Por lo que respecta a la base jurídica del tratamiento, es pertinente distinguir entre categorías de datos:
- Tratamiento de datos personales (“no sensibles”). Las bases jurídicas para el tratamiento son las establecidas en el artículo 6 del RGPD (véase “Legalidad, equidad y transparencia” en la sección “Principios” de la Parte II de estas Directrices). Esto significa que todo tratamiento de datos personales debe basarse necesariamente en alguna de las bases jurídicas previstas en el artículo 6, apartado 1:
- Consentimiento del interesado (art. 6.1 a).
- Contrato (art. 6.1 b).
- Obligación legal (art. 6.1 c).
- Intereses vitales (art. 6.1 d).
- Función pública o interés público (art. 6.1 e).
- Intereses legítimos (art. 6.1 f).
- Tratamiento de categorías especiales de datos personales (“datos personales sensibles”). El tratamiento de las categorías de datos incluidas en el artículo 9 está prohibido a menos que se identifique una base legítima específica de las que figuran en el apartado 2 del artículo 9.[1] El artículo 9 requiere una legitimación adicional, que se suma a las del artículo 6. Entre estas bases legales, el tratamiento no está prohibido si, entre otras cosas.
- “el interesado ha dado su consentimiento explícito al tratamiento de esos datos personales para uno o varios fines específicos, salvo que el Derecho de la Unión o de los Estados miembros disponga que el interesado no puede levantar la prohibición mencionada en el apartado 1”. Artículo 9(2) letra a).
- es “necesaria para fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, basados en el Derecho de la Unión o de los Estados miembros, que deberán ser proporcionales al objetivo perseguido, respetar la esencia del derecho a la protección de datos y prever medidas adecuadas y específicas para salvaguardar los derechos fundamentales y los intereses del interesado”. [2]
Además, el artículo 9 (4) dice: “Los Estados miembros podrán mantener o introducir otras condiciones, incluidas limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud”. Sin embargo, esta posibilidad no implica que el contenido de la letra j) del apartado 2 del artículo 9 deba quedar sin efecto. Una vez más, los investigadores deberían pedir siempre consejo a sus DPD sobre el marco normativo nacional aplicable.
- Comité Europeo de Protección de Datos (CEPD), Dictamen 3/2019 relativo a las preguntas y respuestas sobre la interacción entre el Reglamento sobre ensayos clínicos (RCE) y el Reglamento general de protección de datos (RGPD) (art. 70.1.b)) Adoptado el 23 de enero de 2019, pp. 8-9. En: https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_opinionctrq_a_final_en.pdf Consultado: 20 de mayo de 2020.
Este documento describe varias posibilidades que combinan los artículos 6 y 9: Los motivos legítimos para el tratamiento pueden derivarse de las obligaciones legales del responsable del tratamiento y que entran en la base jurídica del artículo 6.1.c) en conjunción con el artículo 9.1.i); o el interés público en virtud del artículo 6.1.e) en conjunción con el artículo 9.2, i) o j); o los intereses legítimos del responsable del tratamiento en virtud del artículo 6, apartado 1, letra f), en relación con el artículo 9, apartado 2, letra j); o en circunstancias específicas, cuando se cumplan todas las condiciones, el consentimiento explícito del interesado en virtud del artículo 6, apartado 1, letra a), y del artículo 9, apartado 2, letra a). ↑
- Artículo 9(2)(j). ↑