1. Introduzione
Il 15 aprile 2026 l’European Data Protection Board (l'"EDPB”) ha adottato le Linee Guida 1/2026 sul trattamento dei dati personali per finalità di ricerca scientifica (le “Linee Guida”), colmando una lacuna interpretativa di primaria importanza nel panorama applicativo del Regolamento (UE) 2016/679 (“GDPR”). Sottoposte a consultazione pubblica dal 16 aprile al 25 giugno 2026, le Linee Guida hanno raccolto contributi da una pluralità di soggetti provenienti da diversi Stati membri; alla loro redazione ha contribuito anche il Garante per la protezione dei dati personali.
La ricerca scientifica coinvolge frequentemente dati personali e ha prodotto avanzamenti di grande rilievo per la società, in primo luogo nel campo delle scienze mediche. Molti di questi risultati sono stati resi possibili dall’avvento di nuove tecnologie: tra queste spiccano i recenti sviluppi nell’intelligenza artificiale, che, tuttavia, introducono al contempo rischi significativi per i diritti e le libertà fondamentali degli interessati, i quali richiedono una gestione adeguata.
Il trattamento dei dati personali per finalità di ricerca scientifica ha sollevato numerose questioni interpretative da parte di titolari, responsabili e autorità di controllo circa l'applicazione del GDPR in questo settore. Le Linee Guida rispondono a tale esigenza con un quadro interpretativo organico e orientamenti pratici sui profili più dibattuti. A integrazione di tale documento, l’EDPB ha pubblicato nel giugno 2026 un factsheet di sintesi (“Scientific research: How to lawfully process personal data”), che fornisce una guida operativa e una checklist di accountability rivolta ai soggetti che trattano dati personali per finalità di ricerca scientifica.
2. I principali contenuti delle Linee Guida
2.1. La nozione di “ricerca scientifica” ai sensi del GDPR
Un primo e fondamentale chiarimento riguarda la definizione di ricerca scientifica rilevante ai fini dell’applicazione delle disposizioni speciali del GDPR. L’EDPB ribadisce che, sebbene la nozione di ricerca scientifica debba essere interpretata in senso ampio, essa non può essere estesa oltre il suo significato comune, con la conseguenza che il concetto di “ricerca scientifica” comprende le attività di ricerca che sono genuinamente scientifiche.
L’EDPB individua sei fattori chiave indicativi che i titolari del trattamento devono considerare per determinare se il trattamento dei dati sia motivato da finalità di ricerca scientifica, tenendo conto della natura, dell’ambito di applicazione e del contesto del trattamento:
Approccio metodico e sistematico: le attività di ricerca, incluse la formulazione e la verifica di un’ipotesi, sono condotte seguendo un approccio metodico e sistematico del pertinente campo di ricerca.
Rispetto degli standard etici: le attività di ricerca sono condotte nel rispetto degli standard etici del settore, volti a prevenire che gli individui subiscano danni o altri effetti negativi dalla partecipazione alla ricerca scientifica.
Verificabilità e trasparenza: le attività di ricerca mirano a produrre risultati verificabili e consentono che ipotesi, metodi, dati e conclusioni siano aperti alla critica, normalmente attraverso la revisione tra pari.
Autonomia e indipendenza: la ricerca è condotta autonomamente e indipendentemente, in un contesto libero da pressioni indebite, e i ricercatori dispongono delle qualifiche accademiche o scientifiche richieste nel pertinente campo di ricerca.
Obiettivi della ricerca: le attività di ricerca sono svolte con l’obiettivo di contribuire alla crescita della conoscenza collettiva e al benessere della società, senza che ciò escluda il perseguimento di interessi commerciali.
Potenziale contributo alla conoscenza scientifica: le attività di ricerca hanno il potenziale per contribuire al sapere scientifico esistente o per applicarlo in modi innovativi, e possono essere soggette a valutazione da parte di esperti o comitati indipendenti.
Se le attività di ricerca soddisfano tutti e sei i fattori, si presume che costituiscano ricerca scientifica. In caso contrario, il titolare è tenuto a giustificare e dimostrare perché le attività debbano comunque essere considerate ricerca scientifica ai sensi del GDPR.
2.2 Limitazione della finalità e presunzione di compatibilità
Ai sensi dell’art. 5(1)(b) del GDPR, l’ulteriore trattamento a fini di ricerca scientifica è presunto compatibile con le finalità iniziali del trattamento. Pertanto, quando si effettua un ulteriore trattamento per finalità di ricerca scientifica, non è necessario effettuare il test di compatibilità previsto dall’art. 6(4) GDPR. Il titolare dovrà in ogni caso verificare la liceità del trattamento ulteriore. In molti casi sarà possibile fare affidamento sulla medesima base giuridica del trattamento iniziale, ad esempio laddove il trattamento originario si fondasse sull’interesse pubblico o sul legittimo interesse.
