Per ogni trattamento di dati personali che viene effettuato è obbligatorio informare gli interessati ai sensi degli artt. 13 e 14 del Reg. UE 679/2016 (GDPR). Questo principio, come abbiamo visto in un precedente articolo (consultabile qui), vale anche per i trattamenti di dati svolti con finalità di ricerca scientifica.
Tuttavia, in determinati casi, può verificarsi un’eccezione all’obbligo di fornire l’informativa privacy.
Il caso dei dati raccolti presso terzi
Quando i dati non sono raccolti presso l’interessato, ai sensi dell’articolo 14, paragrafo 5, lettera b) GDPR, l’obbligo di fornire informazioni non si applica per i trattamenti a fini di ricerca scientifica:
- se si rivela impossibile o comporta uno sforzo sproporzionato:
nel determinare ciò che costituisce l’impossibilità o lo sforzo sproporzionato, il considerando 62 del GDPR fa riferimento al numero di persone interessate, all’antichità dei dati e alle adeguate garanzie in atto come possibili fattori indicativi. Il Gruppo di Lavoro Articolo 29 ha inoltre sottolineato che il titolare del trattamento dovrebbe effettuare un esercizio di bilanciamento per valutare lo sforzo necessario per fornire le informazioni agli interessati rispetto all’impatto e agli effetti sull’interessato se non gli vengono fornite le informazioni (Gruppo di lavoro Articolo 29, Linee guida sulla trasparenza ai sensi del regolamento 2016/679, WP260, adottato il 29 novembre 2017 e rivisto da ultimo l’11 aprile 2018).
- quando sono soddisfatte le condizioni di cui all’articolo 89 del GDPR:
ciò si verifica quando il trattamento è soggetto a garanzie adeguate per i diritti e le libertà dei partecipanti alla ricerca. Tali garanzie devono assicurare che il Titolare abbia predisposto misure tecniche e organizzative – tra cui la pseudonimizzazione – in particolare per garantire la minimizzazione dei dati. Fermo restando che laddove le finalità di ricerca possano essere conseguite attraverso l’utilizzo di dati resi anonimi, dovranno essere conseguite in quel modo.
- o quando ciò può rendere impossibile o compromettere gravemente il conseguimento dello scopo del trattamento.
In tali casi, pur non essendo tenuto a fornire l’informativa privacy ai pazienti/partecipanti, il Titolare del trattamento deve adottare misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, anche rendendo pubbliche le informazioni.
L’informativa è obbligatoria in caso di dati raccolti per altro scopo e trattati a fini di ricerca?
L’EDPB nel febbraio 2021 ha precisato che, in generale, prima dell’ulteriore trattamento dei dati personali per un’altra finalità, il Titolare dovrebbe fornire all’interessato informazioni su tale altra finalità e ogni ulteriore informazione pertinente (articolo 13, paragrafo 3, e articolo 14, paragrafo 4, del GDPR).
Un’eccezione a questo obbligo di informazione in caso di ulteriore trattamento per un’altra finalità di dati personali non ottenuti dall’interessato, è la medesima trattata al precedente paragrafo, prevista dall’articolo 14, paragrafo 5, lettera b) GDPR.
Ciò significa che anche in questa ipotesi il Titolare, esentato dal fornire l’informativa privacy agli interessati, dovrà però rendere pubbliche le informazioni.
Come rendere pubbliche le informazioni?
L’art. 6 delle Regole Deontologiche per trattamenti a fini statistici o di ricerca precisa che quando i dati sono raccolti presso terzi, ovvero il trattamento effettuato per scopi scientifici riguarda dati raccolti per altri scopi, e l ́informativa comporta uno sforzo sproporzionato rispetto al diritto tutelato, il Titolare adotta idonee forme di pubblicità, ad esempio, con le seguenti modalità:
- per trattamenti riguardanti insiemi numerosi di soggetti distribuiti sull’intero territorio nazionale, inserzione su almeno un quotidiano di larga diffusione nazionale o annuncio presso un‘emittente radiotelevisiva a diffusione nazionale;
- per trattamenti riguardanti insiemi numerosi di soggetti distribuiti su un’area regionale (o provinciale), inserzione su un quotidiano di larga diffusione regionale (o provinciale) o annuncio presso un ́emittente radiotelevisiva a diffusione regionale (o provinciale);
- per trattamenti riguardanti insiemi di specifiche categorie di soggetti, identificate da particolari caratteristiche demografiche e/o da particolari condizioni formative o occupazionali o analoghe, inserzione in strumenti informativi di cui gli interessati sono normalmente destinatari.