11 Mag La leicità del trattamento: modalità e termini
La disciplina prevista dal Regolamento l’art. 6 non si discosta molto dal vigente Codice della Privacy laddove è stabilito che il trattamento di dati personali è effettuato in modo lecito laddove ricorrano una delle condizioni espressamente previste, quali:
1. il consenso esplicito dell’interessato al trattamento per finalità determinate dei propri dati;
2. l’adempimento di obblighi assunti con un contratto di cui l’interessato è parte o l’esecuzione di attività precontrattuali dallo stesso richieste;
3. l’adempimento di obblighi imposti dalla legge in capo al titolare;
4. la tutela di interessi essenziali per la vita dell’interessato o di soggetti terzi (si pensi, ad esempio, a casi di trattamento a fini umanitari o in caso di epidemie);
5. rilevanti motivi di interesse pubblico correlati all’esercizio di pubblici poteri;
6. il perseguimento di un interesse legittimo del titolare o di un’altra persona fisica ritenuto prevalente sui diritti e sulle libertà fondamentali dell’interessato, realizzabile attraverso il trattamento di dati personali.
Il consenso espresso dal titolare deve attenere alle finalità dell’informativa ed è valido per il periodo ivi indicato.
L’applicazione del nuovo Regolamento non comporta in automatico l’inefficacia del consenso già acquisito in precedenza sotto la vigenza del Codice della Privacy: il consenso rimarrà valido qualora rispetti tutti i requisiti di liceità richiesti dal Regolamento.
Nel dettaglio il consenso espresso da titolare deve essere specifico, libero e inequivocabile. Sono da escludersi l’utilizzo di caselle pre-spuntate sui moduli – siano cartacei o informatici – o di un’unica casella comprensiva di trattamenti aventi diverse finalità (ad esempio, adempimento del contratto e invio di newsletter).
All’utente deve essere concessa la facoltà di scelta che, in forza del principio dell’autonomia, conferisca l’inequivoca facoltà di poter rifiutare il consenso senza subire conseguenze negative. In particolare, la richiesta di consenso deve essere chiara e facilmente identificabile e non deve confondersi con altre comunicazioni.
Quanto ai dati sensibili, il Regolamento all’art. 9 stabilisce che: «è vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona … l’interessato ha prestato il proprio consenso esplicito al trattamento di tali dati personali per una o più finalità specifiche» e in caso di trattamenti automatizzati il consenso debba essere esplicito.
Un’ulteriore novità introdotta dal Regolamento attiene all’età dell’interessato alla profilazione.
Ai sensi e per gli effetti dell’art.8 il consenso rilasciato dall’interessato è valido qualora espresso da persona di età non inferiore a 16 anni; in difetto i titolari dovranno ricevere il consenso al trattamento dai genitori del minore o da chi fa le veci.
Infine, in merito alla forma di espressione del consenso, il Regolamento non prevede di default la forma scritta limitando detta modalità a specifichi casi quali, appunto, la profilazione.
Dunque, la garanzia e la dimostrazione del rispetto delle condizioni di liceità stabilite dal Regolamento grava sul titolare del trattamento il quale è chiamato a svolgere il compito di effettuare i dovuti bilanciamenti con altri diritti, eventualmente rilevanti, dell’interessato o di terzi e di provare su tali basi la liceità dei trattamenti svolti.