Kontrolluesi ka detyrimin të sigurojë që përpunimi i të dhënave personale është i ligjshëm. Përpunimi i të dhënave personale kryhet nëse ka:
- Baza ligjore
Zakonisht baza ligjore për përpunimin e të dhënave personale gjendet në rregulloret ligjore të një sektori apo zone të veçantë.[6]
- Pëlqimi nga subjekti i të dhënave personale
Kontrolluesi ka detyrimin të provojë se subjekti ka dhënë pëlqimin për përpunimin e të dhënave të tij personale. Nëse pëlqimi jepet në formën e një deklarate me shkrim, ai duhet të jepet në një formë të kuptueshme dhe lehtësisht të aksesueshme, duke përdorur një gjuhë të qartë dhe të thjeshtë. Subjekti ka të drejtë të tërheqë pëlqimin në çdo kohë. Tërheqja e pëlqimit nuk cenon ligjshmërinë e përpunimit bazuar në pëlqimin e dhënë përpara tërheqjes së tij.
Për të vlerësuar nëse pëlqimi për përpunimin e të dhënave personale është dhënë vullnetarisht nga subjekti, duhet të përcaktohet nëse përmbushja e të drejtave dhe detyrimeve të kontratës kushtëzohet nga pëlqimi i dhënë.[7]
Përpunimi do të konsiderohet i ligjshëm, nëse kryhet për qëllime:
- Përmbushja e një kontrate në të cilën subjekti është palë kontraktuese
Në secilin rast specifik, do të vlerësohet se cilat të dhëna janë të nevojshme për qëllimin që do të arrihet duke vendosur marrëdhënien kontraktuale. Për më tepër, nuk ka një rregull të përgjithshëm në bazë të të cilit do të përcaktoheshin të dhënat që do të konsiderohen të nevojshme për qëllimin përkatës, ndaj çdo kontratë specifike duhet të shqyrtohet tërësisht.[8]
- Pajtueshmëria me një detyrim ligjor të kontrollorit
Çdo kontrollues ka detyrimin të zbulojë të dhënat personale nga koleksionet e tij, kur ekziston një bazë ligjore për ta bërë këtë.[9]
- Mbrojtja e jetës ose e interesave thelbësore të subjektit
Kjo nënkupton që përpunimi i të dhënave personale mund të kryhet edhe për qëllime të mbrojtjes së integritetit fizik dhe moral ose interesave të tjera thelbësore të subjektit të të dhënave personale.[10]
- Kryerja e punëve me interes publik ose autoriteti zyrtar
Thirrja në këtë bazë ligjore ndonjëherë paraqet rrezik për veprime diskrecionale. Për të parandaluar këtë, duhet të merren parasysh kriteret e mëposhtme:
Në sektorin publik, kryerja e punëve me interes publik ose ekzekutimi i një autorizimi zyrtar të kontrollorit ose të një pale të tretë të cilit i janë dhënë të dhënat, duhet të ketë bazë ligjore. Në sektorin privat, autorizimi duhet të ketë bazë në një akt të caktuar ligjor.[11]
- Plotësimi i një interesi legjitim të kontrollorit
Çdo interes që nuk është në kundërshtim me parimet themelore ligjore mund të konsiderohet legjitim, por nëse përpunimi i të dhënave do të kërcënonte të drejtat dhe liritë themelore të subjektit të të dhënave, atëherë mbizotërojnë interesat e tij dhe përpunimi nuk do të lejohet. Prandaj, balancimi i interesave mund të shërbejë si bazë ligjore për operacionet e përpunimit të të dhënave personale që nuk mund të vihen nën asnjë bazë tjetër ligjore.[12]
[6] Shembull: Kodi Zgjedhor përmban bazën ligjore për përpunimin e të dhënave personale të qytetarëve në Listën Zgjedhore.
[7] Shembull: Operatorët e shërbimeve të komunikimit elektronik, bankat, shoqëritë e sigurimit apo çdo shoqëri tjetër, pasi të kenë krijuar një marrëdhënie biznesi me përdoruesit, klientët, të siguruarit, mund të përdorin të dhënat e tyre personale për marketing të drejtpërdrejtë, vetëm në bazë të pëlqimit të tyre të shprehur. të jetë në një formë që bën të mundur deklarimin nëse të dhënat mund të përdoren për këtë qëllim apo jo. Bazuar në këtë pëlqim, të dhënat e tyre personale mund të përpunohen vetëm për qëllime të marketingut të drejtpërdrejtë, por jo për qëllime të tjera.
[8] Shembull: Kryesisht në çdo kontratë përpunohen të dhënat personale të personave fizikë apo përfaqësuesve të personave juridikë si palë kontraktuese (emri dhe mbiemri, vendbanimi, numri i sigurimeve shoqërore, numri i kartës së identitetit), por nëse dhe cilat të dhëna të tjera personale do të procedohet varet nga lënda e kontratës dhe qëllimi për të cilin është lidhur.
[9] Shembull: Personat fizikë dhe juridikë, autoritetet shtetërore ose organe të tjera kanë detyrimin të paraqesin të dhënat personale në gjykatat kompetente, me qëllim paraqitjen e tyre si provë në procedurë gjyqësore, kur këto të dhëna kërkohen në mënyrën e përcaktuar me ligj. .
[10] Shembull: Në raste të jashtëzakonshme, si fatkeqësitë natyrore, emergjenca ose lufta, etj., autoritetet e autorizuara do të kenë të drejtë të zbulojnë të dhëna të caktuara personale (emër dhe mbiemër, vendndodhje) me qëllim gjetjen ose shpëtimin e një personi të caktuar.
[11] Shembull: Instituti i Shëndetit Publik dhe Qendrat e Shëndetit Publik me qëllim të kryerjes së punëve në interes publik – parandalimi dhe parandalimi në kohë i përhapjes së sëmundjes infektive, mund të përpunojnë të dhënat personale të personave të sëmurë, por edhe të personave me të cilët të sëmurët ishin në kontakt.
[12] Shembull: Të dhënat personale të një subjekti të caktuar (emri, mbiemri dhe numri i telefonit) publikohen publikisht në një drejtori telefonike për një qëllim të caktuar – për të krijuar kontakt. Këto të dhëna personale, të cilat më parë janë publikuar publikisht në një drejtori telefonike, mund të përpunohen edhe për një qëllim tjetër – për të kryer kërkime, nëse subjekti pyetet nëse pranon të marrë pjesë në hulumtim. Njëkohësisht, një përpunim i tillë i të dhënave personale do të konsiderohet legjitim, veçanërisht sepse në këtë mënyrë nuk kërcënohen liritë dhe të drejtat e subjektit. Megjithatë, përdorimi i të dhënave nga libri telefonik për kryerjen e marketingut të drejtpërdrejtë nuk do të mund të futet në këtë bazë ligjore, sepse në ZZLP thuhet shprehimisht se marketingu i drejtpërdrejtë mund të kryhet ekskluzivisht në bazë të pëlqimit të shprehur të subjekti i të dhënave personale.
