei dati (art. 5 GDPR) e la trasparenza nelle basi giuridiche utilizzate. Negli Stati Uniti, invece, l’assenza di un quadro federale unitario in materia di privacy riduce l’efficacia di strumenti simili all’opposizione, relegando la protezione al livello contrattuale o settoriale (es. California Consumer Privacy Act). Permangono criticità legate all’usabilità dei meccanismi di opposizione: numerose piattaforme digitali, anche a seguito del Digital Markets Act (DMA), continuano a ostacolare l’opt-out attraverso interfacce dissuasive (dark patterns), violando il principio di correttezza. L’integrazione tra il diritto di opposizione e le nuove tecnologie, come i sistemi di intelligenza artificiale, pone ulteriori interrogativi. Le decisioni algoritmiche, se basate su profilazione, devono essere trasparenti e revocabili: tuttavia, la complessità dei sistemi di IA ad autoapprendimento compromette la possibilità effettiva di opporsi a singoli trattamenti.

4.     Conclusioni

Per i titolari del trattamento:

• è essenziale effettuare un bilanciamento documentato degli interessi (legitimate interest assessment) quando si invoca l’art. 6, par. 1, lett. f) GDPR;

• implementare meccanismi di opposizione chiari, accessibili e gratuiti (es. link diretto nelle comunicazioni promozionali, interfaccia user-friendly);

• prevedere una risposta automatizzata o centralizzata alle richieste di opposizione, con tracciabilità della gestione.

  
  

Per gli interessati e i Data Protection Officer (DPO):

• verificare le informative privacy per accertare la base giuridica del trattamento;

• esercitare l’opposizione mediante canali tracciabili (es. PEC, raccomandata, portale dedicato).

• segnalare eventuali inadempienze all’Autorità garante competente.

In conclusione, si può affermare che il diritto di opposizione ex art. 21 GDPR costituisce uno strumento essenziale per il controllo dei dati personali da parte dell’interessato. Tuttavia, la sua effettività dipende da una combinazione di consapevolezza, accessibilità tecnica e vigilanza regolatoria.

Di GDPR, protezione dei dati, cybersecurity e implicazioni correlate alla diffusione delle tecnologie basate sull'Intelligenza Artificiale parleremo il prossimo 06 giugno 2025 al Data Protection Forum, dalle ore 09:00 presso l'Auditorium Fondazione Cassamarca di Treviso. Approfitta di questa opportunità formativa dedicata ad imprenditori, manager, dirigenti e responsabili sicurezza informatica iscrivendoti subito: clicca sul pulsante qui sotto!

 

Vanessa Maria Cunico

Redazione LexTech Hub

Iscriviti subito!