Transcription
[Musica] Le regole in materia di tutela dei dati personali nell'ambito della ricerca sono individuabili nel Regolamento UE 2016/679, GDPR, del Decreto Legislativo numero 196/2003, delle regole deontologiche per trattamenti a fini storici, statistici o di ricerca scientifica, nei provvedimenti del Garante per la protezione dei dati personali e nelle indicazioni dell'European Data Protection Supervisor.
Conoscerne i contenuti, i principi introdotti è indispensabile al ricercatore nella definizione dei progetti di ricerca per contemperare il diritto alla libertà di ricerca con gli altri diritti fondamentali dell'individuo.
Prima dell'avvio di un progetto di ricerca è innanzitutto necessario individuare se la ricerca tratterà dei dati personali, cioè dati direttamente o indirettamente riconducibili a una persona fisica. Qualora nella ricerca siano trattati i dati personali, occorrerà individuare i soggetti coinvolti nel trattamento dei dati: il titolare del trattamento (data controller), l'eventuale o gli eventuali contitolari (joint controllers) nel caso di un progetto di ricerca svolto con altri partner, il responsabile del trattamento (data processor), il responsabile della protezione dei dati (DPO), l'interessato (data subject), gli eventuali soggetti terzi, le persone autorizzate al trattamento.
Per trattamento si intende qualunque operazione o insieme di operazioni effettuate su dati personali e riguarda differente tipologia di dati, dalle quali possono derivare obblighi diversi. Nell'ambito del progetto di ricerca possano essere trattati diversi tipi di dati quali dati particolari (ex sensibili), dati genetici, dati biometrici, dati relativi alla salute, dati relativi a condanne penali e reati (ex giudiziari). Attenzione però, anche l'uso di un codice numerico potenzialmente riconducibile a una persona è un dato personale. Non è dato personale, quindi, ha dato anonimo il dato che non consente con mezzi ragionevoli e al ricercatore né ad altri l'area identificazione del soggetto che partecipa alla ricerca.
Se nel progetto di ricerca sono trattati i dati personali, anche qualora si tratti di dati solo indirettamente associabili a un individuo, è necessario fornire al soggetto il cui dato si riferisce, cosiddetto interessato, tutte le informazioni inerenti il trattamento dei suoi dati, ottenendo se previsto dalla legge il consenso al trattamento, che deve essere espresso liberamente e in modo consapevole.
I dati raccolti nell'ambito di un precedente progetto di ricerca possono essere riutilizzati se l'interessato ha consentito al loro trattamento nell'ambito del nuovo progetto o qualora la ricerca sia prevista dalla normativa vigente e/o nei limiti di quanto previsto dai provvedimenti del Garante, per esempio per gli studi retrospettivi o per studi che trattino campioni biologici e dati genetici.
In alcuni casi non è possibile per il ricercatore individuare in modo specifico le finalità del trattamento dei dati personali a fini di ricerca scientifica già al momento della raccolta dei dati. Sebbene non sia possibile chiedere al partecipante alla ricerca di esprimere il suo consenso generalizzato, cioè per qualsiasi progetto di ricerca, il GDPR prevede per questo caso particolare che il consenso sia reso per il settore di ricerca scientifica di riferimento o per una o più parti del progetto di ricerca, purché non si tratti di dati particolari o genetici raccolti per altre finalità, si tratti di situazioni in cui le finalità non possano essere specificate in via preliminare, fornendo in ogni caso nel prosieguo della ricerca le informazioni sullo sviluppo della finalità in maniera tale che nel tempo il consenso sia il più specifico possibile e che l'interessato possa eventualmente valutare se esercitare o meno, ad esempio, il diritto di revoca.
Un altro adempimento importante cui è tenuto il ricercatore riguarda l'obbligo di documentare il progetto di ricerca anche al fine di precisare che il trattamento dei dati personali si è effettuato per idonei ed effettivi scopi statistici o scientifici. Tale documentazione, da conservarsi per cinque anni dalla conclusione programmata della ricerca, dovrà specificare le misure da adottare nel trattamento di dati personali al fine di garantire il rispetto delle regole deontologiche, nonché della normativa in materia di protezione dei dati personali, individuare gli eventuali responsabili del trattamento, contenere una dichiarazione di impegno a conformarsi alle regole deontologiche sottoscritta da ricercatori, responsabili e persone autorizzate al trattamento coinvolti in una qualsiasi fase della ricerca.
Prima di avviare un progetto di ricerca, il ricercatore dovrà inoltre verificare l'opportunità di realizzare una valutazione d'impatto, quando un trattamento comporta infatti un rischio elevato per i diritti e le libertà delle persone coinvolte nella ricerca, per esempio a causa del monitoraggio sistematico dei loro comportamenti o per il gran numero dei soggetti vulnerabili di cui sono magari trattati dati sensibili. Il GDPR obbliga i titolari a svolgere una valutazione d'impatto (ovvero DPIA) prima di dare inizio alla ricerca. Ove la ricerca lo richieda, per lo svolgimento della DPIA potrebbe essere consigliabile consultare il Responsabile della Protezione dei Dati.
Il GDPR sancisce il principio per cui i dati raccolti devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati. Il ricercatore dovrà pertanto preoccuparsi di attivare tutte le azioni necessarie per rispettare questo principio e, per quanto di propria competenza, adottare le misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato per tutelare i dati trattati, ad esempio mediante misure di pseudonimizzazione (attribuzione di codici in luogo dei dati identificativi), adozione di misure tecniche come ad esempio la cifratura, capacità di assicurare su base permanente integrità, disponibilità e resilienza dei sistemi e dei servizi di trattamento.
Essere in grado di individuare correttamente fin dagli inizi del progetto le misure di protezione dei dati e di adeguamento alla normativa vigente è molto importante e può determinare per i ricercatori la possibilità di utilizzare, conservare e riutilizzare per ulteriori studi e ricerche i dati.
In caso di dubbi in relazione al tema della protezione dei dati personali, scrivi a privacy@unibo.it oppure coinvolge il Responsabile della Protezione dei Dati Personali (DPO) a dpo@unibo.it.