Secondo l’articolo 5, paragrafo 1, lettera b), l’ulteriore trattamento a fini di archiviazione nel pubblico interesse, a fini di ricerca scientifica o storica o a fini statistici è compatibile anche se i dati sono stati inizialmente raccolti per altre finalità diverse (a condizione che siano in atto misure tecniche e organizzative che garantiscano il rispetto dei diritti e delle libertà dell’interessato). Tuttavia, rimane in discussione se altre disposizioni possono essere applicate, ad esempio, il test di compatibilità ai sensi dell’articolo 6, paragrafo 4, del GDPR.

Tuttavia, in relazione a categorie speciali di dati, l’articolo 9 (2) (j) menziona esplicitamente che il trattamento deve essere “basato sul diritto dell’Unione o degli Stati membri che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure adeguate e specifiche per salvaguardare i diritti fondamentali e gli interessi della persona interessata”.

Questo apparente problema giuridico richiede uno sforzo interpretativo che potrebbe risolvere la questione in due modi. In primo luogo, poiché l’articolo 5 non fa riferimento a categorie speciali di dati personali, potrebbe essere inteso come limitato ai casi in cui non vengono utilizzate tali informazioni. Se si dovesse parlare di dati personali di queste categorie, si applicherebbe l’articolo 9, che è più specifico.

La seconda soluzione si basa su un’interpretazione dell’articolo 5 come semplice principio generale e alla luce del considerando 50, che delinea una serie di condizioni per l’uso secondario, che rappresentano il requisito di un maggiore autocontrollo da parte del titolare del trattamento, nonché una “ragionevole aspettativa” da parte della persona interessata che questo trattamento secondario possa avere luogo. Inoltre, l’art. 6(4) stabilisce una serie di criteri per determinare la compatibilità di un trattamento con la (diversa) finalità per cui i dati personali sono stati raccolti, che dovrebbero essere presi in considerazione anche in questi casi: “a) l’eventuale nesso tra le finalità per le quali i dati personali sono stati raccolti e le finalità dell’ulteriore trattamento previsto; b) il contesto in cui i dati personali sono stati raccolti, in particolare per quanto riguarda la relazione tra gli interessati e il titolare del trattamento; c) la natura dei dati personali, in particolare se sono trattate categorie particolari di dati personali, ai sensi dell’articolo 9, o se sono trattati dati personali relativi a condanne penali e reati, ai sensi dell’articolo 10; d) le possibili conseguenze dell’ulteriore trattamento previsto per gli interessati; e) l’esistenza di garanzie adeguate, che possono includere la cifratura o la pseudonimizzazione” (vedi “Identificazione”, “Pseudonimizzazione” e “Anonimizzazione” nella Parte II di queste Linee guida, sezione “Concetti principali”). Pertanto, sembra che gli articoli 5, 6 e 9 debbano essere letti e interpretati insieme^[1].

 

 

1. GEPD, Un parere preliminare sulla protezione dei dati e la ricerca scientifica, 2020, pag. 23. All’indirizzo: https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202003_healthdatascientificresearchcovid19_en.pdf Accesso: 15 gennaio 2020. ↑