Premessa
La presente relazione si pone in continuità con l’analisi del principio di accountability e degli obblighi del titolare del trattamento, approfondendo un aspetto fondamentale della disciplina della protezione dei dati personali: le basi giuridiche del trattamento.
La corretta individuazione della base giuridica costituisce il presupposto indefettibile di qualsiasi attività di trattamento e rappresenta una delle scelte più delicate che il titolare è chiamato a compiere nell’esercizio della propria responsabilità.
Il Regolamento (UE) 2016/679 subordina la liceità del trattamento dei dati personali alla sussistenza di una delle condizioni tassativamente elencate all’art. 6, applicando il principio del divieto generale con riserva di autorizzazione.
Non esiste, in altre parole, un diritto generale del titolare a trattare dati personali: ogni trattamento deve trovare fondamento in una specifica base giuridica, la cui scelta deve essere effettuata dal titolare prima dell’inizio del trattamento e deve essere comunicata all’interessato attraverso l’informativa.
Il fondamento di liceità: l’art. 6 del GDPR
L’art. 6 del GDPR costituisce la norma cardine in materia di liceità del trattamento. Il paragrafo 1 elenca sei basi giuridiche alternative, ciascuna delle quali è sufficiente a rendere lecito il trattamento. La Corte di Giustizia dell’Unione Europea ha più volte ribadito che tale elenco è esaustivo e tassativo: per essere considerato legittimo, un trattamento deve rientrare in uno dei casi previsti dalla disposizione (si veda, da ultimo, CGUE, sentenza 4 ottobre 2024, C-621/22, Koninklijke Nederlandse Lawn Tennisbond, punto 29, disponibile su https://curia.europa.eu).
È importante sottolineare che le sei basi giuridiche hanno pari dignità e forza giuridica. Come chiarito dall’EDPB nelle Linee guida 1/2024 sul trattamento dei dati personali basato sul legittimo interesse (disponibili su https://www.edpb.europa.eu), nessuna base giuridica deve essere considerata di “serie B” o da utilizzarsi solo come ultima risorsa. La scelta spetta al titolare, che deve individuare la base più appropriata in relazione alle finalità del trattamento, nel rispetto del principio di accountability.
Le singole basi giuridiche
Il consenso (art. 6, par. 1, lett. a)
Il consenso dell’interessato rappresenta storicamente la base giuridica più nota e, per certi versi, emblematica del diritto alla protezione dei dati personali. L’art. 4, punto 11, del GDPR lo definisce come qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento.
Le caratteristiche del consenso sono stringenti. Deve essere libero, il che significa che l’interessato deve poter rifiutare o revocare il consenso senza subire pregiudizio. Deve essere specifico, riferito cioè a finalità determinate: il GDPR vieta il consenso generico o onnicomprensivo. Deve essere informato, presupponendo che l’interessato abbia ricevuto tutte le informazioni necessarie per comprendere a cosa sta acconsentendo. Deve essere inequivocabile, risultando da una dichiarazione o da un comportamento attivo (è quindi escluso il consenso tacito o presunto).
Contrariamente a quanto spesso si ritiene nella prassi, il consenso non è la base giuridica “preferita” dal GDPR, né quella da utilizzare in via prioritaria. Come osservato dalla CGUE nella sentenza del 4 luglio 2023, causa C-252/21, Meta Platforms (disponibile su https://curia.europa.eu), il fatto che un’impresa occupi una posizione dominante sul mercato non impedisce agli utenti di prestare un consenso valido, ma tale posizione costituisce un elemento rilevante per valutare se il consenso sia stato effettivamente libero. La Corte ha evidenziato che quando esiste uno squilibrio evidente tra l’interessato e il titolare del trattamento, diventa più difficile dimostrare che il consenso sia stato prestato liberamente.
Il consenso presenta inoltre un’intrinseca fragilità: è revocabile in qualsiasi momento, con effetto per il futuro. Se l’interessato revoca il consenso, il titolare deve interrompere il trattamento, il che può risultare problematico in contesti in cui il trattamento è strutturale all’attività svolta. Per questa ragione, ove possibile, è preferibile fondare il trattamento su basi giuridiche più stabili.
Il consenso diviene tuttavia obbligatorio in specifici contesti: per il trattamento delle categorie particolari di dati (art. 9), per le attività di profilazione con effetti significativi, per il trattamento di dati biometrici a fini di identificazione univoca, e in tutti i casi in cui nessun’altra base giuridica sia applicabile.
