Che cosa fare prima di registrare fonti orali

Le indicazioni che seguono, su come impostare un'intervista ai sensi della normativa vigente, sono generali e meramente orientative, anche perché chi le ha elaborate si occupa prevalentemente del trattamento di archivi orali già costituiti.

Oltre che alla normativa di base – rappresentata dal GDPR – esse fanno principalmente riferimento alle “Regole deontologiche per il trattamento a fini di archiviazione nel pubblico interesse o per scopi di ricerca storica”, indirizzate a coloro che raccolgono e trattano fonti orali per scopi storici. Al di fuori di tale ambito, si dovrà fare riferimento a quanto previsto nel GDPR per i trattamenti con altre finalità e alle regole deontologiche emanate per altri settori.

In aggiunta, occorre considerare che l'applicazione della normativa agli ambiti di ricerca e professionali che fanno uso dell'intervista (e quindi producono "fonti orali": antropologia, giornalismo, linguistica, medicina, psicologia, sociologia, storia, ecc.) ha in realtà diverse interpretazioni e soluzioni, anche perché si interseca con le metodologie e le prassi proprie di ciascuna disciplina.

Per indicazioni più specifiche si rimanda quindi alle procedure stabilite dalle associazioni scientifiche e professionali di riferimento.

1. Che cosa fare prima di registrare fonti orali

Alla luce di quanto precedentemente esposto appare evidente che, prima di iniziare la raccolta di testimonianze orali, occorre prepararsi rispetto agli adempimenti richiesti dalla normativa sulla tutela dei dati personali.

Adempimenti legali prima della registrazione di fonti orali

1. Definizione della base giuridica del trattamento dei dati (in base alla missione istituzionale del soggetto titolare dei dati raccolti, alle finalità da perseguire e al tipo di dati da trattare);

2. Consegna dell’informativa all’interessato (salvo specifiche eccezioni, sempre obbligatoria a prescindere dalla base giuridica del trattamento)

3. Acquisizione dell’autorizzazione all’intervista da parte dell’interessato.

1.1. Base giuridica del trattamento

Primo e indispensabile passo da compiere - in quanto necessario fondamento di liceità per poter procedere alla raccolta, archiviazione e utilizzo dei dati - è l’individuazione della c.d. base giuridica del trattamento, tra quelle tassativamente elencate all’art. 6 del GDPR, riportato sopra.

La responsabilità di indicare una idonea base legale al trattamento spetta al titolare.

Non si tratta di una scelta propriamente libera, dal momento che il GDPR definisce specifiche condizioni per ciascuna delle basi giuridiche indicate, eventualmente da integrare con ulteriori specificazioni contenute nelle normative nazionali.

Il titolare è inoltre tenuto a comunicare agli interessati la base giuridica del trattamento per mezzo di una informativa e dovrà essere sempre in grado di dimostrare la correttezza delle proprie valutazioni. Si tratta quindi di un aspetto particolarmente delicato, in grado di condizionare non solo gli immediati sviluppi di una ricerca, ma anche le future possibilità di conservazione e utilizzo dei dati raccolti. Secondo la definizione del GDPR, infatti, il termine “trattamento” comprende non solo la raccolta dei dati, ma qualsiasi altra operazione su essi compiuta (registrazione, organizzazione, conservazione, modifica, estrazione, comunicazione, diffusione etc.).

La base giuridica del trattamento dovrebbe quindi essere idonea, sin dall’inizio, ad assicurare adeguata copertura legale anche a futuri utilizzi delle fonti orali, con particolare riferimento alla possibilità di una loro consultazione per scopi diversi rispetto a quelli originari e/o di ulteriore diffusione.

In concreto, il titolare del trattamento dovrà individuare la propria posizione giuridica “legittimante” in considerazione di molteplici fattori, principalmente in relazione al proprio mandato istituzionale (per gli enti), alle specifiche finalità, modalità e tempi del trattamento dei dati, nonché alla tipologia di dati personali oggetto di trattamento. Riguardo quest’ultimo aspetto, si ricorda infatti che l’art. 9 del GDPR limita il trattamento delle categorie particolari di dati personali, ponendo una serie di condizioni più stringenti.

