Dati per la ricerca. Dall’Edpb nuove linee guida Ue per l’anonimizzazione e primo sigillo privacy europeo

Adottate le linee guida sul trattamento dei dati personali per scopi di ricerca scientifica e  accelerata la finalizzazione delle linee guida sull’anonimizzazione.

A imprimere il giro di boa sul trattamento dei dati personali, l’European data project board (Edpbi), che ha inoltre adottato due pareri sui due set di criteri di certificazione dell’Europrivacy per l’approvazione come sigilli europei di protezione dei dati, uno dei quali da utilizzare come strumento per i trasferimenti.

Molte aree di ricerca scientifica si basano sul trattamento dei dati personali degli individui, spiega una nota, e questo ha guidato significative scoperte scientifiche che vanno a beneficio della società. L’ascesa delle nuove tecnologie, come l’intelligenza artificiale, contribuisce anche al progresso scientifico consentendo ai ricercatori di utilizzare e analizzare i dati in modi innovativi.

L’obiettivo principale delle linee guida Edpb sulla ricerca scientifica è quello di fornire maggiore chiarezza per i ricercatori e rendere più facile la conformità al Gdpr, garantendo al contempo la protezione dei diritti fondamentali degli individui.

“La ricerca scientifica può guidare il progresso sociale e migliorare la nostra vita quotidiana.
Le nostre linee guida facilitano la ricerca innovativa aiutando i ricercatori a navigare nel Gdpr. L’Edpb si impegna a sostenere la comunità scientifica e a sbloccare appieno il potenziale della ricerca scientifica nell’UE, sostenendo al contempo i diritti di protezione dei dati” spiega la presidente Anu Talus.

Nelle linee guida, il Consiglio fornisce chiarimenti sul concetto di “ricerca scientifica”. Per Determinare se il trattamento avviene a fini di ricerca scientifica ai sensi del Gdpr, il Consiglio fornisce sei fattori chiave-indicativi che dovrebbero essere considerati, oltre alla natura, alla portata, al contesto e alle finalità del trattamento.

Questi sono: 1) approccio metodico e sistematico, 2) adesione allo standard etico, 3) verificabilità e trasparenza, 4) autonomia e indipendenza, 5) obiettivi della ricerca, e 6) potenziale di contribuire alle conoscenze scientifiche esistenti o applicare le conoscenze esistenti in nuovi modi.

Se le attività di ricerca soddisfano questi sei fattori, si può presumere che costituiscano ricerca scientifica. In caso contrario, il titolare del trattamento dovrebbe giustificare ed essere in grado di dimostrare perché le attività dovrebbero essere considerate ricerca scientifica, ai sensi del Gdpr.

Si presume che un ulteriore trattamento per scopi di ricerca scientifica sia compatibile con lo scopo iniziale per la raccolta dei dati personali delle persone. Pertanto, i titolari del trattamento non sono obbligati a fare il test di compatibilità delle finalità ai sensi del Gdpr per determinare se il nuovo trattamento è compatibile con lo scopo originale della raccolta. Tuttavia, i titolari del trattamento devono comunque assicurarsi che la base giuridica del trattamento iniziale sia adatta anche per l’ulteriore trattamento dei dati personali per finalità di ricerca scientifica.

I titolari del trattamento possono fare affidamento sul “ampio consenso” laddove le finalità della ricerca non siano pienamente conosciute al momento della raccolta dei dati personali. In questo caso, i ricercatori dovrebbero rispettare gli standard etici per la ricerca scientifica e mettere in atto ulteriori garanzie per compensare la mancanza di specifiche di scopo. I controllori possono anche chiedere agli individui di acconsentire a diversi progetti di ricerca individuali separatamente, non appena le finalità di tali progetti diventano note (consenso dinamico). È anche possibile una combinazione di consenso sia ampio che dinamico.

Inoltre, l’Edpb chiarisce i diritti delle persone quando i loro dati personali sono trattati per scopi scientifici. Ciò include i diritti di cancellazione e l’oggetto per il quale possono applicarsi limitazioni quando i dati personali sono trattati per scopi di ricerca scientifica. Il Consiglio fornisce esempi per spiegare quando il diritto alla cancellazione può essere considerato in grado di rendere impossibile o compromettere seriamente l’obiettivo di condurre ricerche scientifiche. L’Edpb spiega anche quando i titolari del trattamento possono respingere l’obiezione di un individuo al trattamento dei loro dati personali per scopi di ricerca scientifica. Questo può essere il caso in cui il trattamento è necessario per l’esecuzione di un compito svolto per motivi di interesse pubblico.

Il Consiglio ricorda che quando più entità sono coinvolte nel trattamento di dati personali per scopi di ricerca scientifica, è necessario valutare e documentare le modalità di assegnazione delle responsabilità tra gli enti. A questo proposito, le Linee guida forniscono esempi utili per chiarire in quali situazioni le entità possono qualificarsi come controllori, controllori congiunti o processore.

Infine, il Consiglio spiega come i titolari del trattamento possono valutare le misure tecniche e organizzative appropriate, come l’anonimizzazione o la pseudonimizzazione, quando trattano dati personali per scopi di ricerca scientifica. L’Edpb fornisce esempi di altre misure di salvaguardia che potrebbero essere attuate a seconda dei rischi posti dalle attività di ricerca svolte. Questi includono la supervisione indipendente o etica, ambienti di elaborazione sicuri, tecnologie di miglioramento della privacy, misure protettive per la pubblicazione dei risultati della ricerca, accordi di riservatezza e condizioni per un ulteriore utilizzo.

Le linee guida saranno soggette a consultazione pubblica fino al 25 giugno, offrendo alle parti interessate l’opportunità di commentare e fornire feedback.

Un “sprint team” per finalizzare il lavoro sull’anonimizzazione

Per accelerare la finalizzazione delle prossime linee guida sull’anonimizzazione, il Consiglio ha creato un “sprint team” dedicato che completerà il lavoro entro l’estate.