Quali principi deve rispettare un'azienda quando tratta dati personali?
Un’azienda deve trattare i dati personali in modo lecito, secondo buona fede e proporzionalità, per uno scopo determinato e riconoscibile, verificandone l’esattezza e cancellandoli, distruggendoli o rendendoli anonimi quando non sono più necessari. Se il trattamento richiede il consenso, questo deve essere debitamente informato, libero e riferito a uno o più trattamenti specifici; in alcuni casi è richiesto l’espresso consenso.
I principi di base sono: liceità del trattamento, rispetto della buona fede e della proporzionalità. Inoltre, i dati personali possono essere raccolti soltanto per uno scopo determinato e riconoscibile per la persona interessata. Un uso successivo è ammesso soltanto se compatibile con tale scopo. In pratica, occorre verificare che la finalità sia identificabile fin dall’inizio e che ogni trattamento ulteriore resti coerente con essa, senza estendere l’uso dei dati oltre quanto consentito da questi principi.[1]
Un altro obbligo centrale riguarda il ciclo di vita e la qualità dei dati. I dati personali devono essere distrutti o resi anonimi appena non sono più necessari per lo scopo del trattamento. Chi tratta dati personali deve anche accertarsi della loro esattezza e adottare tutte le misure adeguate per rettificare, cancellare o distruggere i dati inesatti o incompleti rispetto allo scopo per il quale sono stati raccolti o trattati. L’adeguatezza delle misure dipende segnatamente dal tipo e dall’entità del trattamento dei dati e dai rischi derivanti dal trattamento per la personalità o i diritti fondamentali della persona interessata.[1]
- Se il consenso è una condizione necessaria per il trattamento, è valido soltanto se, dopo debita informazione, è dato in modo libero e in riferimento a uno o più trattamenti specifici.
- È necessario l’espresso consenso per il trattamento di dati personali degni di particolare protezione.
- È necessario l’espresso consenso per la profilazione a rischio elevato da parte di privati.
- È necessario l’espresso consenso per la profilazione da parte di un organo federale.
Questa risposta riassume il testo legale citato come pubblicato su Fedlex. Prima di agire, occorre verificare la disposizione attualmente in vigore e ogni successiva modifica.[1]