Che cos’è il GDPR?
Il GDPR (Regolamento Generale sulla Protezione dei Dati) è un regolamento dell’Unione Europea emanato nel 2016 per uniformare le diverse normative nazionali esistenti in materia di protezione dei dati personali. Si applica a chiunque – istituzione, organizzazione, individuo – raccolga informazioni di carattere personale riguardanti persone fisiche.
Il suo fine è proteggere “i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali”.
Esso ha delle ripercussioni sulla ricerca scientifica. Per un quadro generale su ricerca e protezione dei dati personali, vedi queste FAQ.
Che cambiamenti ha introdotto il GDPR per chi pratica la storia orale?
Rispetto alle buone pratiche seguite da chi fa ricerche di storia orale, esso introduce alcune novità a livello procedurale riguardo alla protezione dei dati personali: richiede cioè che alcuni passaggi che siamo soliti fare quando ci rapportiamo alle persone che intervistiamo siano esplicitati e soprattutto documentati, così da poter sempre rendere conto delle nostre procedure e consentire alle persone coinvolte nelle interviste di poter esercitare i propri diritti a tutela dei dati personali che li riguardano.
Il principio guida alla base del GDPR è quello dell’accountability, che potremmo tradurre come responsabilità e insieme verificabilità delle procedure seguite. Per chi fa storia orale, questo si traduce nel richiamo all’accuratezza delle prassi che seguiamo nella raccolta, conservazione e utilizzo delle interviste, e nell’importanza di conservare la documentazione degli accordi che prendiamo con i nostri testimoni prima, durante e dopo l’intervista.
Quali novità ha introdotto il GDPR riguardo alle modalità con cui si acquisisce il consenso informato da parte delle persone che intervistiamo?
Il GDPR ha ad oggetto la protezione dei dati personali e il loro trattamento. Per essere in regola con questa normativa, chi intende raccogliere un’intervista dovrà predisporre un’apposita informativa sui dati personali e consegnarla alla persona intervistata. Come prova dell’avvenuta consegna, è possibile farne firmare una copia e conservarla, oppure documentare l’atto della consegna nella registrazione dell’intervista. Un modulo di Informativa sul trattamento dei dati personali si trova in fondo a queste FAQ.
Per quanto riguarda invece il consenso informato alla raccolta, alla conservazione e all’utilizzo dell’intervista, il GDPR non introduce novità di rilievo. Resta possibile ottenere il consenso della persona intervistata in forma scritta o eventualmente in forma orale. Nel primo caso, le si farà firmare un modulo di autorizzazione (quale, ad esempio, il Modulo di autorizzazione all’intervista che si trova in fondo a queste FAQ); nel secondo caso, il consenso sarà registrato all’inizio dell’intervista e possibilmente ribadito al termine.
La scelta tra le due modalità dipenderà dalle circostanze in cui si svolge l’intervista e soprattutto dall’utilizzo che si prevede di farne: in particolare, in caso di sua diffusione in formato video oppure online, è preferibile che il consenso sia espresso in forma scritta.
Anche qualora il consenso informato venga espresso in forma orale, è consigliabile consegnare alla persona da intervistare una scheda riepilogativa che descriva il progetto nel cui ambito l’intervista viene raccolta, ne illustri le modalità di conservazione e l’utilizzo che si prevede di farne.
Il GDPR utilizza alcune particolari locuzioni: che cosa significano?
- “interessato”: la persona fisica identificata o identificabile cui si riferisce qualsiasi informazione (“dato personale”).
Si considera identificabile “la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale”; - “titolare del trattamento” (“data controller”): “la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali”.
Nel nostro caso, titolare è il ricercatore o la ricercatrice che conduce l’intervista, se la ricerca è indipendente.
Se invece la ricerca è svolta per un’università, un’altra istituzione o un committente, titolare è quest’ultimo/a.
Il titolare del trattamento è “competente” (“responsible”) e in grado di dimostrare (“accountable”) che i dati personali siano trattati secondo quanto previsto dall’art. 5 del GDPR (art. 5). - “persona autorizzata al trattamento sotto l’autorità diretta del titolare o del responsabile”: è, per quanto ci riguarda, il ricercatore o la ricercatrice dipendente dell’istituzione che ha promosso la ricerca.
