I dati personali non si possono trattare come si vuole. L'articolo 5 del GDPR fissa sette principi che fanno da guida in ogni attività. Quando non sa che cosa fare, riveda questo elenco.
I principi dell'articolo 5
- Liceità, correttezza e trasparenza. Ci deve essere una base giuridica, nessuno viene ingannato e si spiega con chiarezza che cosa si fa con i dati.
- Limitazione della finalità. I dati si raccolgono per uno scopo preciso e non si usano poi per un altro incompatibile. I dati di un modulo di candidatura non servono a inviare pubblicità.
- Minimizzazione dei dati. Si chiedono e si usano solo i dati necessari. Se basta il nome, non si chiede anche la data di nascita.
- Esattezza. I dati devono essere aggiornati. Se qualcuno segnala un errore, si corregge.
- Limitazione della conservazione. I dati non si conservano per sempre, ma finché servono o finché una legge lo richiede.
- Integrità e riservatezza. Si proteggono da accessi non autorizzati, perdite e distruzione.
- Responsabilizzazione. L'azienda deve poter dimostrare di rispettare le regole, con documenti, registri e procedure.
Le basi che consentono di trattare i dati
Per trattare dati serve almeno una delle basi dell'articolo 6 del GDPR:
- il consenso della persona
- l'esecuzione di un contratto, per esempio il contratto di lavoro
- un obbligo legale, come comunicare i dati alla Seguridad Social (la previdenza sociale spagnola)
- la salvaguardia degli interessi vitali di una persona
- un compito di interesse pubblico o l'esercizio di pubblici poteri
- un legittimo interesse dell'azienda o di un terzo, purché non prevalgano i diritti della persona
Per un'azienda, la maggior parte dei dati del personale si tratta in base al contratto e agli obblighi di legge: buste paga, assunzioni, contributi e ritenute. Chiedere il consenso al personale è raramente una buona base, perché il lavoratore dipende dall'azienda e può non sentirsi libero di dire di no.
Il consenso
Quando il consenso è davvero la base, deve essere libero, specifico, informato e inequivocabile, espresso con una dichiarazione o un'azione chiara. Una casella già spuntata o il silenzio non valgono. La persona può revocarlo in qualsiasi momento, e revocarlo deve essere facile quanto darlo.
L'età dei minori
La LOPDGDD, all'articolo 7, fissa a 14 anni l'età dalla quale un minore può acconsentire da solo al trattamento dei propri dati. Sotto questa età serve il consenso di chi esercita la responsabilità genitoriale o la tutela. Questo conta in accademie, società sportive, istituti scolastici e aziende che offrono servizi alle famiglie.
L'informazione da dare
Quando si raccolgono dati, bisogna informare la persona (articoli 13 e 14 del GDPR): chi è il titolare, per che cosa si usano i dati, su quale base giuridica, a chi sono comunicati, per quanto tempo si conservano e quali diritti ha. La LOPDGDD (articolo 11) consente di farlo a livelli: un'informazione di base ben visibile e il resto in un luogo facile da trovare, per esempio un indirizzo web.
Ricordi: se sta per usare i dati per qualcosa di nuovo che non è stato spiegato alla persona, consulti prima chi di dovere nella Sua azienda.