Articolo 6 del GDPR: sei basi giuridiche, non soltanto il consenso

L'articolo 6 del GDPR elenca sei basi giuridiche per il trattamento dei dati personali: consenso, contratto, obbligo legale, interessi vitali, compito di interesse pubblico e legittimo interesse. Molte persone ritengono erroneamente che il consenso sia l'unica opzione, ma è soltanto una delle sei. Ad esempio, un datore di lavoro che tratta dati per l'elaborazione delle retribuzioni non ha bisogno del consenso: si basa su un obbligo legale o su un contratto. La differenza fondamentale è che il consenso richiede un'azione chiara e affermativa da parte dell'interessato, mentre le altre basi derivano spesso da obblighi di legge o da esigenze organizzative.

Per eliminare le risposte errate in una domanda, verificare innanzitutto se il trattamento è richiesto dalla legge o da un contratto: in caso affermativo, il consenso non è necessario. In secondo luogo, ricordare che gli «interessi vitali» si applicano soltanto a situazioni di vita o di morte, come l'assistenza medica d'urgenza. In terzo luogo, il «legittimo interesse» è la base più ampia, ma non può prevalere sui diritti dell'interessato; spesso comprende la prevenzione delle frodi o il marketing diretto. Un rapido metodo di eliminazione: se lo scenario riguarda un'autorità pubblica, è probabile che la base sia il «compito di interesse pubblico», non il consenso.

Per mettersi alla prova, chiedersi: «Questo trattamento avviene in virtù di un obbligo legale, di un contratto o della necessità di salvare una vita?». In caso affermativo, escludere il consenso. Come espediente mnemonico, pensare alle sei basi come «C-C-O-I-C-L»: consenso, contratto, obbligo legale, interessi vitali, compito di interesse pubblico, legittimo interesse. Esercitarsi ad abbinare ogni base a un esempio concreto, come l'elaborazione delle retribuzioni (contratto/obbligo legale) rispetto all'iscrizione a una newsletter (consenso).