L’esecuzione di un contratto (art. 6, par. 1, lett. b)
Il trattamento è lecito quando è necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso. Questa base giuridica si applica quando il trattamento dei dati è strettamente funzionale all’adempimento delle obbligazioni contrattuali.
Il concetto di “necessità” deve essere interpretato in senso rigoroso. Come chiarito dalla CGUE nella sentenza Meta Platforms del 4 luglio 2023, il trattamento può essere giustificato dalla necessità contrattuale solo a condizione che sia oggettivamente indispensabile, cosicché l’oggetto principale del contratto non potrebbe essere conseguito in assenza di tale trattamento. La Corte ha espresso dubbi significativi sulla possibilità che la personalizzazione dei contenuti o la pubblicità mirata possano soddisfare tale criterio nel contesto dei social network.
Quando si fa affidamento su questa base giuridica, il consenso al trattamento può considerarsi implicito nella conclusione del contratto stesso: sottoscrivendo il contratto, l’interessato accetta che i suoi dati siano trattati per le finalità contrattuali. Resta tuttavia obbligatoria la fornitura dell’informativa, che deve essere resa prima della conclusione del contratto.
L’adempimento di un obbligo legale (art. 6, par. 1, lett. c)
Il trattamento è lecito quando è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento. In questo caso, la liceità del trattamento deriva direttamente dalla legge e non richiede il consenso dell’interessato.
Numerose disposizioni normative impongono ai titolari obblighi che comportano necessariamente il trattamento di dati personali: gli obblighi fiscali e contabili, gli obblighi in materia di sicurezza sul lavoro, gli obblighi di conservazione documentale, gli obblighi di comunicazione alle autorità pubbliche. In tutti questi casi, il titolare non ha discrezionalità: deve trattare i dati per conformarsi alla legge.
L’obbligo legale deve derivare dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare. Il Regolamento precisa che la base giuridica per i trattamenti fondati su obblighi legali non deve essere necessariamente una legge in senso formale, ma deve comunque essere chiara e precisa e la sua applicazione prevedibile per i destinatari.
La salvaguardia di interessi vitali (art. 6, par. 1, lett. d)
Il trattamento è lecito quando è necessario per la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica. Questa base giuridica ha carattere residuale e trova applicazione principalmente in situazioni di emergenza, quando l’interessato non è in grado di prestare il proprio consenso.
L’espressione “interessi vitali” deve essere interpretata in senso restrittivo, con riferimento a situazioni che mettono a rischio la vita o l’incolumità fisica della persona. Il considerando 46 del GDPR chiarisce che questa base giuridica dovrebbe costituire il fondamento del trattamento solo qualora lo stesso non possa manifestamente fondarsi su altra base giuridica.
L’esecuzione di un compito di interesse pubblico (art. 6, par. 1, lett. e)
Il trattamento è lecito quando è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento. Questa base giuridica trova applicazione principalmente nel settore pubblico, ma può riguardare anche soggetti privati investiti di funzioni pubbliche.
La base giuridica per il trattamento deve essere stabilita dal diritto dell’Unione o dello Stato membro, che deve determinare anche le finalità del trattamento. Il diritto nazionale può inoltre specificare le condizioni generali per la liceità del trattamento, i tipi di dati oggetto del trattamento, gli interessati coinvolti, i soggetti cui possono essere comunicati i dati e le relative finalità, la limitazione della finalità, il periodo di conservazione e altre misure per garantire un trattamento lecito e corretto.
Il legittimo interesse (art. 6, par. 1, lett. f)
Il trattamento è lecito quando è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore.
Il legittimo interesse rappresenta la base giuridica più flessibile ma anche la più complessa da applicare correttamente. A differenza delle altre basi giuridiche, richiede al titolare di effettuare un giudizio di bilanciamento tra il proprio interesse e i diritti dell’interessato, documentando tale valutazione.
Le Linee guida 1/2024 dell’EDPB (disponibili su https://www.edpb.europa.eu) individuano tre condizioni cumulative che devono essere soddisfatte per poter fondare il trattamento sul legittimo interesse. La prima condizione è l’esistenza di un interesse legittimo del titolare o di terzi. L’interesse deve essere lecito (non contrario al diritto dell’Unione o degli Stati membri), articolato in modo chiaro e preciso, e reale e attuale (non speculativo o ipotetico).
La seconda condizione è la necessità del trattamento per il perseguimento di tale interesse. Ciò significa che il titolare deve verificare se l’interesse perseguito non possa essere ragionevolmente conseguito con mezzi altrettanto efficaci ma meno invasivi per i diritti e le libertà degli interessati.
