Según el artículo 6 (e) del RGPD, el tratamiento es lícito si es necesario para el cumplimiento de una misión de interés público. En este caso, hay que tener en cuenta que “investigación científica” es un término demasiado amplio que generalmente se refiere a la búsqueda de conocimientos, a través de una determinada metodología, en cualquier área del conocimiento humano. Por lo tanto, es muy probable que, si los responsables utilizan una metodología científica y, de alguna manera, buscan el conocimiento a través del uso de los datos, dicho tratamiento podría ser lícito sobre la base del fundamento jurídico del interés público.
Además, el interés público podría servir para saltarse el veto incluido en el artículo 9.1 del RGPD si están utilizando categorías especiales de datos cuando otras bases jurídicas (como la investigación, por ejemplo) no son aplicables al caso. Sin embargo, en este caso, el tratamiento deberá basarse en la legislación de la UE o de un Estado miembro y deberá ser proporcional al objetivo perseguido, respetar la esencia del derecho a la protección de datos y prever medidas adecuadas y específicas para salvaguardar los derechos fundamentales y los intereses del interesado[1] (véase la subsección “Protección de datos e investigación científica” en la sección “Conceptos principales” de la Parte General de estas Directrices).
Por otra parte, hay que recordar que el artículo 5 (b) del RGPD establece el principio de limitación de la finalidad, en virtud del cual los datos no pueden tratarse para fines distintos de los iniciales específicos. Curiosamente, este artículo establece que determinados fines, entre los que se encuentra la investigación científica, se consideran compatibles con la finalidad inicial, lo que hace que su tratamiento posterior sea presuntamente lícito. Por lo tanto, cuando los responsables pueden argumentar y documentar que la finalidad del tratamiento es la investigación científica, los usos secundarios de los datos personales se consideran, en principio, compatibles con la finalidad inicial del tratamiento de los datos personales (véase la subsección “Principio de limitación de la finalidad” en la sección de Principios de la Parte General de estas Directrices).
Además, es bastante probable que la red social que recogió originalmente los datos incluyera una cláusula en el consentimiento del interesado que le permitiera a ella o a un tercero el tratamiento posterior con fines de investigación o, al menos, informara al interesado de que dicho tratamiento se consideraría compatible con su consentimiento inicial. Si este fuera el caso, el tratamiento con fines de investigación sería legítimo sobre la misma base legal que permitió a la red social recoger los datos.
Sin embargo, esta evaluación debe realizarse antes del tratamiento posterior con fines secundarios y debe basarse en criterios objetivos. El marco jurídico de esta cuestión puede cambiar considerablemente entre los Estados miembros de la UE. Por ello, los responsables deben conocer el marco normativo concreto aplicable. Se recomienda encarecidamente consultar con sus DPD a tal efecto[2] así como la inclusión de un asesor/unidad ético-jurídica en el proyecto en cuestión.
| Lista de control: investigación científica
☐ Los responsables han comprobado que su proyecto se ajusta al concepto de investigación científica. ☐ Los responsables han consultado a sus DPD sobre el uso de esta excepción a la prohibición del tratamiento de datos de categorías especiales. ☐ Los responsables han consultado el marco jurídico nacional sobre este tema. ☐ Los responsables han aplicado las salvaguardias y las medidas organizativas dedicadas a alinearse con el artículo 89 del RGPD y la normativa nacional correspondiente. ☐ Los responsables del tratamiento han documentado toda la información relativa a esta cuestión en la EIPD. |
- Ver: EOSC-Pillar Guidelines ´D4.1: Legal and Policy Framework and Federation Blueprint´ (2021), p. 76-77. En: https://repository.eosc-pillar.eu/index.php/s/tbqe6B7rDycdFCJ#pdfviewer ↑
- Vea algunas preguntas y respuestas prácticas al respecto aquí: https://www.ru.nl/rdm/gdpr-research/faq-gdpr-research/ ↑