Che cos’è una base giuridica GDPR?

È la ragione prevista dal GDPR che rende lecito uno specifico trattamento di dati personali. Non è una formula da aggiungere all’informativa: deve corrispondere alla finalità, al rapporto con la persona e al modo in cui i dati vengono usati. Le sei basi sono elencate nell’articolo 6 del regolamento europeo.

Il consenso è sempre la base più sicura?

No. Il consenso è adatto soltanto quando la persona dispone di una scelta reale, informata e revocabile senza conseguenze negative. Se il trattamento deve continuare anche dopo un rifiuto, probabilmente occorre valutare un’altra base. La scelta non dipende dall’etichetta che sembri più prudente, ma dalla realtà dell’operazione.

Posso cambiare base giuridica dopo aver iniziato il trattamento?

Non liberamente. Scegliere una nuova base perché la prima è diventata scomoda compromette trasparenza e correttezza del trattamento. Un cambiamento può essere giustificato quando mutano davvero finalità o circostanze, ma va riesaminato, documentato e comunicato alle persone interessate prima che il nuovo uso dei dati prosegua.

I dati particolari richiedono una base diversa?

Richiedono due verifiche. Serve una base dell’articolo 6 e, separatamente, una condizione dell’articolo 9 per le categorie particolari, come informazioni sanitarie o convinzioni religiose. Una condizione dell’articolo 9 non sostituisce la base giuridica ordinaria: le due giustificazioni devono coesistere ed essere registrate.

Dove devo documentare la base giuridica?

Nel registro dei trattamenti o in un documento equivalente che colleghi attività, finalità, categorie di persone e dati, base scelta, destinatari e tempi di conservazione. La stessa base deve comparire nell’informativa pertinente. Se si usa l’interesse legittimo, va conservata anche la valutazione di finalità, necessità e bilanciamento.

Base giuridica GDPR: che cos’è e come sceglierla

La base giuridica GDPR è la condizione che rende lecito uno specifico trattamento di dati personali. Sceglierla significa collegare una finalità concreta, come pagare un dipendente o consegnare un ordine, alla corretta previsione dell’articolo 6 del GDPR prima di usare i dati ¹.

Risposta rapida La base giuridica GDPR è una delle sei condizioni che rendono lecito il trattamento dei dati personali nell’Unione europea. Va scelta per ogni finalità prima dell’uso, descritta nell’informativa e registrata. Il consenso è una delle opzioni; contratto, obbligo legale o interesse legittimo possono rappresentare meglio i fatti ¹.

Ultimo aggiornamento: 26 agosto 2026

Sei percorsi, ciascuno con una funzione precisa

L’articolo 6 del GDPR non offre etichette intercambiabili. Ogni base descrive una relazione diversa tra titolare, persona e attività. La domanda utile non è «quale base preferiamo?», bensì «perché questa specifica operazione deve o può avvenire?» ¹.

Base dell’articolo 6	Quando può corrispondere ai fatti	Esempio concreto
Consenso	La persona compie una scelta libera, specifica, informata e revocabile	Iscrizione volontaria a comunicazioni non necessarie
Contratto	Il trattamento è necessario per eseguire un contratto con la persona o adottare misure da lei richieste prima del contratto	Usare l’indirizzo del cliente per consegnare il suo ordine
Obbligo legale	Il diritto dell’Unione o di uno Stato membro impone l’operazione	Conservare documenti richiesti dalla disciplina fiscale applicabile
Interessi vitali	Occorre proteggere la vita di una persona e non è realistico fondarsi su altro	Comunicare dati medici essenziali in un’emergenza
Compito di interesse pubblico	Il diritto dell’Unione o di uno Stato membro attribuisce una funzione pubblica o un potere ufficiale	Un ente svolge un compito previsto dalla propria competenza normativa
Interesse legittimo	Esiste una finalità legittima, il trattamento è necessario e i diritti della persona non prevalgono	Prevenire frodi con controlli proporzionati sugli ordini

La tabella orienta, ma non decide al posto del titolare. «È nel contratto» non basta quando l’uso dei dati non è oggettivamente necessario a eseguirlo. Allo stesso modo, un vantaggio commerciale non supera da solo la valutazione dell’interesse legittimo: finalità, necessità e bilanciamento devono reggersi sui fatti ³.