- “responsabile del trattamento” (“data processor”): “la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del/della titolare del trattamento”. Il/la responsabile è, quindi, un soggetto, esterno all’organizzazione del titolare, che agisce per conto di quest’ultimo (per esempio, il ricercatore che raccoglie interviste per conto di un istituto storico, o chi sia incaricato di trascriverle o di archiviarle). Il responsabile del trattamento deve dare garanzie sufficienti di “mettere in atto misure tecniche e organizzative adeguate affinché il trattamento soddisfi i requisiti” del GDPR, a tutela dei diritti dell’interessato. Il rapporto deve essere “contrattualizzato” con la previsione di una serie specifica di obblighi.
- Infine, il GDPR introduce, per le persone giuridiche (in alcuni casi obbligatoriamente: ad esempio gli atenei), il “responsabile della protezione dei dati” (“data protection officer”, in sigla RPD o DPO, da non confondere con il “responsabile del trattamento”).
Il DPO ha fra i suoi compiti:
a) informare e fornire consulenza al titolare e/o al responsabile del trattamento, nonché ai dipendenti che eseguono il trattamento, in merito agli obblighi derivanti dal GDPR e da altra normativa per la tutela dei dati personali, e dalle policy dell’organizzazione;
b) sorvegliare sull’applicazione degli obblighi di cui sopra;
c) cooperare e fungere da punto di contatto con l’autorità di controllo, in Italia il Garante della Privacy.
Che cosa sono le “Categorie particolari di dati personali”?
Le “Categorie particolari di dati personali” corrispondono ai “dati personali che rivelino l’origine razziale[1] o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale” (che si usava definire come “dati sensibili”) e ai “dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona”.
Nelle interviste di storia orale questi dati sono ricorrenti, ineliminabili e spesso fondamentali per la ricerca. La voce stessa dell’intervistato è un “dato biometrico”. Inoltre, va osservato che spesso le interviste contengono anche dati personali relativi a terze persone di cui l’intervistato parla (familiari, colleghi, compagni…), e che la legislazione italiana tutela anche i dati personali dei defunti.
Il GDPR riconosce che i dati personali delle Categorie particolari possono essere trattati “a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici”, ma pone alcuni limiti al trattamento, che deve essere “proporzionato alla finalità perseguita, rispetta[re] l’essenza del diritto alla protezione dei dati e prevede[re] misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato”.
Quindi, particolare attenzione ai dati personali va osservata nel momento in cui le interviste siano rese pubbliche, o consultabili, o siano diffuse o pubblicate (anche parzialmente). In particolare, i dati personali contenuti nelle interviste possono essere diffusi se il ricercatore li ritenga pertinenti e indispensabili al perseguimento degli scopi della ricerca, a condizione che non rechino danno o pericolo alle persone interessate e non ledano la loro dignità e riservatezza.
Nel GDPR si parla di “liceità del trattamento”: che cosa si intende in relazione alla storia orale?
Registrare un’intervista di storia orale – sia prendendo appunti sia registrandola in audio e/o in video – significa raccogliere e trattare dati personali: secondo il GDPR è lecito farlo solo su basi giuridiche definite.
Per chi fa interviste di storia orale, è consigliabile regolarsi per i “dati personali” come segue:
- se il “titolare del trattamento” è un’istituzione pubblica che ha tra i propri scopi statutari quello della ricerca o della raccolta di documentazione (università, scuole, centri di ricerca, biblioteche, archivi pubblici) si sta eseguendo “un compito di interesse pubblico” ( 6, comma e);
- se la ricerca è invece riconducibile a un diverso “titolare del trattamento” – per esempio a un ricercatore o ricercatrice indipendente o a un centro di ricerca privato, ecc. – rientra nella condizione del “perseguimento del legittimo interesse” ( 6, comma f), cioè l’esercizio della ricerca storica.
In entrambi i casi, il trattamento delle “categorie particolari di dati personali” viene effettuato per fini di “archiviazione nel pubblico interesse, di ricerca scientifica o storica” (art. 9, par. 2, lett. j).
