GDPR , i principi fondamentali del trattamento dati
Il regolamento sulla protezione dei dati personali impone che le operazioni di trattamento debbano essere compiute applicando una serie di principi ben definiti da cui derivano una serie di obblighi per il titolare; tali principi, che hanno una funzione diversa perché finalizzati a tutelare un aspetto diverso della materia privacy, sono
- liceità correttezza e trasparenza
- limitazione delle finalità
- minimizzazione dei dati
- Esattezza
- limitazione della conservazione
Il principio di liceità impone che il trattamento dei dati debba essere condotto soltanto quando ricorra almeno una delle seguenti condizioni:
– consenso: inteso come la manifestazione di volontà che l’interessato esprime in modo libero e consapevole al fine di autorizzare il Titolare al trattamento dei suoi dati per le finalità che lo stesso ha illustrato. Il consenso deve essere espresso in modo chiaro e strettamente legato alla finalità del trattamento per cui è stato richiesto. Qualora il trattamento dei dati sia compiuto per ragioni diverse ( ad esempio per operazioni di marketing piuttosto che per semplice raccolta dati per finalità di archiviazione) deve essere espressamente riferito a ciascuna delle finalità descritte. Non vi sono obblighi formali nel senso che l’interessato può, in linea di massima autorizzare il trattamento dei suoi dati anche oralmente ma la norma impone poi al titolare di dimostrare di aver validamente acquisito il consenso per cui è prassi che lo stesso venga manifestato in calce all’informativa di cui all’ art. 13 del Regolamento.
– contratto: in questo caso il trattamento dei dati personali risulta giustificato dal rapporto contrattuale stipulato fra le parti ed il trattamento è funzionale e limitato al rapporto stesso. In pratica nella redazione di un format di contratto è opportuno inserire una clausola apposita nella quale le parti specificano che il trattamento dei dati personali verrà reciprocamente effettuato solo ed esclusivamente con riferimento alla prestazione formalizzata nel contratto;
-obbligo di legge: è la norma ad autorizzare il trattamento dei dati personali dell’interessato che, in tal caso è obbligato a conferirli pena la violazione di una disposizione legislativa con le conseguenze del caso ( si pensi al caso di trasmissione dei dati del soggetto alle agenzie fiscali per i relativi controlli);
– compito di interesse pubblico: adempimento di previsto per la realizzazione di un interesse collettivo che prescinde dall’interesse del singolo ed è indicato sempre dalla legge che investe il soggetto delle funzioni pubbliche
– interessi vitali dell’interessato o di un’altra persona fisica. L’ipotesi non viene in alcun modo specificata dalla normativa e deve essere applicata quale causa che legittima il trattamento solo quando non è possibile applicare alcuna delle basi già descritte. Anche in questo caso la valutazione ed il giudizio di bilanciamento deve essere condotto dal Titolare.
– Legittimo interesse: è una posizione di interesse in capo al Titolare del trattamento che va bilanciata con la tutela dei diritti dell’interessato alla riservatezza e può legittimare il trattamento dei dati ad esempio in funzione della protezione contro le frodi, per misura di sicurezza, o il trasferimento di dati tra parti diverse della stessa azienda.
Il principio di correttezza in base la quale il Titolare del trattamento deve sempre garantire il rispetto della buona fede dell’interessato ponendolo in condizioni di comprendere le modalità del trattamento dati.
Il principio di trasparenza garantisce che tutte le operazioni inerenti il trattamento dei dati siano compiute in modo semplice e comprensibile e che l’interessato abbia in qualunque momento la possibilità di chiedere ed ottenere tutte le informazioni relative al trattamento ed alla conservazione dei propri dati. L’obbligo di consegnare l’informativa secondo i contenuti di cui agli artt. 13 e 14 del Regolamento costituisce un applicazione del principio di trasparenza
Il principio di limitazione delle finalità che costituisce un’applicazione del concetto di privacy by design, implica che il Titolare del trattamento debba, prima di iniziare qualunque operazione individuare le finalità per cui i dati debbano essere trattati e ciò al fine di informare l’interessato in merito all’utilizzo dei suoi dati e definire i limiti e le ragioni per cui acquisire, trattare e conservare i dati personali.
Il principio di minimizzazione dei dati pone a carico del Titolare del trattamento due obblighi distinti, strettamente correlati alla realizzazione delle finalità del trattamento ovvero:
i dati personali devono essere raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati solo ed esclusivamente per l’adempimento degli stessi;
i dati raccolti vanno conservati per il solo periodo necessario al raggiungimento della finalità del trattamento.
Il principio di esattezza garantisce che i dati personali siano sempre esatti e, se necessario, aggiornati. Da cui il diritto dell’interessato di verificare la correttezza dei suoi dati e di chiederne la rettifica ove il Titolare non provveda, in corso di trattamento, alla periodica revisione degli stessi.
l principio di limitazione della conservazione dettato sempre nell’ottica di garantire che le operazioni di trattamento siano limitate al solo adempimento delle finalità per cui si procede alla raccolta, gestione e conservazione dei dati, impone al Titolare di conservare i dati per il periodo strettamente necessario al raggiungimento delle predette finalità lasciando al medesimo il compito di stabilire quale sia il periodo utile con riferimento al caso concreto non dando il Regolamento alcun parametro di riferimento.
Il principio di integrità e riservatezza, applicato soprattutto al momento della scelta delle misure di sicurezza da adottare per garantire che il trattamento sia realizzato sempre da persone autorizzate e ciò al fine di impedire accessi non autorizzati, perdita, distruzione o danni accidentali.
Ciò salta all’occhio è la strutturazione della norma e degli obblighi connessi in attuazione del principio privacy by design nel senso che già il legislatore insegna al titolare come inserire la tutela della privacy fin dalla progettazione delle misure da adottare per il corretto trattamento dei dati.
