Con le Linee Guida 1/2026 – presentate in bozza lo scorso 16 aprile ed oggetto di consultazione pubblica fino al 25 giugno 2026 – lo European Data Protection Board (“EDPB”) ha fornito una serie di orientamenti volti a semplificare la conformità al GDPR nel settore della ricerca scientifica.
Fra di essi, spicca quello a favore della percorribilità, sia pure a precise (ed impegnative) condizioni, del broad consent (“consenso ampio”) in tutti i casi in cui il promotore di una ricerca, al momento della raccolta dei dati personali dei partecipanti ai progetti di ricerca, mette nel conto di farne, in un futuro che non è precisamente determinabile, un uso secondario.
Il tema dell’uso secondario è particolarmente sentito nella ricerca medica, biomedica ed epidemiologica, sia quella promossa dall’industria (ad es. case farmaceutiche) e da enti non profit (ad es. associazioni che studiano una patologia), sia quella promossa dal settore pubblico (ad es. Università ed enti di ricerca).
Indice degli argomenti
Uso secondario dei dati nella ricerca medica
Nella ricerca medica, biomedica ed epidemiologica, si parla di uso secondario quando il promotore o lo sperimentatore usano i dati personali (per l’esattezza, dati sensibili, per lo più sanitari e/o genetici) che hanno raccolto nell’ambito di un determinato progetto per obiettivi di ricerca diversi da quelli legati al progetto originario, indicati nell’informativa all’interessato. L’uso secondario è prezioso per la prevenzione delle malattie, per la qualità e sicurezza delle cure, per la medicina personalizzata, per lo sviluppo di nuovi prodotti.
Un ambito nel quale l’uso secondario è quasi “strutturale” è quello delle biobanche, organizzazioni senza scopo di lucro istituite in istituzioni pubbliche o private che – nel rispetto dei diritti dei soggetti coinvolti – gestiscono, secondo comprovati standard di qualità, la raccolta, la conservazione e la distribuzione sistematiche di materiali biologici umani e delle informazioni collegate per ricerca e/o diagnosi future.
Negli ultimi anni, le opportunità di uso secondario sono aumentate grazie all’intelligenza artificiale, tant’è che la legge 132/2025 ha introdotto – nel quadro di precise garanzie – una base giuridica ad hoc per la ricerca e sperimentazione scientifica nella realizzazione di sistemi di intelligenza artificiale in ambito sanitario.
A sua volta, il Regolamento UE 2025/327 sullo Spazio Europeo dei dati sanitari (EHDS) ha introdotto una nuova disciplina volta – sia pure in un regime di controllo pubblico – a favorire l’uso secondario, anche a fini di ricerca, dei dati sanitari elettronici. Tuttavia, la parte dell’EHDS relativa all’uso secondario diventerà operativa nel 2029 e l’Unione Europea non può permettersi di aspettare fino al 2029. Mario Draghi lo ha detto con forza, proprio parlando di ricerca, nel suo Report “The future of European competitiveness” del settembre 2024.
Ostacoli normativi e basi giuridiche per la ricerca
Detto ciò, permangono numerosi ostacoli normativi ed interpretativi all’uso secondario a fini di ricerca, fra i quali la presenza – resa possibile dall’art. 9.4 del GDPR – di normative nazionali diverse fra loro in tema di dati sanitari con conseguente disomogeneità delle norme e delle interpretazioni delle Autorità di controllo dei singoli Stati membri dell’UE circa la base giuridica per il trattamento dei dati sanitari per finalità di ricerca.