La terza condizione richiede che gli interessi, i diritti e le libertà fondamentali dell’interessato non prevalgano sull’interesse legittimo del titolare. Questa valutazione, nota come test di bilanciamento o Legitimate Interest Assessment (LIA), deve considerare la natura dei dati trattati, le ragionevoli aspettative dell’interessato, l’impatto del trattamento sui diritti fondamentali e l’esistenza di garanzie aggiuntive.
La giurisprudenza recente della CGUE ha fornito importanti chiarimenti sull’applicazione di questa base giuridica. Nella sentenza del 4 ottobre 2024, causa C-621/22, Koninklijke Nederlandse Lawn Tennisbond (disponibile su https://curia.europa.eu), la Corte ha affrontato il caso di una federazione sportiva olandese che aveva ceduto a titolo oneroso i dati dei propri iscritti a sponsor commerciali, tra cui un operatore di giochi d’azzardo, fondando il trattamento sul legittimo interesse.
La CGUE ha chiarito che un interesse meramente commerciale può in linea di principio costituire un legittimo interesse, non essendo richiesto che l’interesse sia previsto o riconosciuto dalla legge. Tuttavia, la Corte ha evidenziato che nel caso specifico l’interesse del titolare poteva essere perseguito con modalità meno invasive, ad esempio chiedendo preventivamente ai soci se desiderassero che i loro dati fossero trasmessi a terzi per finalità di marketing. La Corte ha inoltre sottolineato che i soci non potevano ragionevolmente attendersi che i loro dati fossero ceduti a un operatore di giochi d’azzardo, attività che potrebbe esporli a rischi connessi allo sviluppo di ludopatie.
È importante ricordare che il legittimo interesse non può essere invocato dalle autorità pubbliche nell’esecuzione dei loro compiti istituzionali. Inoltre, non può essere utilizzato per trattamenti che richiedono il consenso in base a normative speciali, come nel caso del tracciamento online disciplinato dalla Direttiva ePrivacy (2002/58/CE).
Le basi giuridiche per le categorie particolari di dati (art. 9)
L’art. 9 del GDPR disciplina il trattamento delle cosiddette “categorie particolari di dati personali”, che nella terminologia previgente erano denominate “dati sensibili”. Si tratta di dati che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, nonché dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.
Il paragrafo 1 dell’art. 9 stabilisce un divieto generale di trattamento di tali categorie di dati. Il divieto trova giustificazione nel fatto che questi dati, per loro natura, sono particolarmente sensibili sotto il profilo dei diritti e delle libertà fondamentali, dal momento che il contesto del loro trattamento potrebbe creare rischi significativi per i diritti e le libertà fondamentali (considerando 51).
Il paragrafo 2 elenca dieci eccezioni al divieto, che consentono il trattamento in presenza di specifiche condizioni. È importante sottolineare che tali eccezioni devono essere interpretate in senso restrittivo.
Il consenso esplicito dell’interessato (lett. a) consente il trattamento quando l’interessato ha prestato il proprio consenso esplicito per una o più finalità specifiche. Il consenso richiesto per le categorie particolari è più stringente rispetto a quello previsto dall’art. 6: deve essere esplicito, escludendosi quindi forme di consenso implicito o desumibile da comportamenti concludenti. Gli Stati membri possono tuttavia prevedere che l’interessato non possa revocare il divieto generale in determinati settori.
Gli obblighi in materia di diritto del lavoro (lett. b) legittimano il trattamento necessario per assolvere obblighi ed esercitare diritti specifici del titolare o dell’interessato in materia di diritto del lavoro, sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo. Questa eccezione copre, ad esempio, il trattamento di dati sanitari per la gestione delle assenze per malattia o di dati relativi all’appartenenza sindacale per le trattenute sulla retribuzione.
La tutela degli interessi vitali (lett. c) consente il trattamento quando è necessario per tutelare un interesse vitale dell’interessato o di un’altra persona fisica, qualora l’interessato si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso.
Il trattamento da parte di organismi senza scopo di lucro (lett. d) è consentito quando è effettuato, nell’ambito delle sue legittime attività e con adeguate garanzie, da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali, a condizione che il trattamento riguardi unicamente i membri, gli ex membri o le persone che hanno regolari contatti con l’organismo e che i dati non siano comunicati all’esterno senza il consenso dell’interessato.
