La ricerca scientifica: centralità del progetto di ricerca e delle norme deontologiche

3. La ricerca scientifica: centralità del progetto di ricerca e delle norme deontologiche

L’espressione “ricerca scientifica” non è definita nel GDPR. Sebbene il Considerando 159 suggerisca di interpretarla in senso lato, il “Gruppo di lavoro Articolo 29” ritiene non si debba estendere tale nozione oltre il suo significato comune, asserendo che per “ricerca scientifica” debba intendersi “un progetto di ricerca istituito in conformità con le pertinenti norme metodologiche e deontologiche settoriali, in linea con le buone prassi”. Ad ogni modo, nel contesto così delineato possono ben rientrare non solo le scienze naturali ma anche le cosiddette scienze umane e sociali.

GDPR

Considerando 159

Qualora i dati personali siano trattati per finalità di ricerca scientifica, il presente regolamento dovrebbe applicarsi anche a tale trattamento. Nell'ambito del presente regolamento, il trattamento di dati personali per finalità di ricerca scientifica dovrebbe essere interpretato in senso lato e includere ad esempio sviluppo tecnologico e dimostrazione, ricerca fondamentale, ricerca applicata e ricerca finanziata da privati, oltre a tenere conto dell'obiettivo dell'Unione di istituire uno spazio europeo della ricerca ai sensi dell'articolo 179, paragrafo 1, TFUE. Le finalità di ricerca scientifica dovrebbero altresì includere gli studi svolti nell'interesse pubblico nel settore della sanità pubblica. Per rispondere alle specificità del trattamento dei dati personali per finalità di ricerca scientifica dovrebbero applicarsi condizioni specifiche, in particolare per quanto riguarda la pubblicazione o la diffusione in altra forma di dati personali nel contesto delle finalità di ricerca scientifica. Se il risultato della ricerca scientifica, in particolare nel contesto sanitario, costituisce motivo per ulteriori misure nell'interesse dell'interessato, le norme generali del presente regolamento dovrebbero applicarsi in vista di tali misure.

In diversi ambiti di ricerca non sempre è possibile specificare in via preliminare la finalità del trattamento dei dati personali. In questi casi, “dovrebbe essere consentito agli interessati di prestare il proprio consenso a taluni settori della ricerca scientifica laddove vi sia rispetto delle norme deontologiche riconosciute per la ricerca scientifica. Gli interessati dovrebbero avere la possibilità di prestare il proprio consenso soltanto a determinati settori di ricerca o parti di progetti di ricerca nella misura consentita dalla finalità prevista” (Considerando 33).

Il GDPR sembra quindi consentire, in via eccezionale, una certa flessibilità nell’applicazione dei principi di specificazione e granularità del consenso, ma il titolare del trattamento dovrà comunque cercare altri modi per garantire il rispetto dei requisiti del consenso, focalizzando l’informazione fornita all’interessato sul rispetto delle norme deontologiche riconosciute e sugli scopi generali del progetto di ricerca, ad esempio:

− compensando la mancata specificazione delle finalità con la messa a disposizione dell’interessato di un piano di ricerca esaustivo cui fare riferimento;

− permettendo agli interessati di acconsentire a una finalità di ricerca in termini più generali e a fasi specifiche di un progetto di ricerca che si sa già sin dall’inizio avranno luogo;

− garantendo massima trasparenza attraverso la fornitura periodica, da parte del titolare del trattamento, di informazioni sullo sviluppo della finalità durante l’avanzamento del progetto di ricerca, in maniera tale che, nel tempo, il consenso sia il più specifico possibile e che l’interessato possa in ogni fase valutare se esercitare o meno il diritto di revoca del consenso;

− applicando ulteriori garanzie, quali quelle richiamate dall’articolo 89, paragrafo 1 (minimizzazione, anonimizzazione e sicurezza dei dati).

GDPR

Articolo 89

Garanzie e deroghe relative al trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici

1. Il trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici è soggetto a garanzie adeguate per i diritti e le libertà dell'interessato, in conformità del presente regolamento. Tali garanzie assicurano che siano state predisposte misure tecniche e organizzative, in particolare al fine di garantire il rispetto del principio della minimizzazione dei dati. Tali misure possono includere la pseudonimizzazione, purché le finalità in questione possano essere conseguite in tal modo. Qualora possano essere conseguite attraverso il trattamento ulteriore che non consenta o non consenta più di identificare l'interessato, tali finalità devono essere conseguite in tal modo.

2. Se i dati personali sono trattati a fini di ricerca scientifica o storica o a fini statistici, il diritto dell'Unione o degli Stati membri può prevedere deroghe ai diritti di cui agli articoli 15, 16, 18 e 21, fatte salve le condizioni e le garanzie di cui al paragrafo 1 del presente articolo, nella misura in cui tali diritti rischiano di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità specifiche e tali deroghe sono necessarie al conseguimento di dette finalità.

3. Se i dati personali sono trattati per finalità di archiviazione nel pubblico interesse, il diritto dell'Unione o degli Stati membri può prevedere deroghe ai diritti di cui agli articoli 15, 16, 18, 19, 20 e 21, fatte salve le condizioni e le garanzie di cui al paragrafo 1 del presente articolo, nella misura in cui tali diritti rischiano di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità specifiche e tali deroghe sono necessarie al conseguimento di dette finalità.

4. Qualora il trattamento di cui ai paragrafi 2 e 3 funga allo stesso tempo a un altro scopo, le deroghe si applicano solo al trattamento per le finalità di cui ai medesimi paragrafi.