Nel suo precedente parere 3/2019 sull’interazione tra Regolamento UE 536/2014 sulla ricerca clinica e GDPR, l’EDPB aveva offerto una prima apertura, affermando che per l’uso secondario dei dati «non dovrebbe essere esclusa in via generale la compatibilità di scopi», cioè la possibilità di trattare i dati raccolti inizialmente per obiettivi di ricerca aggiuntivi, senza la necessità di una base giuridica diversa e aggiuntiva rispetto a quella su cui il Titolare ha scelto di fondare l’uso primario. Il concetto di “compatibilità di scopi” trae origine dall’art. 5.1, b) del GDPR, secondo cui un ulteriore trattamento dei dati personali a fini di ricerca scientifica non è considerato incompatibile con le finalità iniziali, purché avvenga entro i confini indicati dall’art. 89.1 del GDPR (rispetto di misure fra cui la pseudonimizzazione, volte a garantire fra l’altro il rispetto del principio della minimizzazione dei dati). Purtroppo, la formulazione adottata dall’EDPB («non dovrebbe essere esclusa») essendo molto prudente e un po’ involuta, non è stata granché considerata dalle Autorità di controllo.
Sempre nel parere 3/2019, l’EDPB affermava che per i trattamenti con finalità di ricerca scientifica, la base giuridica per l’uso primario può essere, alternativamente, il consenso (art. 6.1, a) del GDPR), l’esecuzione di un compito di interesse pubblico (art. 6.1, e) del GDPR) o il legittimo interesse (art. 6.1, f) del GDPR). Senonché, alcune leggi nazionali, beneficiando della possibilità riconosciuta agli Stati membri dall’art. 9.4 del GDPR di differenziarsi nel disciplinare il trattamento dei dati sanitari, impongono ai Titolari – per l’uso primario e quindi anche per l’uso secondario – una scelta di basi giuridiche ben più limitata di quella indicata dall’EDPB.
Il caso italiano tra settore pubblico e privato
È, questo, il caso dell’Italia. Nel nostro codice privacy, sono ammesse solo due possibili basi giuridiche per la ricerca medica, biomedica ed epidemiologica: per i soggetti del settore pubblico, il perseguimento di una finalità di rilevante interesse pubblico nello svolgimento di un compito di interesse pubblico; per i soggetti del settore privato (profit e non profit) il consenso. Ciò implica una duplice restrizione: 1) per il settore pubblico, il trattamento di dati sensibili per finalità di rilevante interesse pubblico è possibile solo in un quadro di garanzie definite da un atto normativo di natura primaria o secondaria); 2) per il settore privato, la base giuridica del legittimo interesse non è utilizzabile, e la base giuridica del consenso è utilizzabile nel rispetto degli orientamenti dell’Autorità di controllo nazionale (da noi, il Garante) sulla specificità del consenso.
Negli anni scorsi, il Garante è sembrato collocarsi sulla linea secondo cui un consenso alla ricerca è valido solo se è “progetto-specifico”, cioè reso con riferimento a un preciso progetto descritto in un protocollo. Nel parere del 30 giugno 2022 rilasciato all’AOU di Verona, il Garante ha affermato che se al momento della raccolta non è possibile individuare pienamente le specifiche finalità del trattamento connesse a ulteriori e specifici studi e la finalità specifica del trattamento verrà individuata a fasi progressive in maniera puntuale solo all’esito dell’approvazione dei futuri progetti di ricerca, una volta che ciascun singolo futuro progetto di ricerca viene approvato, il Titolare deve chiedere un ulteriore, specifico consenso in relazione allo stesso. Questa variante del consenso volta a legittimare l’uso secondario è definita “consenso a fasi progressive” o “dinamico”.
Consenso ampio nella ricerca scientifica GDPR
In realtà, il testo del GDPR offrirebbe un’alternativa. Secondo il considerando (33), «in molti casi non è possibile individuare pienamente la finalità del trattamento dei dati personali a fini di ricerca scientifica al momento della raccolta dei dati. Pertanto, dovrebbe essere consentito agli interessati di prestare il proprio consenso a taluni settori della ricerca scientifica laddove vi sia rispetto delle norme deontologiche riconosciute per la ricerca scientifica. Gli interessati dovrebbero avere la possibilità di prestare il proprio consenso soltanto a determinati settori di ricerca o parti di progetti di ricerca nella misura consentita dalla finalità prevista».
