Articolo 6 GDPR - Liceità del trattamento

1. Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
a) l’interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità;
b) il trattamento è necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso;
c) il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento;
d) il trattamento è necessario per la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica;
e) il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento;
f) il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore.
La lettera f) del primo comma non si applica al trattamento di dati effettuato dalle autorità pubbliche nell’esecuzione dei loro compiti.
2. Gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto anche per le altre specifiche situazioni di trattamento di cui al capo IX.
3. La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita:
a) dal diritto dell’Unione; o
b) dal diritto dello Stato membro cui è soggetto il titolare del trattamento.
La finalità del trattamento è determinata in tale base giuridica o, per quanto riguarda il trattamento di cui al paragrafo 1, lettera e), è necessaria per l’esecuzione di un compito svolto nel pubblico interesse o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento. Tale base giuridica potrebbe contenere disposizioni specifiche per adeguare l’applicazione delle norme del presente regolamento, tra cui: le condizioni generali relative alla liceità del trattamento da parte del titolare del trattamento; le tipologie di dati oggetto del trattamento; gli interessati; i soggetti cui possono essere comunicati i dati personali e le finalità per cui sono comunicati; le limitazioni della finalità, i periodi di conservazione e le operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto, quali quelle per altre specifiche situazioni di trattamento di cui al capo IX. Il diritto dell’Unione o degli Stati membri persegue un obiettivo di interesse pubblico ed è proporzionato all’obiettivo legittimo perseguito.
4. Laddove il trattamento per una finalità diversa da quella per la quale i dati personali sono stati raccolti non sia basato sul consenso dell’interessato o su un atto legislativo dell’Unione o degli Stati membri che costituisca una misura necessaria e proporzionata in una società democratica per la salvaguardia degli obiettivi di cui all’articolo 23, paragrafo 1, al fine di verificare se il trattamento per un’altra finalità sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento tiene conto, tra l’altro:
a) di ogni nesso tra le finalità per cui i dati personali sono stati raccolti e le finalità dell’ulteriore trattamento previsto;
b) del contesto in cui i dati personali sono stati raccolti, in particolare relativamente alla relazione tra l’interessato e il titolare del trattamento;
c) della natura dei dati personali, specialmente se siano trattate categorie particolari di dati personali ai sensi dell’articolo 9, oppure se siano trattati dati relativi a condanne penali e a reati ai sensi dell’articolo 10;
d) delle possibili conseguenze dell’ulteriore trattamento previsto per gli interessati;
e) dell’esistenza di garanzie adeguate, che possono comprendere la cifratura o la pseudonimizzazione.

Considerando pertinenti

Domande frequenti

Risposte brevi alle domande più frequenti su questa disposizione. Costituiscono informazioni generali e non una consulenza legale.

Ai sensi del paragrafo 1, il trattamento è lecito solo se e nella misura in cui ricorre almeno una di sei condizioni, ossia il consenso, la necessità per l’esecuzione di un contratto di cui l’interessato è parte, l’adempimento di un obbligo legale, la salvaguardia di interessi vitali, l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, oppure il legittimo interesse su cui non prevalgano gli interessi o i diritti fondamentali dell’interessato. L’espressione nella misura in cui indica che ciascuna finalità del trattamento deve essere ricondotta a una base.

No, non nell’esecuzione dei loro compiti. Il secondo comma del paragrafo 1 esclude la lettera f) per il trattamento di dati effettuato dalle autorità pubbliche nell’esecuzione dei loro compiti, sul presupposto che spetti al legislatore fornire la loro base giuridica, di norma ai sensi delle lettere c) o e) lette in combinazione con il paragrafo 3.

Il trattamento deve essere necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, e su tale interesse non devono prevalere gli interessi o i diritti e le libertà fondamentali dell’interessato, con particolare peso quando l’interessato è un minore. Il considerando 47 indica il marketing diretto come esempio di possibile legittimo interesse, e il ricorso alla lettera f) fa scattare il diritto di opposizione dell’interessato di cui all’articolo 21, paragrafo 1.

Il paragrafo 3 esige che la base su cui si fonda il trattamento di cui al paragrafo 1, lettere c) ed e), sia stabilita dal diritto dell’Unione o dal diritto dello Stato membro cui è soggetto il titolare del trattamento, e che tale diritto persegua un obiettivo di interesse pubblico e sia proporzionato all’obiettivo legittimo perseguito. Il paragrafo 2 consente inoltre agli Stati membri di mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione del regolamento a questi due titoli.

Laddove l’ulteriore trattamento non sia basato sul consenso dell’interessato o su un atto legislativo dell’Unione o degli Stati membri che salvaguardi gli obiettivi di cui all’articolo 23, paragrafo 1, il paragrafo 4 impone al titolare del trattamento di verificarne la compatibilità con la finalità iniziale. La verifica tiene conto, tra l’altro, del nesso tra le finalità, del contesto della raccolta, della natura dei dati, in particolare se si tratti di categorie particolari di dati personali ai sensi dell’articolo 9 o di dati di cui all’articolo 10, delle possibili conseguenze per gli interessati e dell’esistenza di garanzie quali la cifratura o la pseudonimizzazione.