2.3 Limitazione della conservazione
L’art. 5(1)(e) del GDPR consente ai titolari di conservare i dati personali quando questi siano destinati ad essere ulteriormente trattati per specifiche finalità di ricerca scientifica, anche qualora le finalità originarie del trattamento siano state soddisfatte e indipendentemente dal fatto che tali finalità originarie fossero o meno scientifiche. Se non è possibile specificare le finalità di un futuro progetto di ricerca al momento della conservazione, è sufficiente indicare un certo ambito di ricerca; tuttavia, non è ammissibile una conservazione per generiche finalità di ricerca scientifica senza alcuna specificazione dello scopo sotteso.
2.4 Le basi giuridiche del trattamento: consenso, interesse pubblico e legittimo interesse
Le Linee Guida dedicano ampio spazio alle basi giuridiche applicabili, con peculiari approfondimenti in materia di consenso.
Consenso ampio e consenso dinamico. Nell’ambito della ricerca scientifica è possibile per i titolari fare affidamento sul consenso dell’interessato per raccogliere e trattare i dati personali in un determinato settore di ricerca quando le finalità non siano pienamente note al momento della raccolta. Nella comunità scientifica, questa modalità è comunemente denominata “consenso ampio” (broad consent). Un’ulteriore modalità è il cosiddetto “consenso dinamico” (dynamic consent), mediante il quale il titolare chiede agli interessati di prestare il consenso a ciascun singolo progetto di ricerca – o a sue specifiche fasi – separatamente, non appena le finalità diventano note. È essenziale distinguere il consenso alla partecipazione alla ricerca dal punto di vista etico dal consenso ai sensi del GDPR quale base giuridica per il trattamento dei dati personali: si tratta di concetti distinti, che devono essere tenuti separati nei moduli e nelle interfacce di raccolta del consenso.
Qualora il titolare richieda un consenso ampio, dovrà adottare specifiche garanzie che attribuiscano agli interessati un controllo sufficiente sull’utilizzo dei loro dati, a compensazione della mancanza di specificazione delle finalità, tra cui la messa a disposizione di informazioni dettagliate sull’evoluzione del trattamento, la possibilità di iscrizione a newsletter informative e misure di accesso e controllo indipendenti.
Interesse pubblico. L’esecuzione di un compito di interesse pubblico o l’esercizio di pubblici poteri come base giuridica non è limitata agli enti pubblici che svolgono ricerca scientifica: anche i soggetti privati possono fondarsi su tale base giuridica, purché l’atto normativo in questione copra la loro attività.
Legittimo interesse. La ricerca scientifica può configurare un legittimo interesse ai sensi del GDPR, indipendentemente dal fatto che sia svolta a scopo di lucro o meno; nel balancing test ai sensi dell'art. 6(1)(f) GDPR, il titolare che intenda trattare dati personali per finalità di ricerca scientifica potrà attribuire un peso significativo a tale trattamento, in relazione agli interessi o ai diritti e alle libertà fondamentali degli interessati.
2.5 Trasparenza e diritti degli interessati
Quando un titolare intende trattare dati personali per finalità di ricerca scientifica per periodi di tempo prolungati, ovvero prevede di farlo, dovrebbe offrire agli interessati la possibilità di fornire volontariamente i propri dati di contatto. Ciò consente di aggiornare gli interessati sull’evoluzione del trattamento dei loro dati personali. Tale opportunità deve essere garantita agli interessati anche qualora le finalità del trattamento non richiedano, di per sé, il trattamento dei dati di contatto.
Se il titolare apporta modifiche alle proprie attività di trattamento che rendono obsolete o incomplete le informazioni precedentemente fornite agli interessati, è tenuto a informarli di tali modifiche ai sensi degli artt. 13(4) e 14(5)(a) del GDPR. Quando determina se sia necessario informare gli interessati, il titolare deve considerare che l’obiettivo principale del principio di trasparenza è quello di garantire il rispetto delle ragionevoli aspettative degli interessati.
In relazione al diritto alla cancellazione, l’art. 17(3)(d) del GDPR prevede una specifica eccezione quando il trattamento è necessario a fini di ricerca scientifica ai sensi dell’art. 89(1) del GDPR: tale eccezione si applica solo nei casi limitati in cui la cancellazione possa rendere impossibile o compromettere gravemente il conseguimento degli obiettivi della ricerca.
Con riguardo al diritto di opposizione, il titolare che basi il trattamento sul legittimo interesse ex art. 6(1)(f) del GDPR può respingere un’opposizione ai sensi dell’art. 21(6) del GDPR qualora dimostri che il trattamento dei dati personali per finalità di ricerca scientifica costituisce un interesse legittimo che coincide con un interesse pubblico.
2.6 Attribuzione delle responsabilità
Laddove i dati personali siano trattati per finalità di ricerca scientifica coinvolgendo più soggetti, è necessario valutare e documentare la ripartizione delle responsabilità tra tali soggetti. Tale determinazione è particolarmente rilevante quando più attori partecipano alla redazione dei protocolli di ricerca scientifica – come sponsor, ospedali, aziende private – oppure nell’ambito di partnership pubblico-private.
