Articolo 5 GDPR - Principi applicabili al trattamento di dati personali

1. I dati personali sono:

a) trattati in modo lecito, corretto e trasparente nei confronti dell’interessato («liceità, correttezza e trasparenza»);

b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all’articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali («limitazione della finalità»);

c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»);

d) esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati («esattezza»);

e) conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all’articolo 89, paragrafo 1, fatta salva l’attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell’interessato («limitazione della conservazione»);

f) trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali («integrità e riservatezza»).

2. Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo («responsabilizzazione»).

Considerando pertinenti

Domande frequenti

Risposte brevi alle domande più frequenti su questa disposizione. Costituiscono informazioni generali e non una consulenza legale.

Il paragrafo 1 esige che i dati personali siano trattati in modo lecito, corretto e trasparente, raccolti per finalità determinate, esplicite e legittime, adeguati, pertinenti e limitati a quanto necessario, esatti e, se necessario, aggiornati, conservati in una forma che consenta l’identificazione degli interessati non oltre il tempo necessario, e trattati con un’adeguata sicurezza. Il paragrafo 2 aggiunge che il titolare del trattamento è competente per il rispetto di tutti questi principi e deve essere in grado di comprovarlo.

No. Il paragrafo 1, lettera b) vieta soltanto l’ulteriore trattamento incompatibile con le finalità per le quali i dati sono stati raccolti, e considera compatibile l’ulteriore trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici quando è effettuato conformemente all’articolo 89, paragrafo 1. Per le altre nuove finalità, la compatibilità è valutata alla luce degli elementi indicati nell’articolo 6, paragrafo 4.

Il paragrafo 1, lettera e) consente di conservare i dati in una forma che consenta l’identificazione degli interessati soltanto per il tempo necessario al conseguimento delle finalità del trattamento. Una conservazione più lunga è ammessa unicamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici ai sensi dell’articolo 89, paragrafo 1, fatta salva l’attuazione di misure tecniche e organizzative adeguate, e l’anonimizzazione sottrae del tutto i dati al principio, poiché l’identificazione non è più possibile.

Il titolare del trattamento non deve soltanto rispettare i principi del paragrafo 1, ma deve anche essere in grado di comprovarne il rispetto. Questa dimensione probatoria è resa operativa altrove nel regolamento, segnatamente attraverso il registro delle attività di trattamento di cui all’articolo 30, il dovere di protezione dei dati dalla progettazione di cui all’articolo 25 e, ove richieste, le valutazioni d’impatto sulla protezione dei dati di cui all’articolo 35.

L’articolo 6 dà contenuto concreto all’elemento della liceità di cui all’articolo 5, paragrafo 1, lettera a), poiché il trattamento privo di una base giuridica valida è illecito. Gli altri principi si applicano cumulativamente in aggiunta a qualsiasi base giuridica, per cui un trattamento fondato su un solido titolo dell’articolo 6 viola comunque il regolamento se contravviene, ad esempio, alla minimizzazione dei dati o alla limitazione della conservazione, e le violazioni dei principi fondamentali ricadono nella fascia sanzionatoria più elevata di cui all’articolo 83, paragrafo 5, lettera a).