GDPR

Articolo 9

Trattamento di categorie particolari di dati personali

1. È vietato trattare dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona. (C51)

2. Il paragrafo 1 non si applica se si verifica uno dei seguenti casi: (C51, C52)

a) l'interessato ha prestato il proprio consenso esplicito al trattamento di tali dati personali per una o più finalità specifiche, salvo nei casi in cui il diritto dell'Unione o degli Stati membri dispone che l'interessato non possa revocare il divieto di cui al paragrafo 1;

b) il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell'interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell'Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell'interessato;

c) il trattamento è necessario per tutelare un interesse vitale dell'interessato o di un'altra persona fisica qualora l'interessato si trovi nell'incapacità fisica o giuridica di prestare il proprio consenso;

d) il trattamento è effettuato, nell'ambito delle sue legittime attività e con adeguate garanzie, da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali, a condizione che il trattamento riguardi unicamente i membri, gli ex membri o le persone che hanno regolari contatti con la fondazione, l'associazione o l'organismo a motivo delle sue finalità e che i dati personali non siano comunicati all'esterno senza il consenso dell'interessato;

e) il trattamento riguarda dati personali resi manifestamente pubblici dall'interessato;

f) il trattamento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali;

g) il trattamento è necessario per motivi di interesse pubblico rilevante sulla base del diritto dell'Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l'essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato; (C55, C56)

h) il trattamento è necessario per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali sulla base del diritto dell'Unione o degli Stati membri o conformemente al contratto con un professionista della sanità, fatte salve le condizioni e le garanzie di cui al paragrafo 3; (C53)

i) il trattamento è necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell'assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell'Unione o degli Stati membri che prevede misure appropriate e specifiche per tutelare i diritti e le libertà dell'interessato, in particolare il segreto professionale; (C54)

j) il trattamento è necessario a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici in conformità dell'articolo 89, paragrafo 1, sulla base del diritto dell'Unione o nazionale, che è proporzionato alla finalità perseguita, rispetta l'essenza del diritto alla protezione dei dati e prevede misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato.

Alcune associazioni disciplinari hanno già prodotto linee guida di riferimento per i ricercatori e gli istituti che si occupano di fonti orali. Riportiamo qui di seguito le indicazioni che le Associazioni di storia orale – come la britannica Oral History Society (OHS) e l’Associazione Italiana di Storia Orale (AISO) – danno ai ricercatori su come indicare la base giuridica del trattamento ai sensi del GDPR.

OHS e AISO suggeriscono ai ricercatori di indicare come base giuridica del trattamento la “esecuzione di un compito di interesse pubblico” (dall’art. 6, par. 1, lett. e) del GDPR), se operano nell’ambito di un’istituzione pubblica che ha tra i propri scopi statutari quello della ricerca o della raccolta di documentazione (università, scuole, centri di ricerca, biblioteche e archivi pubblici); di indicare il “perseguimento del legittimo interesse” negli altri casi.

In entrambi i casi, il trattamento delle “categorie particolari di dati personali” viene effettuato per fini di “archiviazione nel pubblico interesse, di ricerca scientifica o storica” (art. 9, par. 2, lett. j).

Invitano il ricercatore a essere consapevole che, qualora facesse affidamento sul “consenso dell’interessato” come base giuridica del trattamento (dall’art. 6, par. 1, lett. a) del GDPR), egli dovrà acquisire anche il consenso di ogni persona identificabile dall'intervista, non solo dell'intervistato, e questa acquisizione potrebbe rivelarsi proibitiva.

Osservano che una delle caratteristiche del consenso ai sensi del GDPR è che può essere revocato in qualsiasi momento; per questo, se il consenso viene revocato, non è possibile sostituire un'altra base giuridica per continuare a trattare tali dati. Perciò ritengono consigliabile utilizzare una delle altre basi legali, diverse dal consenso dell’interessato, quando si crea materiale per un archivio storico permanente.

Per un approfondimento, vedi più avanti il paragrafo Che cos’è il “consenso dell’interessato”.

In accordo con i principi di responsabilità e trasparenza intorno a cui è costruito il GDPR, prima e durante il trattamento occorrerà quindi fornire e acquisire documentazione utile, da un lato, all’assolvimento di una serie di obblighi informativi posti in capo al titolare del trattamento e funzionale, dall’altro, all’esercizio dei diritti riconosciuti all’interessato. A questo proposito è essenziale e risolutivo poter disporre di modelli di documenti (informative, moduli per il consenso, liberatorie per la cessione di diritti etc.) che rispettino i principi di legalità e trasparenza fissati dal GDPR. A tal fine, in Appendice è riportata una selezione di modelli da usare come riferimento.

