Liceità del trattamento
Quali sono le basi giuridiche del trattamento
Si pensa spesso che l’unica condizione che rende lecito il trattamento sia il consenso dell’interessato: questo luogo comune è fondamentalmente sbagliato e non soltanto ora con il GDPR ma anche prima della sua entrata in vigore.
Ci sono diverse basi giuridiche del trattamento. Quindi, la priorità è decidere quale base giuridica (o più di una base giuridica) può essere applicata affinché il trattamento sia lecito e rispetti i requisiti del GDPR.
Il GDPR prevede le seguenti basi giuridiche:
a. l’interessato ha prestato consenso al trattamento dei propri dati personali per una o più finalità
b. esecuzione di un contratto di cui l’interessato è parte o esecuzione di misure precontrattuali adottate su richiesta dello stesso (es.: per erogare un servizio)
c. adempimento di un obbligo legale al quale è soggetto il titolare del trattamento (es.: obblighi contabili)
d. salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica (es.: per erogare una prestazione sanitaria)
e. esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento (es.: attività istituzionali di un ente pubblico)
f. legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali (es.: salvaguardare un diritto in sede giudiziaria, attività di marketing diretto verso la clientela senza profilazione).
Queste basi giuridiche valgono per trattamenti di dati personali che non rientrano nella nozione di categorie particolari di dati personali o dati personali relativi a condanne penali e reati.
È importante definire la base giuridica del trattamento in sede di progettazione del trattamento che s’intende condurre (requisiti di «data protection by design» e preventiva analisi dei rischi) per valutare la sua fattibilità e liceità. La base giuridica deve essere menzionata nelle informazioni da fornire agli interessati e nel Registro delle attività di trattamento.
Per approfondire, consulta le FAQ oppure contattatami.