Principi e basi giuridiche

I principi dell’articolo 5

• Liceità, correttezza e trasparenza.
• Limitazione della finalità: finalità determinate, esplicite e legittime, senza trattamenti successivi incompatibili.
• Minimizzazione dei dati: adeguati, pertinenti e limitati al necessario.
• Esattezza: esatti e, se necessario, aggiornati.
• Limitazione della conservazione: in forma identificabile non oltre il necessario.
• Integrità e riservatezza: una sicurezza adeguata.
• Responsabilizzazione: il titolare è competente per il rispetto dei principi e deve essere in grado di comprovarlo.

Le sei basi giuridiche

L’articolo 6, paragrafo 1, prevede sei basi: consenso; contratto; obbligo legale; interessi vitali; esecuzione di un compito di interesse pubblico; e legittimo interesse, che le autorità pubbliche non possono invocare per i trattamenti effettuati nell’esecuzione dei loro compiti. La base va scelta prima di iniziare il trattamento, documentata e spiegata nell’informativa. Non andrebbe cambiata in seguito solo perché la prima scelta si rivela scomoda.

Il consenso deve essere libero, specifico, informato e inequivocabile, espresso con un atto positivo chiaro, e revocabile con la stessa facilità con cui è stato prestato. In presenza di un evidente squilibrio, come tra datore di lavoro e dipendente, difficilmente è libero. Il legittimo interesse richiede una verifica in tre fasi — finalità, necessità e bilanciamento — da documentare.

Categorie particolari e dati giudiziari

L’articolo 9 vieta di trattare dati che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l’appartenenza sindacale, nonché dati genetici, dati biometrici intesi a identificare una persona, dati relativi alla salute e dati relativi alla vita o all’orientamento sessuale, salvo che si applichi una delle condizioni dell’articolo 9, paragrafo 2, come il consenso esplicito, il diritto del lavoro e della protezione sociale, gli interessi vitali o un interesse pubblico rilevante. I dati relativi a condanne e reati (articolo 10) richiedono il controllo dell’autorità pubblica o una base nel diritto dell’Unione o degli Stati membri. L’età per il consenso dei minori ai servizi online va da 13 a 16 anni a seconda dello Stato membro (in Italia, 14).