Parte della documentazione che accompagnerà il ciclo di vita di una fonte orale potrà essere acquisita anche in fasi successive a quella della produzione della fonte stessa.

Per esempio, le Regole deontologiche per il trattamento a fini di archiviazione nel pubblico interesse o per scopi di ricerca storica pubblicate ai sensi dell’art. 20, comma 4, del d.lgs. 10 agosto 2018, n. 101 – 19 dicembre 2018 [9069661] all’articolo 8, comma 2 prevedono che: “gli archivi che acquisiscono fonti orali richiedono all’autore dell’intervista una dichiarazione scritta dell’avvenuta comunicazione degli scopi perseguiti nell’intervista stessa e del relativo consenso manifestato dagli intervistati”.

Inoltre, salvo le eccezioni tassativamente individuate nel GDPR, ogni sostanziale cambiamento delle finalità del trattamento richiederà il rilascio di una nuova informativa e, se necessario, l’acquisizione di un nuovo consenso.

Di seguito si forniscono alcuni approfondimenti relativi all’informativa, mentre per una più specifica disamina delle possibilità e modalità di uso e riuso di fonti orali dopo la raccolta dei dati si rimanda al capitolo dedicato a Accessibilità e valorizzazione di questo Vademecum.

1.2. L’informativa

a. Cos’è l’informativa e quando è necessaria. _ L’informativa ha lo scopo di assolvere al dovere del titolare di assicurare la trasparenza e correttezza dei trattamenti fin dalla loro progettazione e di essere in grado di provarlo in qualunque momento (principio di accountability).

L’informativa è la comunicazione attraverso la quale il titolare del trattamento fornisce all'interessato le informazioni dovute ai sensi dell’art. 12 del GDPR, in particolare sulla base giuridica, le finalità e le modalità dei trattamenti operati.

GDPR

Articolo 12

Informazioni, comunicazioni e modalità trasparenti per l'esercizio dei diritti dell'interessato

1. Il titolare del trattamento adotta misure appropriate per fornire all'interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all'articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall'interessato, le informazioni possono essere fornite oralmente, purché sia comprovata con altri mezzi l'identità dell'interessato.

2. Il titolare del trattamento agevola l'esercizio dei diritti dell'interessato ai sensi degli articoli da 15 a 22. Nei casi di cui all'articolo 11, paragrafo 2, il titolare del trattamento non può rifiutare di soddisfare la richiesta dell'interessato al fine di esercitare i suoi diritti ai sensi degli articoli da 15 a 22, salvo che il titolare del trattamento dimostri che non è in grado di identificare l'interessato.

3. Il titolare del trattamento fornisce all'interessato le informazioni relative all'azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. Il titolare del trattamento informa l'interessato di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta. Se l'interessato presenta la richiesta mediante mezzi elettronici, le informazioni sono fornite, ove possibile, con mezzi elettronici, salvo diversa indicazione dell'interessato.

4. Se non ottempera alla richiesta dell'interessato, il titolare del trattamento informa l'interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale.

5. Le informazioni fornite ai sensi degli articoli 13 e 14 ed eventuali comunicazioni e azioni intraprese ai sensi degli articoli da 15 a 22 e dell'articolo 34 sono gratuite. Se le richieste dell'interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può:

a) addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l'azione richiesta; oppure

b) rifiutare di soddisfare la richiesta.

Incombe al titolare del trattamento l'onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta.

6. Fatto salvo l'articolo 11, qualora il titolare del trattamento nutra ragionevoli dubbi circa l'identità della persona fisica che presenta la richiesta di cui agli articoli da 15 a 21, può richiedere ulteriori informazioni necessarie per confermare l'identità dell'interessato.

7. Le informazioni da fornire agli interessati a norma degli articoli 13 e 14 possono essere fornite in combinazione con icone standardizzate per dare, in modo facilmente visibile, intelligibile e chiaramente leggibile, un quadro d'insieme del trattamento previsto. Se presentate elettronicamente, le icone sono leggibili da dispositivo automatico.

8. Alla Commissione è conferito il potere di adottare atti delegati conformemente all'articolo 92 al fine di stabilire le informazioni da presentare sotto forma di icona e le procedure per fornire icone standardizzate.

