Articolo 6 GDPR: la liceità del trattamento

Pubblicata il

Copertina: articolo 6 del GDPR
Immagine generata con AI

Un trattamento è lecito solo se ricorre almeno una di sei condizioni: consenso, contratto, obbligo legale, interessi vitali, compito di interesse pubblico, legittimo interesse. Lo dice l'articolo 6 del GDPR (Regolamento UE 2016/679). Per uno studio le domande sono due: quale condizione regge questo trattamento, e se un uso nuovo di dati già raccolti è compatibile con lo scopo per cui sono stati raccolti. Quattro paragrafi: commento esteso sul primo e sul quarto, breve sugli altri.

Per ogni uso di dati personali vale una domanda: che cosa rende lecito questo trattamento? Quattro paragrafi rispondono: il paragrafo 1 elenca sei condizioni alternative, di cui una è sufficiente per renderlo lecito, cioè consenso, contratto, obbligo legale, interessi vitali, compito di interesse pubblico, legittimo interesse. I paragrafi 2 e 3 riguardano le leggi che le precisano, il paragrafo 4 dice come si valuta un uso nuovo di dati già raccolti.

Perché l’articolo 6 del GDPR conta per uno studio?

Ogni trattamento di dati personali dei clienti ha bisogno di una base, e la base non è un dettaglio interno: l’informativa deve indicarla (articolo 13, paragrafo 1, lettera c, del GDPR) e, se è il legittimo interesse, deve dire quale interesse si persegue (lettera d). Un trattamento senza base, o con una base che non regge, non è un problema di forma: l’articolo 83, paragrafo 5, lettera a), del GDPR assoggetta a sanzioni fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore, la violazione dei principi di base del trattamento e delle condizioni del consenso, ai sensi degli articoli 5, 6, 7 e 9 del GDPR.

Quando dati personali dei clienti finiscono in uno strumento di AI la domanda è doppia. La base regge anche questo uso, o è un uso nuovo da valutare con il paragrafo 4 dell’articolo 6 del GDPR? E se il fornitore agisce per conto dello studio, esiste l’accordo dell’articolo 28 del GDPR? Il GDPR e l’AI Act rispondono a domande diverse e si applicano insieme: AI Act e GDPR: come si incastrano.

Quale base giuridica regge il trattamento quando un collaboratore incolla i dati di un cliente in un assistente di AI?

La situazione tipo: un collaboratore incolla in un assistente di AI il testo di una email o di un documento di un cliente per riassumerlo o riscriverlo. Le domande concrete sono:

Cosa non dice l’articolo 6 del GDPR?

Non basta per le categorie particolari di dati, che hanno un divieto a parte e una propria lista di eccezioni nell’articolo 9 del GDPR: superare quel divieto non dispensa dal trovare una base nell’articolo 6 del GDPR, e una base dell’articolo 6 del GDPR non toglie il divieto. Non descrive le condizioni del consenso, che sono nell’articolo 7 del GDPR e non sono commentate qui. E non dice quale base scegliere: la scelta spetta al titolare, in base al trattamento.

I casi che partono da qui: Trascrizione automatica delle telefonate in studio: cosa chiede l’AI Act e I miei dipendenti usano ChatGPT senza dirmelo: sono esposto?.

Paragrafo 1

Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni: a) l'interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità; b) il trattamento è necessario all'esecuzione di un contratto di cui l'interessato è parte o all'esecuzione di misure precontrattuali adottate su richiesta dello stesso; c) il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento; d) il trattamento è necessario per la salvaguardia degli interessi vitali dell'interessato o di un'altra persona fisica; e) il trattamento è necessario per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento; f) il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato che richiedono la protezione dei dati personali, in particolare se l'interessato è un minore. La lettera f) del primo comma non si applica al trattamento di dati effettuato dalle autorità pubbliche nell'esecuzione dei loro compiti.

In pratica

Sei condizioni alternative: ne basta una, ma una ci deve essere, per ciascun trattamento. Le più vicine a uno studio privato sono quattro. Il contratto (lettera b): il trattamento necessario a eseguire l'incarico del cliente o le misure che lui ha chiesto prima di firmarlo. L'obbligo legale (lettera c): ciò che la legge impone allo studio, per esempio in materia contabile. Il legittimo interesse (lettera f): richiede un bilanciamento e cede se prevalgono i diritti e le libertà dell'interessato, in particolare se è un minore; non si applica alle autorità pubbliche nell'esecuzione dei loro compiti. Il consenso (lettera a): dato per una o più finalità specifiche. Le lettere d ed e riguardano gli interessi vitali e i compiti di interesse pubblico, situazioni diverse dall'attività ordinaria di uno studio privato. Se i dati sono di categorie particolari, la base dell'articolo 6 del GDPR non basta: c'è anche il divieto dell'articolo 9 del GDPR.