Eccoci, dunque, alla novità delle Linee Guida 1/2026 dell’EDPB. In esse, l’EDPB tiene conto della circostanza che – in alcuni Stati membri dell’UE, come l’Italia – il settore privato profit e non profit non può trattare dati personali e sensibili a fini di ricerca scientifica senza il consenso degli interessati. Nel documento, il “consenso dinamico” già messo a punto dal nostro Garante è indicato come una delle due possibili soluzioni.
L’altra soluzione praticabile nei casi in cui le finalità della ricerca non siano pienamente note al momento della raccolta dei dati personali è – secondo le Linee Guida 1/2026 dell’EDPB – il “consenso ampio”, cioè un consenso che non copre solo gli obiettivi del progetto di ricerca già avviato, ma anche obiettivi di ricerca futuri. L’EDPB subordina il ricorso al consenso ampio a una precisa serie di condizioni tutt’altro che banali. Il Titolare che se ne avvale deve trattare i dati personali in conformità con gli standard etici per la ricerca scientifica e deve adottare ulteriori garanzie proprio per compensare la mancanza di specificazione delle finalità.
Le condizioni richieste dall’EDPB per il consenso ampio
Anzitutto, in linea con il principio di accountability, la scelta di ricorrere al consenso ampio come unica base giuridica volta a coprire sia l’uso primario che l’uso secondario deve essere opportunamente documentata, ad esempio in un’analisi dei rischi oppure – ove richiesto nei singoli Stati – nella Valutazione d’impatto (DPIA).
In secondo luogo, consenso ampio non significa consenso generico. Non è sufficiente che il Titolare si limiti – nell’informativa agli interessati – a spiegare che i dati personali saranno utilizzati per scopi di ricerca. La finalità del trattamento dovrebbe essere circoscritta a un determinato campo di ricerca, ad esempio la ricerca medica in ambito oncologico, oppure in base ai risultati attesi dalla ricerca, ad esempio la conduzione di ricerche genetiche per individuare metodi di trattamento medico più efficaci. Inoltre, occorre che il Titolare spieghi attraverso quali mezzi e canali gli interessati possono avere dettagli sui singoli progetti, via via che essi vengono messi a punto all’interno di protocolli che chiariscono gli specifici obiettivi, i metodi, i risultati attesi.
Nell’impostazione dell’EDPB, per potersi avvalere in modo legittimo del consenso ampio, i Titolari dovrebbero impostare un processo che permetta loro un elevato livello di trasparenza verso gli interessati. L’EDPB suggerisce che i Titolari: a) rendano pubbliche (ad es. sul loro sito web) informazioni aggiornate e dettagliate sulle modalità di trattamento dei loro dati personali, man mano che la ricerca procede nei singoli progetti di ricerca; b) adottino misure che consentano agli interessati di ricevere informazioni sul trattamento, ad esempio, tramite l’iscrizione a una newsletter. Le modalità di ricezione delle informazioni e la loro frequenza dovrebbero essere determinate in base alla volontà dell’interessato, nonché ai requisiti legali o ad eventuali considerazioni etiche relative alla comunicazione con i partecipanti ai progetti di ricerca.
Valutazione dei progetti e governance del trattamento
In ogni caso, appena gli obiettivi del trattamento per singoli progetti di ricerca (o per fasi dei progetti) diventano noti e comunque prima di avviare l’uso secondario, il Titolare dovrebbe valutare se il trattamento dei dati personali per questi progetti nuovi è davvero realizzabile poggiando sulla base del consenso ampio. Questa valutazione dovrebbe avvenire nell’ambito di un processo ben definito, che chiarisca “chi” la fa, “come”, secondo quale flusso. Preferibilmente – dice l’EDPB – i Titolari dovrebbero consultare i gruppi sociali che rappresentano gli interessati per comprendere meglio i desideri e le loro aspettative. Questa valutazione non deve essere condotta come una mera formalità; al contrario, se un Titolare si rende conto che il trattamento dei dati personali nell’ambito di un singolo progetto di ricerca (o in parte di esso) non è coperto dal consenso ampio, deve attrezzarsi a tornare dagli interessati e a chieder loro il consenso per quel singolo progetto di ricerca (o fase dello stesso), oppure, in alternativa, basarsi sul consenso a fasi progressive.
