Il 25 giugno si è chiusa la consultazione pubblica sulle linee guida 1/2026 del Comitato europeo per la protezione dei dati (EDPB), dedicate al trattamento dei dati personali per finalità di ricerca scientifica. Adottate in versione preliminare il 15 aprile 2026, le linee guida affrontano un nodo interpretativo che da anni alimenta incertezze tra ricercatori, università, ospedali e aziende del settore life sciences: come conciliare le esigenze della ricerca con i principi del GDPR. La chiusura della consultazione apre ora la fase di revisione dei contributi ricevuti, in vista dell'adozione del testo definitivo.
Finalità compatibili, ma serve sempre una base giuridica
Uno dei chiarimenti più rilevanti riguarda il principio di limitazione delle finalità. L'EDPB conferma che, ai sensi dell'articolo 5, paragrafo 1, lettera b) del GDPR, il riutilizzo dei dati per scopi di ricerca scientifica gode di una presunzione di compatibilità con le finalità originarie: non è quindi necessario svolgere uno specifico test di compatibilità. Attenzione, però: la presunzione non esonera il titolare dall'individuare e dal fondarsi comunque su una base giuridica valida per il trattamento ulteriore. È una distinzione sottile ma decisiva, che evita di leggere la ricerca come una "zona franca" rispetto alle regole generali.
Consenso ampio, dinamico o entrambi
Sul fronte del consenso, le linee guida riconoscono la difficoltà concreta di definire in anticipo tutti gli scopi di un progetto di ricerca. Per questo ammettono il ricorso al consenso ampio (broad consent), utilizzabile quando le finalità non sono pienamente note al momento della raccolta, a condizione che si rispettino gli standard etici della ricerca e si predispongano garanzie aggiuntive a compensazione della minore specificità. In alternativa o in combinazione è praticabile il consenso dinamico, con cui si chiede agli interessati di acconsentire ai singoli progetti via via che le finalità diventano chiare. La combinazione dei due approcci è esplicitamente ammessa.
Cosa si intende per ricerca scientifica
Per evitare interpretazioni elastiche del concetto, l'EDPB propone sei fattori indicativi da considerare nel qualificare un'attività come ricerca scientifica: un approccio metodico e sistematico; l'aderenza a standard etici; la verificabilità e la trasparenza; l'autonomia e l'indipendenza; gli obiettivi della ricerca; e il potenziale di contribuire alla conoscenza scientifica esistente o di applicarla in modi nuovi. Si tratta di criteri pensati per distinguere la ricerca genuina da trattamenti che ne adottano solo l'etichetta per accedere al regime di favore previsto dal GDPR.
Perché interessa anche l'Italia
Le linee guida toccano anche i diritti degli interessati, chiarendo che il diritto alla cancellazione e quello di opposizione possono subire limitazioni quando i dati sono trattati per finalità di ricerca. Per il contesto italiano il tema è tutt'altro che teorico: enti di ricerca, atenei e strutture sanitarie si confrontano quotidianamente con queste questioni, all'interno di una cornice che combina il GDPR, il Codice privacy nazionale e le regole deontologiche. Un quadro interpretativo comune a livello europeo, una volta consolidato, aiuterà a ridurre le divergenze applicative tra i diversi Stati membri.