In linea di massima, l’informativa deve essere obbligatoriamente rilasciata per ogni trattamento di dati, a prescindere dalla base giuridica del trattamento, nonché ogni volta che il titolare intenda trattare ulteriormente i dati personali per finalità diverse da quelle per cui essi sono stati inizialmente raccolti. Vi sono ad ogni modo delle eccezioni in considerazione di particolari finalità o circostanze. Non vi è, ad esempio, obbligo di fornire l’informativa se il trattamento riguarda dati anonimi (ad es. aggregati) o dati di enti o persone giuridiche, o se il trattamento è effettuato da una persona fisica per attività a carattere esclusivamente personale e domestico.

Ai fini della raccolta di fonti orali sarà utile sapere che l’informativa non è obbligatoria quando gli interessati dispongono già delle informazioni (art. 13 GDPR): ciò significa ad esempio che, qualora in un progetto di ricerca vengano registrate più interviste dello stesso testimone, non sarà necessario fornire ogni volta l’informativa se non cambiano scopi e modalità di trattamento delle informazioni.

b. Tempi e modalità dell’informativa. - L’obbligo di informare gli interessati va adempiuto prima o al massimo al momento di dare avvio alla raccolta dei dati.

L'informativa deve essere resa “in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro”.

L’informativa può essere fornita per iscritto o con altri mezzi (anche elettronici) e, se richiesto dall'interessato, anche oralmente, purché la sua identità sia comprovata con altri mezzi. È tuttavia preferibile fornire l’informativa in forma tale da provarne l'esistenza e consentire alle autorità di vigilanza di verificarne la completezza e correttezza.

c. Contenuto minimo dell’informativa. - I contenuti minimi dell’informativa sono elencati nel GDPR agli artt. 13 (raccolta dei dati presso l’interessato) e 14 (dati raccolti da fonti diverse dall’interessato).

Sarà indispensabile comunicare:

− categorie di dati trattati e finalità del trattamento;

− base giuridica del trattamento;

− dati identificativi del titolare del trattamento e, se designato, del responsabile per la protezione dei dati (DPO);

− diritti dell’interessato (accesso, rettifica, cancellazione, limitazione, opposizione, revoca del consenso, reclamo all'autorità di controllo);

− il periodo di conservazione dei dati oppure l'indicazione dei criteri per determinarlo;

− l’intenzione del titolare di utilizzare i dati per una finalità diversa da quella per la quale sono stati raccolti;

− soggetti destinatari (anche per categorie) ai quali i dati possono essere comunicati e l’ambito di diffusione dei dati medesimi (l’indicazione di soggetti terzi non può essere generica).

Nel caso di dati raccolti presso terze parti, l’informativa deve presentare dei contenuti ulteriori, tra cui l’indicazione della fonte da cui hanno origine i dati personali (che può essere anche fonte accessibile al pubblico).

1.3. L’autorizzazione all’intervista

Un passaggio ulteriore richiesto a chi registra delle fonti orali a scopo di ricerca è quello volto a ottenere, dalle persone coinvolte, l’autorizzazione a essere intervistate, cioè a partecipare alla ricerca condividendo informazioni, opinioni, racconti, a prescindere dai dati personali che esse potranno riferire o meno. Su questo piano il GDPR non introduce novità di rilievo, e il quadro di riferimento è dato dalle buone prassi deontologiche delle diverse comunità di ricerca.

Per esempio, le Buone pratiche per la storia orale indicano che è possibile ottenere l’autorizzazione all’intervista in forma scritta o eventualmente in forma orale. Nel primo caso, si farà firmare alla persona interessata un modulo (quale, ad esempio, il Modulo di autorizzazione all’intervista che si trova in appendice); nel secondo caso, il consenso sarà registrato all’inizio dell’intervista e possibilmente ribadito al termine. Si rinvia alle Buone pratiche per la storia orale per ulteriori dettagli e precisazioni.

È importante, però, rimarcare anche qui la distinzione sia concettuale sia materiale tra il Modulo di autorizzazione all’intervista e quello che il GDPR prescrive di comunicare in maniera analitica agli individui interessati, cioè l’Informativa sul trattamento dei dati personali nella raccolta di fonti orali. Con il primo, il ricercatore comunica alla persona intervistata l’oggetto e le finalità della propria ricerca, e su questo le chiede di esprimere il consenso a partecipare alla ricerca concedendo l’intervista; con la seconda, il ricercatore informa la persona intervistata sulle modalità in cui i suoi dati verranno trattati, inclusi luogo e durata della conservazione, responsabili giuridici del trattamento e condizioni che regolano il recesso dall'autorizzazione al trattamento dei suoi dati personali, e su come la stessa potrà controllarli.