Quando posso processar dados pessoais?

Seis fundamentos, e o consentimento é apenas um deles

O processamento de dados pessoais é permitido quando um dos seis fundamentos do artigo 6.º do RGPD é aplicável. O consentimento é o fundamento mais conhecido, mas não é o único e na prática muitas vezes não é o mais óbvio: um processamento também pode ser legítimo porque é necessário para a execução de um contrato, porque existe uma obrigação legal subjacente, para proteger um interesse vital, para o cumprimento de uma tarefa de interesse público, ou porque um interesse legítimo da organização pesa mais do que o interesse do titular dos dados em não ser processado.

Numa loja online ou prestador de serviços, geralmente surgem três desses fundamentos: o contrato (um cliente faz uma encomenda e os dados são necessários para poder entregar), a obrigação legal (uma fatura que deve ser guardada de acordo com as regras fiscais), e o interesse legítimo (por exemplo, segurança do website, ou uma newsletter para clientes existentes). O consentimento entra em jogo quando nenhum dos outros fundamentos se aplica, como no marketing dirigido a pessoas que ainda não são clientes — sendo que para esse consentimento vale que tem de ser específico, livremente dado e demonstrável.

Isto está previsto no artigo 6.º do RGPD

O artigo 6.º, n.º 1, do RGPD enumera os seis fundamentos sob as alíneas a) a f); qual fundamento se adequa a um processamento concreto resulta da natureza desse processamento e não de uma escolha que já estava pré-determinada. A Autoridade Nacional de Proteção de Dados fornece no seu website orientações adicionais sobre a aplicação destes fundamentos na prática.