Il GDPR prevede una disciplina ad hoc per la ricerca scientifica che, derogando regole e considerazioni generali, permette il trattamento dei dati e contemporaneamente tutela i diritti e le libertà fondamentali del soggetto interessato. L’European Data Protection Board (EDPB) ha pubblicato alcune linee guida per rispondere alle numerose domande sorte ai titolari, ai responsabili e alle autorità di supervisione nell’applicazione del GDPR al trattamento di dati personali per scopi scientifici.
Innanzitutto, vengono individuati sei indicatori in presenza dei quali si presume la sussistenza di uno scopo scientifico nel trattamento dei dati e l’applicabilità delle regole di favore previste dal GDPR.
L’EBPD poi esclude la necessità di effettuare il test di compatibilità previsto dall’art. 6 GDPR, sui dati raccolti con finalità di ricerca scientifica, al fine di sottoporli al successivo trattamento. In questi casi, è infatti esclusivamente richiesto che il titolare verifichi la liceità di tale trattamento.
Per quanto riguarda il periodo di conservazione dei dati, nelle linee guida viene precisato che i titolari dei trattamenti dei dati personali per finalità di ricerca scientifica possono conservare i dati per un periodo di tempo più lungo, anche qualora l’originale finalità per cui sono stati raccolti sia stata completata. Ad esempio, qualora la ricerca iniziale abbia creato nuovi progetti di ricerca, è consentito conservare i dati personali anche per tali progetti.
Con riferimento alla base giuridica del trattamento, viene prevista la possibilità di utilizzare il consenso, quando non sia totalmente nota la finalità della ricerca nel momento in cui vengono raccolti i dati personali, e il pubblico interesse, anche da parte dei ricercatori privati e anche qualora le finalità del trattamento siano commerciali. Infatti, la ricerca scientifica è considerata in ogni caso un’attività importante che beneficia l’intera società.
L’EDPB precisa, inoltre, che gli Stati membri possono imporre maggiori limitazioni e condizioni oppure autorizzare il trattamento di speciali categorie di dati personali, purché adottino previsioni a tutela dei diritti fondamentali degli interessati.
Fondamentali sono gli obblighi di trasparenza: qualora i titolari trattino i dati personali con finalità di ricerca scientifica per lunghi periodi, devono adottare misure appropriate per garantire la trasparenza. L’obbligo di trasparenza vige anche qualora il titolare tratti i dati servendosi di un responsabile: sarà quest’ultimo a dover garantire la trasparenza, fornendo le informazioni necessarie agli interessati.
Nelle linee guida viene altresì specificato che il diritto alla cancellazione dei propri dati personali, garantito dal GDPR, incontra una deroga qualora la venuta meno di quei dati impatterebbe in maniera determinante o, addirittura, renderebbe impossibile condurre la ricerca scientifica, purché il titolare abbia adottato misure di salvaguardia appropriate. Allo stesso modo, per il diritto di opposizione al trattamento: i titolari possono rigettare un’opposizione se i dati sono funzionali ad ottenere risultati di pubblico interesse.
L’EDPB sottolinea che, quando sono coinvolti più soggetti nel trattamento dei dati, è importante che sia chiara l’allocazione delle responsabilità tra i vari soggetti, in modo da garantire all’interessato di comprendere nei confronti di chi può esercitare i propri diritti.
Infine, viene previsto che i titolari del trattamento devono prevedere misure di salvaguardia dei diritti e delle libertà fondamentali, in linea con i principi di minimizzazione, anonimizzazione e pseudonimizzazione. Il trattamento di dati che conduce al riconoscimento dell’interessato è ammesso solo quando strettamente necessario e proporzionato a raggiungere un obiettivo nella ricerca scientifica.