Il titolare del trattamento può trattare i dati personali degli interessati quando questi, a seguito della lettura dell’Informativa,  rilasciano in maniera chiara ed inequivocabile il loro consenso.
Questa regola, comprensibilissima ai fini della protezione della sicurezza dell’interessato, non trova più il fondamento della sua applicazione quando il trattamento dei dati personali in questione presenta alcune caratteristiche.
L’Articolo 24 del Regolamento Europeo n. 679/16 elenca una serie di casi in cui la “necessità” del consenso viene meno.

Consenso GDPR non necessario

CASI NEI QUALI PUÒ ESSERE EFFETTUATO IL TRATTAMENTO SENZA CONSENSO

I dati personali sono di proprietà della persona fisica a cui essi si riferiscono perciò qualunque trattamento da parte di un terzo è lecito solamente se ricorrono delle circostanze particolari e questo varia a seconda che i dati personali siano “comuni” oppure particolari o giudiziari.

IL TRATTAMENTO DEI DATI PERSONALI COMUNI (NOME, INDIRIZZO, MAIL, TELEFONO, ECC)

Nell’ambito dei dati comuni la condizione di legittimità del trattamento dei dati altrui è il consenso. E’ proprio l’interessato in persona a fornire in maniera chiara ed inequivocabile il proprio consenso al trattamento dei suoi dati personali per una o più finalità ben precise che sono riportate nell’informativa.
Se ad esempio vogliamo utilizzare le mail dei nostri clienti per inviare annunci relativi a nuovi prodotti oppure offerte promozionali è sufficiente specificare e descrivere questa finalità nell’informativa e richiedere il consenso al nostro interessato. Il suo specifico consenso ci darà la possibilità (condizione di legittimità) di inviargli i messaggi promozionali in mail.
In tali casi l’interessato viene invitato a riflettere sul contenuto delle finalità ed il suo consenso dipende esclusivamente dal suo convincimento e dal suo interesse. L’interessato deve essere totalmente libero di esprimere o meno il suo consenso.
Scopri tutti i dettagli del kit Privacy

IL TRATTAMENTO DEI DATI PERSONALI COMUNI IN UNA ORGANIZZAZIONE

Calando il trattamento dei dati comuni in un contesto sociale/lavorativo sono molti i casi in cui il riferimento al consenso perde di significato. Nel linguaggio comune privacy si usa spesso dire “casi per i quali il consenso non è necessario”.
Di seguito elenchiamo i casi in cui il consenso al trattamento dei dati “comuni” non è necessario. I casi sono 5 ed in particolare:

Trattamento necessario all’esecuzione di un contratto

Se l’interessato ha sottoscritto un contratto con il titolare del trattamento per ottenere dei servizi e l’erogazione dei servizi ricorre necessariamente al trattamento dei dati personali dell’interessato allora il consenso al trattamento perde di significato. Un diniego infatti renderebbe impossibile, da parte del titolare del trattamento, l’erogazione dei servizi.
Caso classico potrebbe essere riferito alle spedizioni. Se il titolare del trattamento, per contratto, deve spedire prodotti presso l’indirizzo dell’interessato e costui non fornisce il consenso al trattamento dei propri dati relativi all’indirizzo allora il titolare non può più rispettare gli obblighi contrattuali

 

Trattamento necessario per adempiere ad un obbligo legale

Riguarda i casi in cui il trattamento dei dati personali deve essere effettuato dal titolare del trattamento in base ad un obbligo previsto dalla legge , da un regolamento o dalla normativa comunitaria.
Ad esempio se una persona fisica con partita IVA (interessato) acquista un prodotto da un’azienda (titolare del trattamento) i suoi dati personali comuni devono essere trattati allo scopo della fatturazione. Questo trattamento è imposto dalla legge e di conseguenza il titolare del trattamento non ha l’obbligo di richiedere il consenso all’interessato poiché l’interessato non avrebbe proprio la possibilità di negare il consenso in quanto la fattura deve essere emessa per legge.