Paragrafo 2

Gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l'applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto anche per le altre specifiche situazioni di trattamento di cui al capo IX.

In pratica

Gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l'applicazione del regolamento con riguardo alle lettere c ed e del paragrafo 1, con requisiti più precisi e misure per un trattamento lecito e corretto, anche per le situazioni del capo IX. È il margine che il regolamento lascia alle leggi nazionali; questa pagina non commenta le norme italiane.

Paragrafo 3

La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita: a) dal diritto dell'Unione; o b) dal diritto dello Stato membro cui è soggetto il titolare del trattamento. La finalità del trattamento è determinata in tale base giuridica o, per quanto riguarda il trattamento di cui al paragrafo 1, lettera e), è necessaria per l'esecuzione di un compito svolto nel pubblico interesse o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento. Tale base giuridica potrebbe contenere disposizioni specifiche per adeguare l'applicazione delle norme del presente regolamento, tra cui: le condizioni generali relative alla liceità del trattamento da parte del titolare del trattamento; le tipologie di dati oggetto del trattamento; gli interessati; i soggetti cui possono essere comunicati i dati personali e le finalità per cui sono comunicati; le limitazioni della finalità, i periodi di conservazione e le operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto, quali quelle per altre specifiche situazioni di trattamento di cui al capo IX. Il diritto dell'Unione o degli Stati membri persegue un obiettivo di interesse pubblico ed è proporzionato all'obiettivo legittimo perseguito.

In pratica

La base delle lettere c ed e deve essere stabilita dal diritto dell'Unione o dal diritto dello Stato membro cui il titolare è soggetto, e la finalità è determinata in quella base (per la lettera e, è quella necessaria per il compito di interesse pubblico o l'esercizio di pubblici poteri). Il diritto che la stabilisce persegue un obiettivo di interesse pubblico ed è proporzionato. Riguarda solo quelle due lettere.

Paragrafo 4

Laddove il trattamento per una finalità diversa da quella per la quale i dati personali sono stati raccolti non sia basato sul consenso dell'interessato o su un atto legislativo dell'Unione o degli Stati membri che costituisca una misura necessaria e proporzionata in una società democratica per la salvaguardia degli obiettivi di cui all'articolo 23, paragrafo 1, al fine di verificare se il trattamento per un'altra finalità sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento tiene conto, tra l'altro: a) di ogni nesso tra le finalità per cui i dati personali sono stati raccolti e le finalità dell'ulteriore trattamento previsto; b) del contesto in cui i dati personali sono stati raccolti, in particolare relativamente alla relazione tra l'interessato e il titolare del trattamento; c) della natura dei dati personali, specialmente se siano trattate categorie particolari di dati personali ai sensi dell'articolo 9, oppure se siano trattati dati relativi a condanne penali e a reati ai sensi dell'articolo 10; d) delle possibili conseguenze dell'ulteriore trattamento previsto per gli interessati; e) dell'esistenza di garanzie adeguate, che possono comprendere la cifratura o la pseudonimizzazione.

In pratica

Se c'è un uso nuovo di dati già raccolti, con finalità diversa da quella iniziale, il titolare deve verificare la compatibilità con lo scopo originario. Vale quando non c'è il consenso né una legge che la preveda con le caratteristiche indicate, e si tiene conto, tra l'altro, di cinque elementi: il nesso tra le finalità (a); il contesto della raccolta e il rapporto con l'interessato (b); la natura dei dati, specie se di categorie particolari o relativi a condanne penali e reati (c); le conseguenze per gli interessati (d); le garanzie adeguate, come la cifratura o la pseudonimizzazione (e). Il principio di fondo è quello dell'articolo 5, paragrafo 1, lettera b), del GDPR: dati raccolti per finalità determinate e non trattati in modo incompatibile con esse. Per uno studio è la domanda che precede un uso nuovo dei dati personali dei clienti, per esempio caricarli su uno strumento di AI per uno scopo diverso da quello per cui sono stati raccolti.

Testo verificato su EUR-Lex il 19 settembre 2026. Il GDPR non risulta mai stato modificato da un atto successivo al punto da generare una nuova versione consolidata su EUR-Lex: verifica già riportata nella pagina sull'articolo 22, non ripetuta da questa pagina..