I dati resi manifestamente pubblici (lett. e) possono essere trattati quando l’interessato li ha resi manifestamente pubblici. La CGUE ha chiarito nella sentenza del 4 ottobre 2024, causa C-446/21, Schrems c. Meta (disponibile su https://curia.europa.eu), che il fatto di menzionare pubblicamente un’informazione che rientra nelle categorie particolari non equivale automaticamente a renderla “manifestamente pubblica” ai fini dell’art. 9, e che tale circostanza non può retroattivamente giustificare trattamenti precedenti.
L’accertamento, esercizio o difesa di un diritto in sede giudiziaria (lett. f) consente il trattamento necessario per tali finalità o quando le autorità giurisdizionali esercitino le loro funzioni giurisdizionali.
Motivi di interesse pubblico rilevante (lett. g) legittimano il trattamento sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate per tutelare i diritti fondamentali e gli interessi dell’interessato.
Finalità di medicina preventiva o del lavoro (lett. h) consentono il trattamento per finalità di medicina preventiva o del lavoro, valutazione della capacità lavorativa, diagnosi, assistenza o terapia sanitaria o sociale, o gestione dei sistemi e servizi sanitari o sociali. Il trattamento deve essere effettuato da o sotto la responsabilità di un professionista soggetto al segreto professionale.
Motivi di interesse pubblico nel settore della sanità pubblica (lett. i), quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell’assistenza sanitaria, consentono il trattamento sulla base del diritto dell’Unione o degli Stati membri.
Infine, i fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici (lett. j) legittimano il trattamento in conformità all’art. 89, paragrafo 1, sulla base del diritto dell’Unione o nazionale proporzionato alla finalità perseguita.
È opportuno segnalare che l’art. 9 non prevede eccezioni equivalenti a tutte le basi giuridiche dell’art. 6. In particolare, non è prevista un’eccezione generale per l’esecuzione di un contratto o per l’adempimento di obblighi legali generici. Questa asimmetria può creare difficoltà applicative in alcuni contesti, come evidenziato dalla dottrina e dalla prassi.
La scelta della base giuridica: profili operativi
La scelta della base giuridica non è una mera formalità documentale, ma una decisione che produce conseguenze significative sui diritti dell’interessato e sugli obblighi del titolare.
Se il trattamento è fondato sul consenso, l’interessato ha il diritto di revocarlo in qualsiasi momento e ha diritto alla portabilità dei dati (art. 20). Se il trattamento è fondato sull’esecuzione di un contratto, l’interessato ha parimenti diritto alla portabilità. Se il trattamento è fondato sul legittimo interesse, l’interessato ha il diritto di opporsi in qualsiasi momento per motivi connessi alla sua situazione particolare (art. 21, par. 1), e il titolare deve astenersi dal trattamento a meno che dimostri l’esistenza di motivi legittimi cogenti che prevalgono sugli interessi dell’interessato.
La base giuridica deve essere individuata prima dell’inizio del trattamento e deve essere indicata nell’informativa resa all’interessato ai sensi degli artt. 13 e 14 del GDPR. Non è possibile modificare la base giuridica in corso di trattamento se non in presenza di specifiche condizioni, e la modifica deve essere comunicata all’interessato.
Nella scelta della base giuridica, il titolare deve applicare il principio di accountability documentando le valutazioni effettuate. Nel caso del legittimo interesse, la documentazione del test di bilanciamento costituisce una best practice raccomandata dalle autorità di controllo e può essere rilevante in caso di verifica da parte dell’autorità garante.
Conclusioni
La corretta individuazione della base giuridica rappresenta uno degli aspetti più qualificanti della compliance al GDPR. Non si tratta di un adempimento formale, ma di una scelta sostanziale che definisce il perimetro del trattamento, i diritti dell’interessato e le responsabilità del titolare.
Il principio di accountability impone al titolare non solo di scegliere correttamente la base giuridica, ma anche di essere in grado di dimostrare tale scelta e le valutazioni che l’hanno supportata. Le recenti Linee guida dell’EDPB e la giurisprudenza della CGUE forniscono criteri sempre più definiti per orientare tale scelta, con particolare attenzione al legittimo interesse quale base giuridica che richiede una valutazione articolata e documentata.
La tendenza emergente dalla giurisprudenza europea è quella di valorizzare le ragionevoli aspettative dell’interessato come criterio guida: se l’interessato non può ragionevolmente attendersi un determinato trattamento, sarà difficile per il titolare fondarlo su basi diverse dal consenso esplicito. Questo orientamento, che pone l’interessato al centro del sistema di protezione, costituisce la migliore traduzione operativa del principio di trasparenza che permea l’intero Regolamento.
