Secondo l'articolo 6 del UK GDPR, un'organizzazione può usare dati personali solo se si applica almeno una base giuridica. Il titolare deve decidere quale si applica prima di iniziare e comunicarla nella propria informativa sulla privacy.
Le basi giuridiche
- Consenso. La persona ha dato il suo assenso in modo chiaro.
- Contratto. L'uso è necessario per eseguire un contratto con la persona, o per adottare misure da lei richieste prima del contratto. Un esempio è la consegna di un ordine.
- Obbligo legale. L'uso è necessario per rispettare la legge, per esempio i registri di paghe e imposte.
- Interessi vitali. L'uso è necessario per proteggere la vita di qualcuno, come in un'emergenza medica.
- Compito di interesse pubblico. L'uso è necessario per un compito di interesse pubblico o una funzione prevista dalla legge. Riguarda soprattutto gli enti pubblici.
- Legittimo interesse. L'uso è necessario per il legittimo interesse dell'organizzazione o di un terzo, a meno che prevalgano i diritti della persona. L'organizzazione deve bilanciare le due parti.
Il Data (Use and Access) Act 2025 aggiunge una settima via, chiamata legittimi interessi riconosciuti (recognised legitimate interests). Riguarda un breve elenco di finalità fissate dalla legge, come la prevenzione dei reati e la tutela delle persone a rischio (safeguarding). Il Suo datore di lavoro deciderà quando usarla. Non è Lei a sceglierla.
Le categorie particolari richiedono di più
Per le categorie particolari di dati (salute, religione, appartenenza sindacale e così via) l'organizzazione ha bisogno di una base giuridica e di una condizione distinta dell'articolo 9. Molte di queste condizioni sono elencate nell'allegato 1 del DPA 2018. Il diritto del lavoro e l'assistenza sanitaria ne sono esempi comuni. Per questo motivo, presti maggiore attenzione a cartelle sanitarie, certificati di malattia e informazioni simili.
Come si presenta un consenso valido
Il consenso è solo un'opzione, e spesso non la migliore. Quando viene usato, deve essere:
- libero. La persona ha una scelta reale. Il consenso è raramente libero quando c'è uno squilibrio di potere, per esempio tra datore di lavoro e dipendente;
- specifico per una finalità chiara;
- informato. La persona sa chi lo chiede e perché;
- inequivocabile, con un'azione positiva chiara. Caselle già spuntate, silenzio e inattività non sono consenso;
- facile da revocare in qualsiasi momento, e facile da revocare quanto da dare.
L'organizzazione deve poter dimostrare di avere il consenso.
Datori di lavoro e consenso
I dati dei dipendenti sono usati soprattutto su altre basi, come il contratto (la paga) e l'obbligo legale (controlli sul diritto al lavoro, imposte). Un datore di lavoro non dovrebbe chiedere un consenso che il dipendente non può negare senza timore.
Perché questo La riguarda
Non è Lei a scegliere la base giuridica. Ma deve conoscerne le nozioni di base:
- Se un cliente ha dato il proprio indirizzo e-mail per ricevere una ricevuta, non lo aggiunga a una lista di marketing. È un'altra finalità.
- Se qualcuno revoca il consenso, lo comunichi subito alla persona giusta perché la scheda venga aggiornata.
- Se un collega Le chiede i dati di una persona «per curiosità», non c'è alcuna base giuridica perché Lei glieli dia. Condivida solo i dati necessari al lavoro.
Correttezza e trasparenza
Una base giuridica da sola non basta. L'uso deve anche essere corretto e aperto. Le persone non devono essere sorprese da ciò che Lei fa con i loro dati. Un'informativa sulla privacy spiega chi è il titolare, quali dati sono usati, perché, su quale base giuridica, chi li riceve, per quanto tempo sono conservati e quali diritti hanno le persone. I datori di lavoro devono fornirne una. Se qualcuno Le chiede dove trovarla, gliela indichi.