I fondamenti di liceità del trattamento dei dati

Se la nostra attività necessita di trattare dei “dati personali” di persone fisiche, ormai sappiamo di dover fare riferimento al Regolamento Generale sulla Protezione dei Dati Personali ( GDPR ), il n. 679/2016, per essere certi della liceità del trattamento dei dati.

I “dati personali”, infatti, vanno « trattati in modo lecito, corretto e trasparente nei confronti dell’interessato ».

Conseguentemente possono essere solo « raccolti per finalità determinate, esplicite e legittime » e devono essere « pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati ».

Vale, in sostanza, il principio della « minimizzazione dei dati ».

Gli articoli 5, 6 e 7 del GDPR ci forniscono tutte le indicazioni per giungere a soddisfare tali requisiti.

Le finalità ammesse per un lecito trattamento dei dati personali

Per essere lecito il trattamento dei dati, ci spiega il Regolamento, occorre che:

• « l’interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità »;
• oppure « è necessario all’esecuzione di un contratto di cui l’interessato è parte »;
• oppure « è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento »;
• ancora, infine, « è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi » [1].

Nell’informativa da fornire agli interessati, dovrà essere dichiarato il presupposto che garantisce la liceità del trattamento dei dati.

Per assicurare la liceità del trattamento dei dati, inoltre, occorre che questi siano conservati « in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati » e che sia garantita « un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione accidentale ».

In sostanza, devono essere garantiti i principi della « integrità e riservatezza ».

E’ competenza e responsabilità a tutti gli effetti del “titolare del trattamento” il rispetto dei princìpi sulla liceità del trattamento dei dati personali.

–

Fonti e Note:

Credits: Photo by Tingey Injury Law Firm on Unsplash

[1] Una lista non esaustiva di alcuni dei contesti più comuni di legittimo interesse è rilevabile dal documento WP217 prodotto dal gruppo di lavoro A29WP (“Opinion 06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive 95/46/EC”):

• l’esercizio del diritto alla libertà di espressione o d’informazione, anche nei media e nelle arti;
• marketing diretto convenzionale e altre forme di marketing o pubblicità;
• messaggi non commerciali non richiesti, anche per campagne politiche o di beneficenza raccolta di fondi;
• prevenzione di frodi, abuso di servizi o riciclaggio di denaro;
• monitoraggio dei dipendenti per scopi di sicurezza o di gestione;
• sicurezza fisica, informatica e di rete;
• trattamento per scopi storici, scientifici o statistici;
• trattamento a fini di ricerca ( inclusa la ricerca di marketing ).

>>> Approfondimento: il Documento WP217 [PDF, EN]