Art. 6 — Liceità del trattamento

Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni: a) l'interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità; b) il trattamento è necessario all'esecuzione di un contratto di cui l'interessato è parte o all'esecuzione di misure precontrattuali adottate su richiesta dello stesso; c) il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento; d) il trattamento è necessario per la salvaguardia degli interessi vitali dell'interessato o di un'altra persona fisica; e) il trattamento è necessario per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento; f) il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato che richiedono la protezione dei dati personali, in particolare se l'interessato è un minore. La lettera f) del primo comma non si applica al trattamento di dati effettuato dalle autorità pubbliche nell'esecuzione dei loro compiti.

Gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l'applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto anche per le altre specifiche situazioni di trattamento di cui al capo IX.

La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita: a) dal diritto dell'Unione; o b) dal diritto dello Stato membro cui è soggetto il titolare del trattamento. La finalità del trattamento è determinata in tale base giuridica o, per quanto riguarda il trattamento di cui al paragrafo 1, lettera e), è necessaria per l'esecuzione di un compito svolto nel pubblico interesse o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento. Tale base giuridica potrebbe contenere disposizioni specifiche per adeguare l'applicazione delle norme del presente regolamento, tra cui: le condizioni generali relative alla liceità del trattamento da parte del titolare del trattamento; le tipologie di dati oggetto del trattamento; gli interessati; i soggetti cui possono essere comunicati i dati personali e le finalità per cui sono comunicati; le limitazioni della finalità, i periodi di conservazione e le operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto, quali quelle per altre specifiche situazioni di trattamento di cui al capo IX. Il diritto dell'Unione o degli Stati membri persegue un obiettivo di interesse pubblico ed è proporzionato all'obiettivo legittimo perseguito.

Laddove il trattamento per una finalità diversa da quella per la quale i dati personali sono stati raccolti non sia basato sul consenso dell'interessato o su un atto legislativo dell'Unione o degli Stati membri che costituisca una misura necessaria e proporzionata in una società democratica per la salvaguardia degli obiettivi di cui all'articolo 23, paragrafo 1, al fine di verificare se il trattamento per un'altra finalità sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento tiene conto, tra l'altro: a) di ogni nesso tra le finalità per cui i dati personali sono stati raccolti e le finalità dell'ulteriore trattamento previsto; b) del contesto in cui i dati personali sono stati raccolti, in particolare relativamente alla relazione tra l'interessato e il titolare del trattamento; c) della natura dei dati personali, specialmente se siano trattate categorie particolari di dati personali ai sensi dell'articolo 9, oppure se siano trattati dati relativi a condanne penali e a reati ai sensi dell'articolo 10; d) delle possibili conseguenze dell'ulteriore trattamento previsto per gli interessati; e) dell'esistenza di garanzie adeguate, che possono comprendere la cifratura o la pseudonimizzazione.

Testo vigente al 4 maggio 2016. Fonte: EUR-Lex, © Unione europea, dati aperti con licenza CC BY 4.0. Solo il testo pubblicato nella Gazzetta ufficiale dell’Unione europea ha carattere di ufficialità. Fonti e licenze →

Spiegazione

Un’azienda o un ente può usare dati personali solo se ha una ragione ammessa, come il consenso, la necessità di fornire un servizio richiesto o un obbligo di legge. In alcuni casi il trattamento serve a proteggere una persona o a svolgere un compito pubblico; un’impresa può anche invocare un proprio interesse legittimo, ma deve verificare che non prevalgano i diritti della persona. Per gli enti pubblici che svolgono i loro compiti, quest’ultima possibilità non vale. Se i dati vengono riutilizzati per uno scopo diverso, occorre valutarne la compatibilità considerando, tra l’altro, il contesto, il tipo di dati, le conseguenze e le garanzie adottate.

Perché esiste questa norma

La norma richiede che ogni uso dei dati abbia una base concreta e verificabile, così da impedire trattamenti arbitrari o non necessari. Nel bilanciare interessi e diritti, mira a proteggere le persone e, per obblighi e compiti pubblici, a fare sì che le regole siano definite da una legge proporzionata a un obiettivo di interesse pubblico.

Domande frequenti

Devo dare sempre il consenso perché un’azienda usi i miei dati?

No. Il consenso è una possibile base, ma il trattamento può essere lecito anche, per esempio, se è necessario per un contratto, per rispettare un obbligo di legge o per un interesse legittimo che non prevalga sui tuoi diritti.

Un negozio può usare il mio indirizzo per spedirmi un acquisto?

Sì, se usare quell’indirizzo è necessario per eseguire il contratto di vendita, per esempio per consegnarti il prodotto. Questo non autorizza automaticamente a usarlo per scopi diversi.

Un ente pubblico può trattare i miei dati senza chiedermi il consenso?

Può farlo quando il trattamento è necessario per un compito di interesse pubblico o per l’esercizio di pubblici poteri, oppure per adempiere un obbligo di legge. La base deve trovare fondamento nel diritto dell’Unione o dello Stato membro.

Un’azienda può usare i miei dati per inviarmi pubblicità perché è nel suo interesse?

Non basta che l’azienda lo ritenga utile. Deve valutare se il trattamento è necessario e se i tuoi interessi o diritti non prevalgono; la norma richiede particolare attenzione quando l’interessato è minorenne.

Un’organizzazione può riutilizzare per un nuovo scopo i dati che le avevo già fornito?

Dipende dalla compatibilità del nuovo scopo con quello iniziale, salvo che il riutilizzo si basi sul tuo consenso o su una specifica misura legislativa. Si considerano, tra l’altro, il rapporto con l’organizzazione, la natura dei dati, le conseguenze e le garanzie, come cifratura o pseudonimizzazione.

Richiamato da

Capo II — Principi