Il Comitato europeo per la protezione dei dati (EDPB) ha adottato il 15 aprile 2026 le “Linee guida EDPB sul trattamento dei dati personali per finalità di ricerca scientifica”, attualmente in consultazione pubblica fino al 22 giugno 2026. Si tratta del primo documento organico a livello europeo che fornisce indicazioni operative dettagliate sull’interpretazione e applicazione del GDPR con riferimento alla ricerca scientifica.
Le Linee Guida rispondono, anche grazie all’uso diffuso di esempi concreti, a numerose questioni interpretative sollevate da titolari del trattamento, responsabili e autorità di controllo, in linea con l’impegno assunto dall’EDPB nella Dichiarazione di Helsinki di facilitare la conformità al GDPR.
1. Ambito di applicazione e definizione di ricerca scientifica
Anzitutto, l’EDPB chiarisce che solo la ricerca genuinamente scientifica beneficia delle disposizioni specifiche del GDPR, individuando sei fattori chiave indicativi per determinare se un trattamento di dati personali sia motivato da finalità di ricerca scientifica: 1) approccio metodico e sistematico: 2) adesione a determinati standard etici; 3) verificabilità e trasparenza dei risultati; 4) autonomia e indipendenza dei ricercatori; 5) finalità di contributo alla crescita della conoscenza e del benessere della società; 6) valutabilità del merito scientifico da esperti indipendenti o comitati.
Se la ricerca soddisfa tutti i fattori, si presume costituisca ricerca scientifica. In caso contrario, il titolare deve giustificare e dimostrare perché le attività debbano comunque essere considerate ricerca scientifica ai sensi del GDPR.
2. Chiarimenti interpretativi
Le Linee Guida contengono con una serie di precisazioni in merito ad aspetti rilevanti inerenti le attività di trattamento in ambito scientifico, di cui si offrono alcuni spunti sintetici nel seguito.
a. Presunzione di compatibilità delle finalità
L’ulteriore trattamento dei dati raccolti per finalità scientifiche diverse da quelle iniziali si presume compatibile con le stesse, esonerando il titolare dall’onere di eseguire il test di compatibilità ex art. 6(4) GDPR. Il titolare dovrà comunque effettuare una valutazione in merito alla necessità del trattamento ulteriore.
b. Presunzione di compatibilità delle finalità
I titolari possono conservare i dati personali per periodi più lunghi se destinati a ulteriori progetti di ricerca scientifica, anche se le finalità originarie sono state raggiunte. È possibile specificare la conservazione per un’area di ricerca (es. oncologia, criminologia) purché ragionevolmente prevedibile, con regolare revisione della necessità di conservazione e del formato (pseudonimizzazione/anonimizzazione).
c. Consenso per attività di ricerca “esplorativa”
L’EDPB distingue poi due modalità di acquisizione del consenso, eventualmente cumulabili, quando le finalità non sono completamente note all’inizio della ricerca:
- consenso “ampio” (broad): consenso per un’area di ricerca quando le finalità specifiche non sono note al momento della raccolta, tramite: delimitazione chiara dell’area di ricerca, misure di sicurezza addizionali, verifica della consapevolezza;
- consenso “dinamico” (dynamic): consenso separato per ciascun progetto o fase, man mano che le diverse ulteriori finalità divengono note, fondamentale per ricerche a lungo termine.
d. Interesse legittimo
La ricerca scientifica può costituire un interesse legittimo a prescindere dalla natura profit/no-profit; nel bilanciamento, il titolare può attribuire peso significativo all’interesse della ricerca scientifica, considerata attività di rilevante importanza sociale, tuttavia, devono comunque essere adottate le garanzie appropriate ex art. 89 GDPR.
e. Trasparenza e diritti degli interessati
Le Linee Guida riservano poi molto spazio sia agli obblighi informativi, sia alla tutela dei diritti degli interessati. Tra gli spunti interpretativi forniti, si sottolinea la necessità di adottare misure per garantire trasparenza continuativa (newsletter, piattaforme online, privacy dashboard) nel caso in cui i dati siano trattati per lunghi periodi, nonché la possibilità di esenzioni dall’obbligo informativo nel caso comporti sforzi sproporzionati o possa pregiudicare gravemente gli obiettivi della ricerca, eventualità peraltro che può anche comportare la possibilità di rifiutare la cancellazione dei dati, contravvenendo alla regola generale di cui all’art. 17 GDPR.
f. Garanzie appropriate
Dopo aver fornito utili esempi pratici per la definizione dei diversi ruoli inerenti il trattamento (titolare, responsabile, contitolari), nelle ultime pagine del documento l’EDPB alle misure tecniche e organizzative richieste dall’art. 89 GDPR, riflettendo sull’approccio che deve essere tenuto in un’eventuale DPIA, sottolineando come l’anonimizzazione dei dati- se compatibile con le finalità – sia la prima scelta, menzionando una serie di possibili ulteriori garanzie.
3. Prossimi passi
Gli operatori interessati – enti di ricerca, università, istituti pubblici e privati, comitati etici, associazioni professionali – possono partecipare alla consultazione pubblica fino al 22 giugno 2026 inviando commenti all’EDPB.
Dopo la chiusura della consultazione, sarà adottata la versione definitiva delle Linee guida, che costituiranno il riferimento europeo per l’interpretazione uniforme del GDPR in materia di ricerca scientifica, rappresentando un importante passo verso la certezza del diritto in un settore strategico per lo sviluppo scientifico e l’innovazione; nel frattempo, è opportuno che i titolari di trattamenti in tale ambito si inizino a interrogare sulle eventuali modifiche alle proprie attività che dovranno implementare per essere compliant al 100% con la normativa privacy europea.
Resto a disposizione per qualsiasi chiarimento e necessità.