Una volta che siano state legittimamente raccolte, le interviste possono e anzi debbono essere conservate e ulteriormente trattate “a fini di archiviazione nel pubblico interesse, o di ricerca scientifica o storica” (art. 89).
Quali indicazioni dà il GDPR in merito alla sicurezza dei dati, e quindi alla conservazione delle fonti orali?
Il GDPR dedica molta attenzione alla sicurezza dei dati personali; per esempio, introduce l’obbligo – in taluni casi – di una valutazione di impatto dei trattamenti previsti sulla protezione dei dati personali; l’obbligo, solitamente, di comunicare al Garante e agli interessati eventuali violazioni dei dati personali (data breach); molte limitazioni alla possibilità di trasferire i dati personali in un paese extra UE. Queste indicazioni coinvolgono anche chi conserva le fonti orali che ha prodotto per le proprie ricerche.
Come si devono comportare i ricercatori e le ricercatrici riguardo alla sicurezza dei dati?
È consigliabile che i ricercatori che lavorano per conto di università o di centri di ricerca prendano contatto con i rispettivi DPO, dove esistenti, o comunque con il titolare, e utilizzino le infrastrutture e i servizi di cui gli atenei e i centri di ricerca dovrebbero essersi dotati.
I ricercatori indipendenti e le associazioni che conservino archivi orali sono soggetti alle stesse prescrizioni ma solitamente hanno minori risorse da dedicarvi. È opportuno che essi facciano una riflessione attenta, caso per caso, sul tipo di archivio orale che conservano, così da poter mettere in atto le misure più opportune per minimizzare i rischi di violazione dei dati personali, per esempio avendo cura di non conservare copie delle interviste in supporti che possano essere facilmente smarriti o di non mettere on line il proprio archivio senza filtri e adeguata protezione. Grande attenzione va riservata alle interviste che riguardino soggetti particolarmente vulnerabili, come malati, minori, perseguitati e rifugiati politici o richiedenti asilo, migranti o lavoratori irregolari, minoranze etniche o religiose in contesti ostili, eccetera
Esiste un vademecum per la conservazione delle interviste registrate?
Un tavolo di lavoro, cui AISO partecipa insieme ad altre associazioni interessate e alle istituzioni preposte, sta predisponendo un Vademecum per la conservazione, descrizione e valorizzazione degli archivi orali.
Indicazioni ulteriori sul trattamento archivistico delle fonti orali alla luce del GDPR si possono già ora trarre dal documento del Gruppo europeo degli archivi, Guida alla protezione dei dati personali per gli archivi.
La possibilità di ricorrere all’anonimizzazione della persona intervistata risolve ogni problema di protezione dei suoi dati personali?
No, se per anonimizzazione si intende utilizzare uno pseudonimo o una sigla al posto del nome e cognome della persona intervistata.
Se volessimo risolvere ogni problema di protezione dei dati personali dovremmo fare in modo che la persona intervistata non possa essere identificata in alcun modo. Si deve tenere presente, a questo riguardo, che la persona intervistata può essere resa riconoscibile da elementi diversi dal suo nome e cognome ma contenuti nel suo racconto, e anche dalla sua stessa voce.
NOTA
[1] A scanso di equivoci, è importante ricordare che nei “Considerando” del GDPR si evidenzia che «l’utilizzo dei termini “origine razziale” nel presente regolamento non implica l’accettazione da parte dell’Unione [europea] di teorie che tentano di dimostrare l’esistenza di razze umane distinte» (punto 51).
***
MODULO DI AUTORIZZAZIONE ALL’INTERVISTA
Questo modulo di autorizzazione ha valore esemplificativo e potrà essere adattato a seconda del carattere e delle esigenze della ricerca o del progetto nel cui ambito viene raccolta l’intervista, mantenendo gli elementi di base richiesti dalla normativa e dalle buone pratiche per la storia orale.