Le conseguenze sui diritti cambiano con la base. La revoca chiude per il futuro il trattamento fondato sul consenso; un obbligo legale può richiedere di mantenere un record; l’interesse legittimo espone l’operazione all’opposizione dell’articolo 21. La scelta deve quindi anticipare anche ciò che accadrà quando una persona eserciterà un diritto.

La scelta comincia dalla finalità

Una stessa raccolta può sostenere più finalità e richiedere analisi separate. L’indirizzo email del cliente può essere necessario per inviare la ricevuta dell’acquisto; usare lo stesso dato per una campagna promozionale costituisce un’operazione ulteriore. Il semplice possesso dell’informazione non crea una base per un nuovo uso.

Descrivere la finalità con un verbo e un risultato rende la scelta verificabile. «Gestione clienti» è troppo ampio; «spedire il prodotto acquistato», «gestire la garanzia» e «proporre accessori per email» rivelano necessità, aspettative e canali differenti. Occorre poi stabilire quali dati siano indispensabili, chi sarà coinvolto e che cosa accadrebbe se la persona rifiutasse.

Questa scomposizione evita di trascinare una base corretta oltre il proprio confine. Il contratto può giustificare l’indirizzo necessario alla consegna, ma non assorbe automaticamente analisi commerciali, dati di terzi o promozioni successive. Ciascuna estensione conserva una finalità, un impatto e una decisione autonomi.

La base va fissata prima del trattamento e comunicata nell’informativa. Cambiarla perché la persona esercita un diritto o perché la valutazione originaria non regge non è una correzione amministrativa. Un cambiamento reale di circostanze richiede un nuovo esame e una comunicazione coerente, non una sostituzione silenziosa dell’etichetta.

Prima dell’approvazione, il responsabile della finalità dovrebbe riuscire a spiegare perché ogni categoria di dati contribuisce al risultato e quale evento riaprirà la scelta. Per obbligo legale e compito pubblico, il record identifica inoltre la norma dell’Unione o dello Stato membro su cui poggia la decisione.

Consenso e interesse legittimo non sono equivalenti

Il consenso offre alla persona un controllo effettivo. Deve essere inequivocabile, separato da condizioni non necessarie, dimostrabile e facile da revocare quanto da prestare. Se un lavoratore teme conseguenze rifiutando, oppure un cliente non può ottenere il servizio senza accettare un uso accessorio, la libertà della scelta è dubbia ².

La revoca opera per il futuro: l’attività fondata sul consenso deve fermarsi, ma il ritiro non rende illecito il trattamento svolto lecitamente prima di quel momento; il sistema deve conservare la prova della scelta e propagare la revoca ai fornitori senza usare una base diversa come sostituto deciso a posteriori.

L’interesse legittimo non chiede alla persona di autorizzare l’operazione. Impone invece al titolare di documentare una finalità concreta, dimostrare che il trattamento sia necessario e bilanciare l’interesse con impatto, aspettative ragionevoli e diritti. La Corte di giustizia ha confermato che i passaggi non possono essere ridotti alla convenienza del titolare ⁴.

Se un metodo meno invasivo raggiunge ragionevolmente lo stesso risultato, la necessità non è dimostrata. Se sorpresa, vulnerabilità o conseguenze per la persona prevalgono, la base non è disponibile. Le salvaguardie contano soltanto quando diventano controlli reali, come dati ridotti, accesso limitato o revisione umana.

Si consideri un controllo antifrode che blocca automaticamente tutti gli ordini provenienti da un quartiere. La prevenzione della frode può essere una finalità legittima, ma il titolare deve ancora dimostrare che quel criterio contribuisca davvero allo scopo, confrontarlo con alternative meno invasive e valutare falsi positivi, effetti discriminatori e possibilità di contestazione. Una revisione umana promessa nel documento ma assente dal flusso non riequilibra il trattamento. Una soglia circoscritta, dati aggiornati e un canale di riesame possono invece cambiare i fatti del bilanciamento, purché vengano verificati nel funzionamento reale.

La legge britannica vigente segue oggi una strada diversa per alcuni scopi specificati, nei quali il passaggio di bilanciamento può cadere pur restando la necessità. Il GDPR dell’Unione non contiene quella settima via: ogni trattamento fondato sull’articolo 6, paragrafo 1, lettera f), conserva finalità, necessità e bilanciamento. Un gruppo che opera nei due ordinamenti deve quindi mantenere decisioni separate, senza trasferire la scorciatoia britannica nel record europeo.

