Per quanto riguarda la base giuridica del trattamento, è importante distinguere tra categorie di dati:
- Trattamento di dati personali (“non sensibili”). Le basi giuridiche del trattamento sono quelle indicate nell’articolo 6 del GDPR (vedi “Liceità, correttezza e trasparenza” nella Parte II sezione “Principi” di queste Linee guida). Ciò significa che ogni trattamento di dati personali deve necessariamente basarsi su una delle basi giuridiche di cui all’articolo 6(1):
- Consenso dell’interessato (art. 6.1 a).
- Contratto (art. 6.1 b).
- Obbligo legale (art. 6.1 c).
- Interessi vitali (art. 6.1 d).
- Compito pubblico o interesse pubblico (art. 6.1 e).
- Interessi legittimi (art. 6.1 f).
- Trattamento di categorie speciali di dati personali (“dati personali sensibili”). Il trattamento di quelle categorie di dati incluse nell’articolo 9 è vietato a meno che non venga identificata una base legittima specifica tra quelle dell’articolo 9, paragrafo 2.[1] L’articolo 9 richiede un’ulteriore legittimazione, aggiunta a quelle dell’articolo 6. Tra queste basi giuridiche, il trattamento non è vietato, se, tra le altre cose:
- “la persona interessata ha dato il proprio consenso esplicito al trattamento di tali dati personali per una o più finalità determinate, tranne nei casi in cui il diritto dell’Unione o degli Stati membri preveda che il divieto di cui al paragrafo 1 non possa essere revocato dalla persona interessata”. Articolo 9, paragrafo 2, lettera a).
- è “necessario a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all’articolo 89, paragrafo 1, sulla base del diritto dell’Unione o di uno Stato membro che sia proporzionato alla finalità perseguita, rispetti il contenuto essenziale del diritto alla protezione dei dati e preveda misure adeguate e specifiche per la salvaguardia dei diritti fondamentali e degli interessi della persona interessata”. [2]
Inoltre, l’articolo 9 (4) recita: “Gli Stati membri possono mantenere o introdurre ulteriori condizioni, comprese le limitazioni, per quanto riguarda il trattamento dei dati genetici, dei dati biometrici o dei dati relativi alla salute.” Questa possibilità non implica, tuttavia, che il contenuto del paragrafo (2)(j) dell’articolo 9 debba essere reso inefficace. Ancora una volta, i ricercatori dovrebbero sempre chiedere consiglio ai loro DPO sul quadro normativo nazionale applicabile.
- EDPB, parere 3/2019 relativo alle domande e risposte sull’interazione tra il regolamento sulle sperimentazioni cliniche (CTR) e il regolamento generale sulla protezione dei dati (GDPR) (art. 70.1.b)) Adottato il 23 gennaio 2019, pp. 8-9. All’indirizzo: https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_opinionctrq_a_final_en.pdf Accesso: 20 maggio 2020.
Questo documento descrive diverse possibilità che combinano gli articoli 6 e 9: I motivi legittimi del trattamento possono derivare da obblighi legali del responsabile del trattamento e che rientrano nella base giuridica dell’articolo 6, paragrafo 1, lettera c), in combinato disposto con l’articolo 9, paragrafo 1, lettera i); o l’interesse pubblico ai sensi dell’articolo 6, paragrafo 1, lettera e), in combinato disposto con l’articolo 9, paragrafo 2, i) o j); o i legittimi interessi del responsabile del trattamento ai sensi dell’articolo 6, paragrafo 1, lettera f), in combinato disposto con l’articolo 9, paragrafo 2, lettera j); o in circostanze specifiche, quando tutte le condizioni sono soddisfatte, il consenso esplicito dell’interessato ai sensi dell’articolo 6, paragrafo 1, lettera a), e dell’articolo 9, paragrafo 2, lettera a). ↑
- Articolo 9, paragrafo 2, lettera j). ↑