In base alle Linee Guida 1/2026, i Titolari dovrebbero conferire al consenso ampio una validità limitata nel tempo ed implementare controlli sull’uso dei dati e sull’accesso ai dati, come, ad es., la designazione di un responsabile indipendente per la gestione dei dati o di un organismo di controllo (che includa un rappresentante dei partecipanti alla ricerca, esperti nello specifico campo di ricerca scientifica ed il DPO).
In particolare, secondo l’EDPB, l’organismo di controllo può essere incaricato di esaminare i progetti di ricerca che vengono proposti e di esprimere un parere sul relativo trattamento dei dati personali. Se le attività di ricerca sono già soggette a un meccanismo di controllo regolamentato, come ad esempio in Italia il parere del Comitato Etico competente, il Titolare del trattamento può verificare se tale meccanismo di controllo fornisce già una supervisione sufficiente del trattamento dei dati personali a salvaguardia degli interessati.
Perché il consenso ampio richiede un investimento organizzativo
In conclusione, pur sdoganando il consenso ampio, le Linee Guida 1/2026 dell’EDPB lo rendono praticabile solo se il Titolare effettua un rilevante investimento organizzativo, che va oltre ciò che normalmente viene messo nel conto per la ricerca. L’ente che vuole chiedere un consenso ampio deve dotarsi di un programma generale di ricerca e deve illustrarlo agli interessati, deve aggiornare continuamente le informazioni sulle singole attività di ricerca (riconducibili al programma generale) in corso, permettendo così agli interessati un controllo sui singoli progetti di ricerca per i quali il loro consenso ampio viene valorizzato e l’eventuale revoca del consenso (globale o relativa a specifici progetti). Infine, il Titolare deve mettere a punto un sistema di governance che include il DPO ma non si limita ad esso e deve descriverlo agli interessati.
Nella realtà italiana, il consenso ampio sembra particolarmente adatto agli IRCCS, che già – ai sensi dell’art. 110-bis comma 4 del codice privacy – godono di un’importante agevolazione, cioè il poter scegliere come base giuridica il motivo di rilevante interesse pubblico (proprio del regime pubblicistico della protezione dei dati personali nella ricerca) o il consenso (proprio dell’omologo regime privatistico). Pur potendo avvalersi del regime pubblicistico, molti IRCCS (specialmente privati) preferiscono tuttora chiedere il consenso, soprattutto per le loro biobanche. Alla luce delle Linee Guida 1/2026 dell’EDPB, i passaggi cruciali per avvalersi del consenso ampio sono: 1) effettuare un’analisi legale volta a documentare di avere valutato i pro e i contro per gli interessati di questa soluzione e le modalità più idonee per gestirla e l’adozione di un sistema di governance più snello di quello previsto dall’EDPB, qualora si possa dimostrare che l’obbligo di richiesta di parere al Comitato Etico sui singoli progetti include una parte delle valutazioni che l’EDPB ipotizza di affidare al sistema di governance dedicato; 2) dedicare tempo e attenzione alla stesura di un’informativa agli interessati/partecipanti ai progetti di ricerca analitica, ma chiara, che renda ben informato il consenso ampio; 3) attrezzarsi a valutare (tenendone traccia), per ciascun possibile uso secondario, se esso può ritenersi incluso nel consenso ampio; 4) creare flussi continui fra chi mette a punto i progetti di ricerca e chi – sia sul fronte della protezione dei dati personali, che su quello della gestione degli spazi digitali – predispone i contenuti informativi per gli interessati, in modo da usare il sito e i canali di comunicazione digitale con gli interessati per un aggiornamento continuo sui progetti per i quali, in virtù del consenso ampio che hanno reso, vengono trattati i loro dati personali. È uno sforzo organizzativo importante, ma ne vale la pena.
Partecipa alla community