Si ricorda in particolare che la contitolarità ricorre quando due o più soggetti partecipano congiuntamente alla determinazione delle finalità e degli elementi essenziali dei mezzi del trattamento. Un criterio fondamentale per determinare la contitolarità è che il trattamento non sarebbe possibile senza il concorso di tali soggetti, il che significa che il trattamento di ciascuno di essi è inscindibilmente legato a quello degli altri.
2.7 Le garanzie appropriate
Il principio di minimizzazione dei dati, fondamentale nel GDPR, è ulteriormente enfatizzato nell’art. 89(1): laddove le finalità di ricerca scientifica possano essere conseguite mediante un trattamento che non consenta o non consenta più l’identificazione degli interessati, quelle finalità dovranno essere soddisfatte in tal modo.
Il trattamento di dati personali per finalità di ricerca scientifica che consentano di identificare direttamente una persona dovrebbe essere effettuato solo laddove ritenuto strettamente necessario e proporzionato agli obiettivi della ricerca.
Tra le ulteriori garanzie appropriate indicate dall’EDPB si annoverano: strutture di governance per la supervisione del trattamento, maggiore trasparenza verso gli interessati anche mediante piattaforme online, rispetto degli standard etici con eventuale approvazione da parte di comitati, l’impiego di Privacy Enhancing Technologies (PET) come la crittografia omomorfica o i dati sintetici, e l’istituzione di ambienti di trattamento sicuri che consentano l’accesso ai dati di ricerca senza necessità di archiviazione locale.
3. Conseguenze pratiche
Le Linee Guida avranno un impatto significativo su tutti i soggetti – sia pubblici che privati, sia profit che non-profit – che trattano dati personali nell’ambito di attività di ricerca scientifica, con particolare riferimento ai settori farmaceutico, medicale, dell’intelligenza artificiale, delle scienze sociali e delle infrastrutture di dati per la ricerca.
In particolare, le organizzazioni interessate dovranno:
Verificare la natura scientifica delle proprie attività: valutare i propri progetti di ricerca alla luce dei sei fattori chiave indicativi e documentare formalmente tale valutazione nell’ottica del principio di accountability;
Rivedere le basi giuridiche adottate: accertare che la base giuridica prescelta sia idonea anche in caso di ulteriore trattamento per finalità di ricerca, tenendo conto della presunzione di compatibilità e dei suoi limiti;
Aggiornare i meccanismi di raccolta del consenso: distinguere chiaramente tra consenso ai sensi del GDPR e consenso etico-normativo alla partecipazione alla ricerca – che sono concetti distinti e non sovrapponibili – e valutare se siano applicabili il consenso ampio e il consenso dinamico, assicurandosi che i moduli di consenso adottati separino nettamente i due profili;
Verificare la struttura di governance dei progetti multi-soggetto: nelle partnership pubblico-private e nelle sperimentazioni cliniche, mappare accuratamente i ruoli di titolare, contitolare e responsabile del trattamento, concludendo i relativi accordi;
Adottare garanzie appropriate ai sensi dell’art. 89(1) GDPR: implementare, già in fase progettuale, misure di anonimizzazione o pseudonimizzazione, controlli di accesso, coinvolgere i comitati di supervisione etici e indipendenti, valutare le misure contrattuali più adeguate.
4. Conclusioni
Come anticipato, alla redazione delle Linee Guida ha contribuito anche il Garante per la protezione dei dati personali italiano. Così come riportato nel comunicato stampa del Garante del 17 aprile 2026, ai lavori della Plenaria dell’EDPB, tenutasi a Bruxelles il 15 e 16 aprile 2026, hanno preso parte la Vicepresidente Ginevra Cerrina Feroni e il dirigente del Servizio relazioni internazionali e con l’Unione europea Riccardo Acciai.
Le Linee Guida rappresentano un contributo di grande rilievo per il settore della ricerca scientifica, rispondendo a domande interpretative che da anni attendevano una risposta organica a livello europeo.
La ricerca scientifica costituisce un obiettivo importante sancito dai trattati dell’UE e il GDPR stesso si fa carico di facilitarne lo svolgimento, prevedendo regole e considerazioni specifiche che ne consentono e agevolano lo svolgimento, salvaguardando al contempo i diritti e le libertà fondamentali degli interessati.
Le Linee Guida confermano l’approccio bilanciato del GDPR: flessibilità e deroghe a beneficio della ricerca genuinamente scientifica, ma solo in presenza di garanzie adeguate e di una rigorosa accountability dei soggetti coinvolti. Per le organizzazioni che operano in questo settore, l’adozione delle Linee Guida rappresenta un’occasione per riconsiderare modelli operativi, strutture di governance e flussi di dati alla luce di un quadro interpretativo che pone al centro la fiducia degli interessati e la responsabilizzazione dei ricercatori.
