Articolo 9 GDPR - Trattamento di categorie particolari di dati personali

1. È vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.
2. Il paragrafo 1 non si applica se si verifica uno dei seguenti casi:
a) l’interessato ha prestato il proprio consenso esplicito al trattamento di tali dati personali per una o più finalità specifiche, salvo nei casi in cui il diritto dell’Unione o degli Stati membri dispone che l’interessato non possa revocare il divieto di cui al paragrafo 1;
b) il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato;
c) il trattamento è necessario per tutelare un interesse vitale dell’interessato o di un’altra persona fisica qualora l’interessato si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso;
d) il trattamento è effettuato, nell’ambito delle sue legittime attività e con adeguate garanzie, da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali, a condizione che il trattamento riguardi unicamente i membri, gli ex membri o le persone che hanno regolari contatti con la fondazione, l’associazione o l’organismo a motivo delle sue finalità e che i dati personali non siano comunicati all’esterno senza il consenso dell’interessato;
e) il trattamento riguarda dati personali resi manifestamente pubblici dall’interessato;
f) il trattamento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali;
g) il trattamento è necessario per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato;
h) il trattamento è necessario per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali sulla base del diritto dell’Unione o degli Stati membri o conformemente al contratto con un professionista della sanità, fatte salve le condizioni e le garanzie di cui al paragrafo 3;
i) il trattamento è necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell’assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell’Unione o degli Stati membri che prevede misure appropriate e specifiche per tutelare i diritti e le libertà dell’interessato, in particolare il segreto professionale;
j) il trattamento è necessario a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici in conformità dell’articolo 89, paragrafo 1, sulla base del diritto dell’Unione o nazionale, che è proporzionato alla finalità perseguita, rispetta l’essenza del diritto alla protezione dei dati e prevede misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato.
3. I dati personali di cui al paragrafo 1 possono essere trattati per le finalità di cui al paragrafo 2, lettera h), se tali dati sono trattati da o sotto la responsabilità di un professionista soggetto al segreto professionale conformemente al diritto dell’Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti o da altra persona anch’essa soggetta all’obbligo di segretezza conformemente al diritto dell’Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti.
4. Gli Stati membri possono mantenere o introdurre ulteriori condizioni, comprese limitazioni, con riguardo al trattamento di dati genetici, dati biometrici o dati relativi alla salute.

Considerando pertinenti

Domande frequenti

Risposte brevi alle domande più frequenti su questa disposizione. Costituiscono informazioni generali e non una consulenza legale.

Il paragrafo 1 vieta il trattamento dei dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l’appartenenza sindacale, nonché il trattamento dei dati genetici, dei dati biometrici intesi a identificare in modo univoco una persona fisica, dei dati relativi alla salute e dei dati relativi alla vita sessuale o all’orientamento sessuale della persona. Il divieto può venire meno soltanto qualora si verifichi una delle condizioni elencate al paragrafo 2, e il considerando 51 chiarisce che le regole generali del regolamento, comprese le condizioni di liceità del trattamento, continuano ad applicarsi accanto a questi requisiti specifici.

Sì, in linea di principio. L’articolo 9, paragrafo 2, lettera a) esige il consenso esplicito al trattamento per una o più finalità specifiche, formulazione più rigorosa della definizione generale di consenso contenuta nell’articolo 4, punto 11), che deve comunque essere soddisfatta insieme alle condizioni dell’articolo 7. Il diritto dell’Unione o degli Stati membri può tuttavia disporre che l’interessato non possa in alcun modo far venire meno il divieto, ipotesi nella quale nemmeno il consenso esplicito è disponibile.

L’articolo 9, paragrafo 2, lettera e) fa venire meno il divieto soltanto quando i dati sono stati resi manifestamente pubblici dall’interessato stesso. La pubblicazione da parte di un terzo non attiva l’eccezione, e l’avverbio «manifestamente» rimanda a un atto deliberato e univoco dell’interessato, non alla mera accessibilità dei dati.

L’articolo 9, paragrafo 2, lettera h) consente il trattamento necessario per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale, ovvero gestione dei sistemi e servizi sanitari o sociali, sulla base del diritto dell’Unione o degli Stati membri o conformemente al contratto con un professionista della sanità. Il paragrafo 3 aggiunge che i dati devono essere trattati da o sotto la responsabilità di un professionista soggetto al segreto professionale, ovvero da altra persona soggetta a un equivalente obbligo di segretezza conformemente al diritto dell’Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti.

Sì, ma soltanto entro i limiti del paragrafo 4, che consente agli Stati membri di mantenere o introdurre ulteriori condizioni, comprese limitazioni, unicamente con riguardo ai dati genetici, ai dati biometrici e ai dati relativi alla salute. Per le altre categorie elencate al paragrafo 1 le eccezioni del paragrafo 2 sono esaustive a livello di Unione, sebbene diverse di esse dipendano a loro volta da una base nel diritto dell’Unione o degli Stati membri.