Io sottoscritta/o ………………………………………………………………………………….
nata/o a ………………..……………………………..… il ………………….…………………
residente a ………..…………….. in ……………………………………………………………
in qualità di persona intervistata, autorizzo
…….….…………..……………………………………………..……………[intervistatore/trice]
nata/o a ………………..……………………………… il ………………….………..…………
residente a ………..…………….. in ……………………………………………………………
alla raccolta dell’intervista realizzata in data odierna [o indicare altra data] per il progetto di ricerca / tesi di laurea o di dottorato / pubblicazione / altro : …………………………………………………………………………………………………………………………………………………………………………………………………………
Autorizzo altresì il deposito e la conservazione dell’intervista presso ……………………………………………………………………………………………………[archivio o istituto di conservazione], con sede in ……………………………………………………………………………………………………
La consultazione dell’intervista da parte di terzi sarà:
- libera
- consentita trascorsi … anni dalla data odierna
- subordinata a mia specifica autorizzazione
- altro (specificare) ………………………………………………………………………
Autorizzo l’utilizzo dell’intervista da parte di ………………………………..…………………..……………………………………………………………………………………………………..[intervistatore/trice, e/o altre persone coinvolte nel progetto per cui l’intervista viene raccolta] e cedo a titolo gratuito / oneroso [scegliere una delle due opzioni] ogni relativo diritto per:
– scopi didattici e di ricerca [possibilmente specificare: ad es., tesi di laurea o di dottorato, attività scolastiche, laboratori di formazione, ecc.]:
- sì
- no
– pubblicazione parziale / integrale [scegliere una delle due opzioni] in opere di natura scientifica / divulgativa / scientifica e divulgativa [scegliere una delle opzioni]: ……………………………………………………………………………………………………………………………………………….. [indicare tipologia e/o titolo e/o altre informazioni rilevanti dell’opera (ad es. casa editrice per le pubblicazioni, canali di diffusione per gli audiovisivi, ecc.)]:
- sì
- no
– sfruttamento a fini commerciali [eventualmente specificare]:
- sì
- no
Autorizzo l’uso dell’intervista da parte di terzi e cedo a titolo gratuito / oneroso [scegliere una delle due opzioni] ogni relativo diritto per:
– scopi didattici e di ricerca [possibilmente specificare: ad es., tesi di laurea o di dottorato, attività scolastiche, laboratori di formazione, ecc.]:
- sì
- no
– pubblicazione parziale / integrale [scegliere una delle due opzioni] in opere di natura scientifica / divulgativa / scientifica e divulgativa [scegliere una delle opzioni]: ..……….……………………………… ……………………………………………………… [indicare tipologia e/o titolo e/o altre informazioni rilevanti dell’opera (ad es. casa editrice per le pubblicazioni, canali di diffusione per gli audiovisivi, ecc.)]:
- sì
- no
– sfruttamento a fini commerciali [eventualmente specificare]:
- sì
- no
Ogni utilizzo dell’intervista diverso da quelli qui autorizzati è subordinato a mia autorizzazione ed eventualmente alla stipula di relativi accordi economici.
Luogo e data Firma
***
INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI
PER LA RACCOLTA DI FONTI ORALI A FINI DI RICERCA STORICA
(ART. 13 REG. UE 2016/679)
Oggetto della ricerca (di seguito “Ricerca”): … [titolo della ricerca]
Gentile … [nome e cognome],
desideriamo informarla che la normativa vigente in materia di protezione dei dati, con particolare riguardo all’ambito della ricerca storica (Regolamento UE 2016/679 sulla protezione dei dati personali – GDPR, il D. lgs. n. 196/2003 “Codice in materia di protezione dei dati personali” come modificato dal D. lgs. 101/2018, le “Regole deontologiche per i trattamenti a fini di archiviazione nel pubblico interesse o per scopi di ricerca storica”, nonché le varie Prescrizioni del Garante in materia) sancisce il diritto di ogni persona alla protezione dei dati di carattere personale che la riguardano.
In conformità alla normativa citata il trattamento dei suoi dati personali nell’ambito del progetto di ricerca sarà improntato al rispetto dei principi di cui all’art. 5 del GDPR, in particolare, liceità, correttezza, trasparenza, pertinenza, non eccedenza ed in modo da garantire un’adeguata sicurezza dei dati stessi.
In qualità di Interessato, le forniamo le seguenti informazioni relative al trattamento dei suoi dati personali.
