La sentenza 3 Marzo 2023 della Corte di Giustizia UE nella causa C-268/21 (Norra Stoc-kholm Bygg AB vs. Per Nycander AB) chiarisce interpretativamente la portata applicativa delle disposizioni di cui all'art. 6 del Regolamento Generale UE sulla protezione dei dati personali n. 679/2016 (“GDPR”), con particolare riferimento al comma 3 (che prevede che quando un trattamento è necessario per adempiere ad un obbligo legale o per la esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento, la base del trattamento debba essere stabilita o dalla legislazione UE o da quella dello Stato Membro cui è soggetto il Titolare del trattamento) e al comma 4 (che prevede che laddove il trattamento per una finalità diversa da quella per la quale i dati personali sono stati raccolti non sia basato sul consenso dell'interessato o su un atto legislativo dell'Unione o degli Stati membri, detto trattamento per un'altra finalità deve essere compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti).