Il consenso, inizialmente rilasciato da un cliente ad una società anche per attività promozionali di terzi, non può estendere la sua efficacia anche a successive cessioni ad ulteriori titolari. Tali cessioni infatti non sarebbero supportate dal necessario consenso, specifico ed informato dell'interessato.
Il consenso, infatti, va acquisito per ciascun passaggio dei dati tra più titolari.
Sulla base di questo principio il Garante privacy ha sanzionato Iren Mercato S.p.A. per 3 milioni di euro per non aver verificato che tutti i passaggi dei dati dei destinatari delle promozioni fossero coperti da consenso.
L'importante principio segue diverse segnalazioni arrivate al Garante che lo hanno portato ad accertare che la società aveva infatti trattato dati personali per attività di telemarketing, che non aveva raccolto direttamente, ma che aveva acquisito da altre fonti.