Ogni trattamento di dati personali ha bisogno di una «giustificazione» giuridica: senza, è semplicemente illecito. È la base giuridica, e sceglierla correttamente è una delle decisioni più importanti — e più sbagliate — nell’applicazione del GDPR. Vediamo quali sono le basi disponibili e perché il consenso non è sempre la risposta giusta.
Perché serve una base giuridica
L’articolo 6 del GDPR stabilisce che un trattamento è lecito solo se fondato su almeno una delle basi giuridiche elencate. Non si tratta di una formalità: individuare la base corretta determina gli obblighi del titolare e i diritti dell’interessato (ad esempio, la possibilità di revocare il consenso o di opporsi al trattamento).
Le sei basi di liceità
Il paragrafo 1 dell’articolo 6 prevede sei condizioni alternative:
- il consenso dell’interessato;
- l’esecuzione di un contratto (o di misure precontrattuali);
- l’adempimento di un obbligo legale;
- la salvaguardia di un interesse vitale;
- l’esecuzione di un compito di interesse pubblico o connesso ai pubblici poteri;
- il perseguimento di un legittimo interesse del titolare o di terzi.
Il consenso non è sempre la base migliore
Un equivoco diffuso è ritenere che serva «sempre il consenso». Spesso non è così: per dare seguito a un ordine la base corretta è il contratto; per conservare le fatture, l’obbligo legale. Il consenso, essendo revocabile in ogni momento, è anzi una base fragile per i trattamenti necessari all’attività. Sul punto si veda la guida dedicata al consenso.
Il legittimo interesse
Il legittimo interesse (lettera f) consente il trattamento quando vi sia un interesse concreto e lecito del titolare o di terzi, a condizione che non prevalgano i diritti e le libertà dell’interessato. È una base flessibile — utile, ad esempio, per la sicurezza delle reti, la prevenzione delle frodi o alcune forme di marketing verso i propri clienti — ma non è disponibile per le autorità pubbliche nell’esercizio dei loro compiti.
Il test di bilanciamento
Per usare il legittimo interesse occorre svolgere e documentare un test di bilanciamento: individuare l’interesse perseguito, verificarne la necessità (non esistono modi meno invasivi), e bilanciarlo con i diritti e le ragionevoli aspettative dell’interessato. Se il bilanciamento è a sfavore di quest’ultimo, la base non è utilizzabile.
La coerenza con l’informativa
La base giuridica scelta va indicata nell’informativa: l’interessato ha diritto di sapere su quale fondamento i suoi dati sono trattati. Una base dichiarata e poi smentita dai fatti è essa stessa una violazione.
Cosa dice la giurisprudenza
Sui confini del legittimo interesse è intervenuta di recente la Corte di giustizia. Con la sentenza 4 ottobre 2024 (causa C-621/22, KNLTB) la CGUE ha chiarito che anche un interesse puramente commerciale del titolare può, in linea di principio, costituire un legittimo interesse ai sensi dell’art. 6, par. 1, lett. f): non è richiesto che l’interesse sia previsto dalla legge. La liceità resta però subordinata al superamento del triplice test: l’interesse dev’essere lecito, il trattamento strettamente necessario alla sua realizzazione (in assenza di alternative meno invasive, come il previo consenso) e non deve prevalere sui diritti e sulle ragionevoli aspettative dell’interessato al momento della raccolta. La lezione pratica è netta: il legittimo interesse non è una scorciatoia per evitare il consenso, ma una base che si regge soltanto su un bilanciamento serio e documentato.
Domande frequenti
Serve sempre il consenso per trattare i dati? No: il consenso è solo una delle sei basi. Spesso quella corretta è il contratto, l’obbligo legale o il legittimo interesse.
Cos’è il legittimo interesse? Una base che consente il trattamento per un interesse lecito del titolare o di terzi, purché non prevalgano i diritti dell’interessato; richiede un test di bilanciamento documentato.
Posso cambiare base giuridica in corso d’opera? È sconsigliato e delicato: la base va individuata correttamente fin dall’inizio e dichiarata nell’informativa.
Individuare la base giuridica corretta per ciascun trattamento è il fondamento di un adeguamento solido. Offriamo supporto nella mappatura delle basi giuridiche nell’ambito della consulenza in materia di privacy e GDPR.
Il presente approfondimento ha finalità informative e non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 23 giugno 2026.