Revoca e opposizione avviano flussi diversi. Un consenso revocato non sostiene più l’uso futuro. Davanti a un’opposizione occorre applicare l’articolo 21; per il marketing diretto il trattamento deve cessare, mentre negli altri casi la risposta segue il confronto previsto dalla norma.

Le categorie particolari chiedono una seconda chiave

Informazioni sanitarie, dati biometrici usati per identificare una persona, convinzioni religiose e le altre categorie particolari richiedono più della base dell’articolo 6. Il titolare deve individuare anche una condizione dell’articolo 9. Per esempio, la gestione di un certificato medico del dipendente può collegarsi a una base ordinaria e, separatamente, a una condizione pertinente in materia di lavoro.

Le due verifiche non si sostituiscono. Scrivere soltanto «dati particolari: obbligo legale» lascia incompleta l’analisi. I dati relativi a condanne penali e reati seguono inoltre il distinto articolo 10; una formula generica non dimostra che condizioni, autorizzazione e salvaguardie applicabili siano state comprese ¹.

La base modifica i diritti che circondano il trattamento

Una base corretta non cancella i diritti della persona, ma determina quale domanda affrontare quando vengono esercitati. Se un cliente chiede la cancellazione di una fattura ancora soggetta a un obbligo, l’impresa distingue il record da mantenere dagli usi accessori che possono cessare. Se il trattamento si fonda sul consenso, la revoca chiude invece la base per gli usi futuri coperti dalla scelta.

La base dell’articolo 6 non rende da sola conforme l’intero trattamento. L’operazione può essere fondata e tuttavia eccessiva, poco trasparente o insicura. Per comunicazioni elettroniche e tecnologie di tracciamento, la direttiva ePrivacy e le norme dello Stato membro che la attuano aggiungono una verifica sul canale ⁵. Il record mantiene separate questa domanda e la base GDPR.

Quando la scelta genera un dubbio operativo o una persona vuole rivolgersi all’autorità competente, il punto di contatto in Italia è il Garante per la protezione dei dati personali. La decisione interna resta comunque verificabile: il nome dell’autorità non sostituisce l’analisi della base.

Un record utilizzabile vale più di un’etichetta

La decisione deve poter essere ripresa da un collega mesi dopo. Una riga «interesse legittimo» non spiega quali fatti siano stati valutati, né consente di reagire a una modifica del servizio. Il record minimo collega l’attività alla decisione operativa e rende visibili i suoi confini.

Campo da registrare	Domanda a cui risponde	Esempio utile
Attività e finalità	Che cosa facciamo e per quale risultato?	Verifica antifrode prima di spedire un ordine
Persone e dati	Chi riguarda e quali elementi usiamo?	Cliente; indirizzo, ordine ed esito del controllo
Base dell’articolo 6	Quale condizione sostiene questa finalità?	Interesse legittimo
Necessità	Perché questi dati e questo metodo sono necessari?	Un controllo limitato riduce ordini fraudolenti senza profilazione estesa
Salvaguardie	Come riduciamo l’impatto sulla persona?	Accesso ristretto, criteri documentati e revisione umana dei blocchi
Trasparenza e diritti	Dove informiamo e come gestiamo le richieste?	Informativa al checkout e canale per contestare l’esito
Riesame	Quale evento riapre la decisione?	Nuova fonte, nuova regola di blocco o aumento dei falsi positivi

Per contratto e obbligo legale, il record indica rispettivamente quale prestazione sarebbe impossibile senza i dati o quale norma dell’Unione o dello Stato membro crea il dovere. Per il consenso servono testo presentato, versione, data, modalità e procedura di revoca. Per l’interesse legittimo occorre conservare l’intera valutazione, non il solo risultato.

Un record maturo delimita anche canale, categorie escluse, destinatari, durata e cambiamenti che riaprono l’analisi. Un nuovo fornitore, una fonte informativa diversa o un pubblico vulnerabile non passano inosservati solo perché il nome dell’attività è rimasto uguale.

Infine, la stessa logica deve apparire nei punti visibili alla persona: informativa, moduli, preferenze e risposte ai diritti. Quando il record interno indica una base ma l’interfaccia promette un’altra forma di controllo, il problema non è terminologico. Il trattamento non è più spiegabile in modo coerente né operabile secondo la decisione registrata.