Una grande novità della Direttiva del 1995, introdotta al fine di garantire una maggiore armonizzazione della legislazione degli Stati membri, fu l’individuazione di una serie di principi, di cui all’Articolo 7, e più esattamente di una lista esaustiva di “principi relativi alla legittimazione del trattamento dei dati” – che in seguito sarebbero stati definiti le “basi giuridiche” per il trattamento dei dati personali.

Riassumendo, ai sensi della Direttiva, il trattamento dei dati personali (non sensibili) poteva essere effettuato solo quando:

(a) la persona interessata ha manifestato il proprio consenso in maniera inequivocabile, (consenso che deve naturalmente essere “manifestazione di libera volontà, specifica, informata” e “espressa”, Art. 2(h), di cui abbiamo già parlato); oppure

(b) il trattamento è necessario all'esecuzione del contratto concluso con la persona interessata o all'esecuzione di misure precontrattuali prese su richiesta di tale persona (ad es., per una verifica di solvibilità); oppure

(c) il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento; oppure (d) il trattamento è necessario per la salvaguardia dell'interesse vitale della persona interessata; oppure

(e) il trattamento è necessario per lo svolgimento di un compito di interesse pubblico o nell’esercizio di pubblici poteri di cui è investito il responsabile del trattamento o il terzo cui vengono comunicati i dati; oppure

(f) il trattamento è necessario per il perseguimento dell'interesse legittimo del responsabile del trattamento oppure del o dei terzi cui vengono comunicati i dati, a condizione che non prevalgano l'interesse o i diritti e le libertà fondamentali della persona interessata, che richiedono tutela ai sensi dell'Articolo 1(1). [il cosidetto “interesse legittimo” o criterio/base giuridica del“bilanciamento”]. In sostanza, nella maggioranza dei casi era consentito trattare dati personali non sensibili sulla base di una norma di legge o per fini contrattuali, oppure con il consenso della persona interessata, o per il perseguimento di un interesse legittimo del titolare purché non prevalessero gli interessi o i diritti e le libertà fondamentali della persona interessata. Questa lista non figurava nella Convenzione sulla protezione dei dati del 1981.

Fonte: Manuale RPD - Linee guida destinate ai Responsabili della protezione dei dati nei settori pubblici e parapubblici per il rispetto del Regolamento generale sulla protezione dei dati dell’Unione Europea (versione approvata dalla Commissione, luglio 2019