Ricerca scientifica e privacy: le nuove linee guida EDPB sono in consultazione. Cosa cambia per i ricercatori?

Se pensate che leggere i termini e condizioni di un'app sia noioso, provate a mettervi nei panni di un ricercatore che cerca di districarsi tra obblighi di privacy e dati personali. È come pulire le fughe delle piastrelle con uno spazzolino: faticoso e con pochi risultati visibili. Fortunatamente, il Comitato Europeo per la Protezione dei Dati (EDPB) ha pubblicato le nuove Linee guida sulla ricerca scientifica, attualmente in consultazione pubblica, e il Garante italiano ha dato il suo contributo.

Perché queste linee guida sono importanti?

Le Linee guida EDPB sulla ricerca scientifica chiariscono come bilanciare il diritto alla protezione dei dati con la libertà di ricerca, specificando quando è lecito trattare dati personali senza consenso esplicito e quali garanzie adottare.

Il GDPR già prevedeva alcune deroghe per la ricerca, ma lasciava margini di interpretazione che spesso generavano incertezza. Le nuove linee guida mirano a uniformare le pratiche tra gli Stati membri, riducendo il rischio di sanzioni e facilitando la collaborazione internazionale. Sì, perché già il GDPR era un rompicapo, ma ora i ricercatori dovranno fare i conti con un nuovo livello di dettaglio. Quasi come se qualcuno avesse aggiunto un livello extra a Super Mario, ma invece di funghi e stelle trovi obblighi di documentazione e valutazioni d'impatto.

Cosa prevedono le nuove regole?

Le linee guida definiscono innanzitutto cosa si intende per 'ricerca scientifica', includendo anche studi nel campo delle scienze umane e sociali, purché condotti con metodo scientifico. Viene ribadito che il consenso esplicito non è sempre necessario: si può fare leva sull'interesse pubblico o su altri motivi legittimi, ma a patto di adottare misure di salvaguardia adeguate.

Tra gli obblighi principali: effettuare una valutazione d'impatto sulla protezione dei dati (DPIA) prima di avviare la ricerca, garantire la minimizzazione dei dati (raccogliere solo ciò che è strettamente necessario) e applicare tecniche di anonimizzazione o pseudonimizzazione. Inoltre, i ricercatori devono informare chiaramente i partecipanti sulle finalità del trattamento e sui loro diritti.

Il contributo del Garante italiano

Il Garante per la protezione dei dati personali ha partecipato attivamente alla stesura delle linee guida, portando la propria esperienza nel bilanciare esigenze di ricerca e diritti degli interessati. Il contributo italiano ha sottolineato l'importanza di non appesantire eccessivamente gli oneri burocratici per i piccoli centri di ricerca, proponendo soluzioni più flessibili per studi a basso rischio.

Come partecipare alla consultazione

La consultazione pubblica è aperta fino al 15 marzo 2025. Ricercatori, università, enti di ricerca e chiunque sia interessato può inviare commenti tramite il sito dell'EDPB. È un'occasione unica per influenzare le regole che guideranno la ricerca scientifica nei prossimi anni. Per leggere il documento completo e partecipare: Consulta le linee guida EDPB.

FAQ

Le linee guida si applicano a tutte le ricerche?

No, si applicano solo alle ricerche che trattano dati personali di cittadini dell'UE. Tuttavia, anche ricerche internazionali che coinvolgono dati di soggetti europei devono adeguarsi. Sono escluse le ricerche che utilizzano dati anonimi o aggregati non riconducibili a persone fisiche.

Cosa succede se un ente di ricerca non si adegua alle linee guida?

Il mancato adeguamento può portare a sanzioni fino a 20 milioni di euro o al 4% del fatturato annuo globale (per gli enti commerciali), oltre a danni reputazionali e possibili azioni risarcitorie da parte degli interessati. Inoltre, i progetti di ricerca potrebbero essere bloccati dalle autorità di controllo.

Quando entreranno in vigore le nuove linee guida?

Le linee guida sono ancora in bozza. Dopo la consultazione pubblica (che si chiude il 15 marzo 2025), l'EDPB le adotterà in versione definitiva, con un periodo di transizione per permettere agli enti di adeguarsi. Si prevede l'adozione entro fine 2025.