Titolare del trattamento e Responsabile della protezione dei dati
Il Titolare del trattamento è … [il singolo ricercatore o l’istituzione cui questi afferisce o il committente]
Il contatto del Responsabile della protezione dei dati è … [solo se presente]
Finalità del trattamento
Il trattamento dei Suoi dati personali è effettuato per la realizzazione delle finalità di Ricerca.
Base giuridica del trattamento
SE ENTE / ISTITUZIONE DI RICERCA:
Il trattamento dei Suoi dati personali viene effettuato dal Titolare nell’ambito di esecuzione dei propri compiti di interesse pubblico (per finalità di ricerca storica) ai sensi dell’art. 6, par. 1, lett. e) del GDPR. Il trattamento delle categorie particolari di dati personali viene effettuato per fini di ricerca storica ai sensi dell’art. 9, par. 2, lett. j) del GDPR.
SE PRIVATO RICERCATORE:
Il trattamento dei Suoi dati personali viene effettuato dal Titolare sulla base del perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, ai sensi dell’art. 6, par. 1, lett. f) del GDPR. Il trattamento delle categorie particolari di dati personali viene effettuato per fini di ricerca storica ai sensi dell’art. 9, par. 2, lett. j) del GDPR.
In ogni caso, l’art. 8 delle Regole deontologiche per i trattamenti a fini di archiviazione nel pubblico interesse o per scopi di ricerca storica chiede come misura di tutela per l’interessato la prestazione di un consenso esplicito.
Modalità del trattamento
La raccolta dei Suoi dati avverrà nel rispetto delle Buone pratiche per la storia orale, approvate dall’AISO (Associazione Italiana di Storia Orale). Il trattamento di tali dati verrà effettuato mediante i seguenti strumenti:
… [descrivere le modalità tecniche della registrazione, della conservazione e della eventuale trascrizione]
e adottando le seguenti misure di sicurezza:
… [ad esempio pseudonimizzazione, ecc.]
I Suoi dati personali saranno trattati esclusivamente da soggetti autorizzati nell’ambito della realizzazione della Ricerca.
Periodo di conservazione dei dati
I Suoi dati personali potranno essere conservati per scopi di ricerca storica anche oltre il periodo necessario per il raggiungimento degli scopi per i quali sono stati raccolti e potranno essere successivamente trattati, in conformità all’art. 5, par. 1, lett. e) del Regolamento.
Natura del conferimento dei dati
Il conferimento dei Suoi dati per le suddette finalità è indispensabile per lo svolgimento della Ricerca e il mancato conferimento determina l’impossibilità di parteciparvi.
(eventuale) Destinatari dei dati
(eventuale) I Suoi dati personali potranno essere comunicati ai seguenti soggetti:
… [ad esempio, altre università, istituti, enti di ricerca, ricercatori]
per la seguente finalità:
… [ad esempio, per la realizzazione della Ricerca, altri scopi statistici e/o scientifici chiaramente determinati, ecc.]
e secondo la seguente modalità:
… [ad esempio, in forma anonima, pseudonimizzata ecc.]
Divulgazione dei risultati
I Suoi dati personali potranno essere oggetto di divulgazione storico-scientifica (ad esempio mediante pubblicazione di articoli scientifici e/o la creazione di banche dati, anche con modalità ad accesso aperto, partecipazione a convegni, ecc.) solo se pertinenti e indispensabili alla ricerca e se gli stessi non ledono la vostra dignità e riservatezza.
Diritti dell’Interessato
In qualità di Interessato ha diritto di chiedere in ogni momento al Titolare l’esercizio di diritti di cui agli artt. 15 e ss. del GDPR e, in particolare, l’accesso ai propri dati personali, la rettifica, l’integrazione, nonché se ricorrono i presupposti normativi, la cancellazione degli stessi, la limitazione del trattamento dei dati e il diritto di opporsi al loro trattamento. Per l’esercizio dei diritti e per informazioni relative alla Ricerca può rivolgersi a:
…
Resta salvo il diritto di proporre reclamo all’Autorità Garante per la protezione dei dati personali ai sensi dell’art. 77 del GDPR.