Altri casi

Passando a qualche esempio che guarda anche scenari non necessariamente relegati in un ambito lavorativo troviamo il caso del trattamento necessario dei dati personali per la salvaguardia degli interessi vitali dell’interessato o di altra persona fisica. Nella società in cui viviamo infatti risulterebbe assurdo lasciar morire una persona per il semplice fatto che non ci ha rilasciato il consenso al necessario trattamento dei suoi dati comuni per salvarla.

 

Se il titolare del trattamento dei dati è investito di pubblici poteri ed esegue compiti di pubblico interesse anche in questo caso il trattamento dei dati personali comuni è lecito a prescindere dal consenso dell’interessato. L’interesse e la necessità della collettività infatti sono preminenti al diritto del singolo interessato.

 

Anche se il caso desta non poche perplessità e va gestito con la massima prudenza, il GDPR ritiene che il consenso non debba  richiesto all’interessato quando trattiamo i suoi dati personali (comuni) per il perseguimento di un nostro legittimo interesse. Questo caso richiede molte attenzione poiché l’interessato ha i suoi interessi, i suoi dititti, le sue libertà fondamentali il cui valore deve essere necessariamente bilanciato con l’interesse legittimo del titolare del trattamento. La condizione per la quale le libertà fondamentali dell’interessato non prevalgono sul legittimo interesse del titolare allora il trattamento dei dati può essere legittimo senza consenso. Il bilanciamento tra diritti ed interessi si complica quando l’interessato è un minore.
Scarica l'elenco generale dei contenuti

IL TRATTAMENTO DEI DATI PERSONALI PARTICOLARI E LE CONDIZIONI DI LICEITA’

I dati particolari ai quali fa riferimento il GDPR sono quei dati che, con il Codice Privacy, indicavamo come “sensibili”. L’art. 9 del GDPR, già al primo comma, parte con un divieto:
È vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona

 

Le condizioni di liceità del trattamento dei dati particolari indicate dal GDPR sono 10:
La prima è quella in cui è l’interessato stesso a fornire il consenso per una o più finalità ben precise. In tale circostanza i diritti e gli interessi della persona non sono in contrasto con quanto è previsto dal trattamento del titolare.
Poi troviamo il caso degli obblighi e dei diritti del titolare del trattamento. Guardiamo ad esempio al diritto del lavoro. Il trattamento dei dati particolari di un soggetto potrebbe essere imposto dalla legge come accade per le visite mediche obbligatorie previste dalla normativa per la salute e la sicurezza sul lavoro. Se il titolare del trattamento è riconosciuto dal diritto dell’Unione Europea o dagli Stati membri o da un contratto collettivo allora il trattamento dei dati relativi alla salute è già lecito.
Il trattamento dei dati particolari è lecito quando è necessario a tutelare gli interessi vitali dell’interessato stesso o di un’altra persona sempre che l’interessato non sia in condizioni fisiche giuridiche tali da prestare il consenso.
Nell’ambito di associazioni o altri organismi senza scopo di lucro che perseguono finalità politiche , filosofiche, religiose o sindacali il trattamento dei dati personali particolari di coloro che hanno regolari rapporti con l’associazione è lecito solamente se esistono adeguate garanzie. Tali dati però non possono essere comunicati all’esterno senza il consenso dell’interessato.
E’ lecito il trattamento di dati personali particolari che sono stati resi manifestatamente pubblici dall’interessato.
Se il trattamento dei dati perticolari è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria è lecito a prescindere dal consenso.
E’ lecito il trattamento necessario per motivi di interesse pubblico rilevante sempre che ci siano misure appropriate e specifiche per tutelare i diritti e gli interessi fondamentali dell’interessato.
E’ lecito il trattamento necessario per finalità di medicina preventiva o di medicina del lavoro, la valutazione della capacità lavorativa del dipendente, la diagnosi, l’assistenza o la terapia sanitara o sociale sulla base del diritto dell’Unione Europea o degli Stati membri o conformemente al contratto con un professionista della sanità.
E’ lecito il trattamento necessario per motivi di interesse pubblico nel settore della sanità pubblica come la protezione da gravi minacce per la salute a carattere transfrontaliero
Il trattamento dei dati particolari inoltre è lecito anche quando è necessario ai fini di archiviazione nell’interesse pubblico, di ricerca scientifica o storica o ai fini statistici.