Quando posso trattare dati personali?

Sei fondamenti, e il consenso è solo uno di essi

Il trattamento dei dati personali è consentito nel momento in cui si applica uno dei sei fondamenti di cui all'articolo 6 del GDPR. Il consenso è il fondamento più noto, ma non l'unico e nella pratica spesso non il più ovvio: un trattamento può essere legittimo anche perché è necessario per l'esecuzione di un contratto, perché c'è un obbligo legale dietro di esso, per proteggere un interesse vitale, per l'adempimento di un compito di interesse pubblico, oppure perché un interesse legittimo dell'organizzazione prevale sull'interesse della persona interessata a non essere sottoposta al trattamento.

Nel caso di un negozio online o di un fornitore di servizi, di solito ricorrono tre di questi fondamenti: il contratto (un cliente ordina qualcosa e i dati sono necessari per poter consegnare), l'obbligo legale (una fattura che secondo le norme fiscali deve essere conservata), e l'interesse legittimo (ad esempio la sicurezza del sito web, o una newsletter ai clienti esistenti). Il consenso entra in gioco non appena nessuno degli altri fondamenti si applica, come nel caso del marketing rivolto a persone che non sono ancora clienti — per il quale il consenso deve essere specifico, libero e provabile.

Questo è stabilito nell'articolo 6 del GDPR

L'articolo 6, paragrafo 1, del GDPR elenca i sei fondamenti alle lettere da a a f; quale fondamento si applica a un trattamento concreto dipende dalla natura del trattamento stesso e non da una scelta già stabilita in precedenza. L'Autorità per la protezione dei dati personali fornisce sul suo sito web ulteriori chiarimenti sull'applicazione di questi fondamenti nella pratica.