Introduzione

Il GDPR riserva alla ricerca scientifica un regime di favore ma non offre una definizione operativa univoca di “ricerca scientifica”, lasciando ai titolari del trattamento e alle Autorità nazionali il compito di tracciare, caso per caso, i confini di questa nozione.

Per colmare questo vuoto interpretativo e favorire un approccio uniforme in tutta l’Unione Europea, il 15 aprile 2026 il Comitato Europeo per la Protezione dei Dati (EDPB) ha adottato le Linee Guida 1/2026 sul trattamento dei dati personali per finalità di ricerca scientifica. Il documento non introduce nuovi obblighi normativi, ma fornisce criteri interpretativi destinati a orientare università, enti di ricerca, aziende sanitarie e sponsor privati nella gestione quotidiana dei progetti.

Quando un progetto è davvero “ricerca scientifica”?

Per evitare che la qualifica di “ricerca scientifica” venga invocata in modo strumentale, al solo fine di accedere al regime derogatorio previsto dal GDPR, l’EDPB individua sei fattori chiave che un progetto dovrebbe presentare:

• un approccio metodico e strutturato;
• il rispetto degli standard etici riconosciuti dal settore di riferimento;
• risultati verificabili e riproducibili;
• l’autonomia del team di ricerca rispetto a chi promuove o finanzia il progetto;
• una finalità orientata al benessere collettivo;
• un contributo effettivo alla conoscenza esistente.

Se un progetto soddisfa cumulativamente tutti e sei i fattori, l’EDPB ammette una presunzione di ricerca scientifica. In caso contrario, l’onere di dimostrare la natura scientifica del trattamento ricade sul titolare, che dovrà documentare puntualmente le ragioni della qualificazione adottata.

Consenso “ampio” o “dinamico”?

Un altro nodo affrontato dal documento riguarda le modalità di acquisizione del consenso, quando questo costituisce la base giuridica prescelta per il trattamento.

L’EDPB distingue due modelli:

Il consenso ampio (broad consent) consente di raccogliere dati per un’intera area di ricerca, anche prima che i singoli progetti siano stati definiti nel dettaglio. È uno strumento utile per la ricerca esplorativa, ma il suo utilizzo è subordinato a garanzie rafforzate (es. aggiornamenti periodici all’interessato sull’evoluzione del progetto).

Il consenso dinamico (dynamic consent), invece, viene richiesto e documentato progetto per progetto, offrendo all’interessato un controllo più granulare, risulta particolarmente indicato per gli studi longitudinali, dove il rapporto con i partecipanti si protrae nel tempo. Le due modalità possono anche essere combinate all’interno dello stesso programma di ricerca, a condizione che la scelta effettuata sia sempre motivata e documentata.

Compatibilità delle finalità e base giuridica

Le Linee Guida richiamano un punto spesso frainteso nella prassi in ragione del quale la presunzione di compatibilità tra il trattamento ulteriore per finalità di ricerca e la finalità originaria per cui i dati erano stati raccolti (prevista dall’art. 5, par. 1, lett. b, del GDPR) non esonera il titolare dal verificare, comunque, l’esistenza di un’idonea base giuridica ai sensi dell’art. 6.

EDPB ed EDPS hanno chiarito espressamente che i due piani non vanno confusi: un trattamento può risultare compatibile con la finalità iniziale e, ciò nonostante, restare privo di una base giuridica valida, se il titolare non ha correttamente individuato l’ipotesi applicabile (il consenso, il legittimo interesse o un obbligo di legge, a seconda dei casi). Si tratta di una precisazione destinata a incidere concretamente sulle valutazioni preliminari che accompagnano l’avvio di ogni progetto di ricerca.

I diritti degli interessati nella ricerca

Anche nell’ambito della ricerca scientifica, gli interessati mantengono i diritti riconosciuti dal GDPR, ma le Linee Guida ne chiariscono i limiti applicativi.

Il diritto alla cancellazione può essere legittimamente rifiutato dal titolare quando l’eliminazione dei dati rischierebbe di rendere impossibile, o di pregiudicare gravemente, il conseguimento degli obiettivi del progetto di ricerca. Allo stesso modo, il diritto di opposizione può essere respinto se il trattamento risulta necessario per motivi di interesse pubblico legati alla ricerca stessa.

Si tratta, in ogni caso, di eccezioni che vanno motivate puntualmente e valutate caso per caso: non costituiscono un esonero generalizzato dagli obblighi di trasparenza, che restano centrali per legittimare l’intero impianto del trattamento.

Titolare, contitolare o responsabile? La governance dei progetti multi-ente

Un ulteriore contributo delle Linee Guida riguarda la corretta distribuzione dei ruoli privacy nei progetti di ricerca che coinvolgono più soggetti, situazione tutt’altro che infrequente in ambito accademico e clinico. L’EDPB fornisce alcuni punti fermi:

• chi elabora materialmente i dati non è, per ciò solo, titolare del trattamento;
• quando più enti definiscono insieme il protocollo di ricerca, si configura generalmente una contitolarità, con la conseguente necessità di un accordo che ne disciplini compiti e responsabilità;
• chi si limita a finanziare la ricerca, o a fornire pareri tecnici, non diventa automaticamente contitolare del trattamento.

Conclusioni

Le Linee Guida 1/2026 dell’EDPB non allentano il regime di responsabilità previsto dal GDPR per i trattamenti a fini di ricerca scientifica, ma ne rendono più prevedibile l’applicazione, fornendo criteri utili a distinguere la ricerca genuina da un uso strumentale della relativa disciplina di favore.

Per università, enti di ricerca, strutture sanitarie e sponsor privati, la sfida operativa consiste ora nel tradurre questi criteri in prassi documentate e verificabili, capaci di reggere il confronto con l’Autorità di controllo senza rinunciare alla flessibilità che la ricerca scientifica richiede.