Il 15 aprile 2026, l’European Data Protection Board (EDPB) ha adottato le Linee Guida 1/2026 per fare chiarezza sul trattamento dei dati personali a fini di ricerca scientifica.
In un’epoca segnata da innovazioni come l’intelligenza artificiale, il documento mira a bilanciare la libertà della scienza con la protezione dei diritti fondamentali, definendo criteri rigorosi per l’applicazione delle deroghe previste dal GDPR.
Il concetto di ricerca scientifica nel GDPR
Non ogni attività di analisi può beneficiare del regime speciale previsto per la ricerca scientifica. L’EDPB stabilisce che le attività devono essere “genuinamente scientifiche” e introduce sei fattori indicativi chiave per tale determinazione:
- approccio metodico e sistematico: la ricerca deve seguire un piano strutturato con obiettivi chiari o ipotesi da verificare;
- adesione a standard etici: le attività devono rispettare i criteri etici del settore di riferimento per prevenire danni ai partecipanti;
- verificabilità e trasparenza: i metodi e i risultati devono essere aperti alla critica e alla revisione paritaria (peer review);
- autonomia e indipendenza: il team di ricerca deve essere libero da pressioni esterne e possedere qualifiche accademiche o scientifiche comprovate;
- finalità di bene comune: l’obiettivo primario deve essere la crescita della conoscenza generale e del benessere sociale, pur non escludendo interessi commerciali concomitanti;
- potenziale innovativo: la ricerca deve poter contribuire alla conoscenza esistente o applicarla in modi nuovi.
Basi giuridiche e consenso
Le linee guida approfondiscono l’uso di basi giuridiche specifiche, introducendo flessibilità compensate da garanzie rigorose:
- consenso ampio (broad consent): quando gli scopi della ricerca non sono pienamente noti al momento della raccolta, è possibile richiedere il consenso per una determinata area di ricerca scientifica, a patto di adottare tutele aggiuntive;
- consenso dinamico (dynamic consent): i ricercatori possono richiedere consensi distinti per le diverse fasi di un progetto man mano che gli obiettivi diventano chiari;
- legittimo interesse: questa base può essere invocata sia da enti profit che non-profit, attribuendo un peso significativo al valore sociale della ricerca nel test di bilanciamento;
- presunzione di compatibilità: il riutilizzo di dati inizialmente raccolti per altri scopi è presunto compatibile se destinato alla ricerca scientifica, esentando il titolare dal test di compatibilità, ma non dall’obbligo di garantire la liceità del trattamento.
Diritti degli interessati e deroghe
Il GDPR prevede limitazioni ai diritti degli interessati se l’esercizio degli stessi rischia di rendere impossibile o pregiudicare gravemente il raggiungimento degli obiettivi scientifici:
- diritto alla cancellazione: il titolare può rifiutare la cancellazione se questa compromette l’integrità della ricerca, a condizione che siano state adottate misure di salvaguardia adeguate;
- diritto di opposizione: può essere respinto se il trattamento è necessario per l’esecuzione di un compito di interesse pubblico;
- trasparenza: anche nei trattamenti a lungo termine, i titolari devono mantenere informati gli interessati, utilizzando strumenti come dashboard sulla privacy o newsletter.
Misure di salvaguardia e sicurezza
L’articolo 89(1) del GDPR impone l’adozione di garanzie tecniche e organizzative per proteggere i dati:
- la minimizzazione dei dati è prioritaria: deve essere privilegiato l’uso di dati anonimizzati o, ove non possibile, pseudonimizzati;
- per i dati genetici o biometrici, l’EDPB richiede estrema cautela a causa della loro natura immutabile e dei rischi per i familiari del soggetto;
- ulteriori tutele includono il controllo etico indipendente, ambienti di trattamento sicuri e l’uso di tecnologie per il rafforzamento della privacy (PET).
edpb_guidelines_202601_scientificresearch_en
16 aprile 2026
