1. Il trattamento dei dati personali è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
a) l’interessato ha manifestato il consenso al trattamento dei propri dati personali per una o più specifiche finalità;
b) il trattamento è necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali prese su richiesta dello stesso;
c) il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento;
d) il trattamento è necessario per la salvaguardia degli interessi vitali dell’interessato;
e) il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il responsabile del trattamento;
f) il trattamento è necessario per il perseguimento del legittimo interesse del responsabile del trattamento, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore. Ciò non si applica al trattamento di dati effettuato dalle autorità pubbliche nell’esercizio dei loro compiti.
2. Il trattamento dei dati personali relativi alla salute che risulti necessario per finalità storiche, statistiche o di ricerca scientifica è lecito, fatte salve le condizioni e le garanzie di cui all’articolo 83.
3. La base su cui si fonda il trattamento dati di cui al paragrafo 1, lettere c) ed e), deve essere prevista:
a) dal diritto dell’Unione, o
b) dalla legislazione dello Stato membro cui è soggetto il responsabile del trattamento. Il diritto dello Stato membro deve perseguire un obiettivo di interesse pubblico o essere necessario per proteggere i diritti e le libertà altrui, rispettare il contenuto essenziale del diritto alla protezione dei dati personali ed essere proporzionato all’obiettivo legittimo.
4. Se lo scopo dell’ulteriore trattamento non è compatibile con quello per il quale i dati personali sono stati raccolti, il trattamento deve avere come base giuridica almeno uno dei motivi di cui al paragrafo 1, lettere da a) ad e). Ciò si applica in particolare ad eventuali cambiamenti dei termini e delle condizioni generali del contratto.
5. Alla Commissione è conferito il potere di adottare atti delegati conformemente all’articolo 86 al fine di precisare le condizioni di cui al paragrafo 1, lettera f), per vari settori e situazioni di trattamento dei dati, anche con riferimento al trattamento dei dati personali concernenti un minore.
