Pautes sobre recerca i tractament de dades personals
Molts treballs de recerca requereixen tractar dades personals, en la concepció i en l’execució dels treballs s’han de garantir els drets de les persones al tractament de les dades, tal i com s’indica en la normativa reguladora d’aquest dret fonamental
En qualsevol cas sempre que sigui possible i no dificulti la correcta consecució del projecte, és preferible tractar des del primer moment les dades anonimitzades o, almenys, pseudonimitzades.
Es poden tractar dades personals en projectes de recerca?
Sí, sempre i quan es compleixin els requeriments de la normativa de protecció de dades. La recerca és una activitat d’interès per a la societat, que s’ha d’afavorir, però s’ha d’efectuar respectant els drets de les persones. L'article 5 del Reglament general de protecció de dades (RGPD) indica que les finalitats de recerca són compatibles amb el tractament de dades de caràcter personal, qüestió important quan es valora la utilització de dades ja existents (no obtingudes directament de la persona a qui corresponen). L'article 89 de l’RGPD regula el tractament de dades personals amb finalitats d'investigació científica i estableix un seguit de garanties.
En el cas que abans de l’inici dels treballs s’hagin d’efectuar proves amb dades personals, aquestes proves s’han de fer amb dades simulades.
Quines dades es poden tractar per al projecte de recerca?
Les dades personals es poden recollir i tractar quan siguin adequades, pertinents i no excessives per a la finalitat del projecte. No s’han d’obtenir dades no necessàries.
Determinades dades requereixen l’adopció de mesures de seguretat especials i únicament tractar-les quan sigui del tot imprescindible. Són les denominades de categoria especial: origen ètnic o racial, opinions polítiques, conviccions religioses o filosòfiques o afiliació sindical, genètiques, biomètriques destinades a identificar de manera unívoca una persona física, salut, vida sexual o orientacions sexuals.
Sempre que sigui possible s’han d’anonimitzar o, almenys, tractar de forma pseudonimitzada, en funció de les exigències del projecte.
Què són les dades pseudonimitzades?
Són les dades personals tractades de manera que no es puguin atribuir a una persona determinada sense utilitzar informació addicional. En la realització de treballs de recerca és molt aconsellable assignar un codi d'identificació a cada persona a qui corresponguin les dades i guardar, separadament, la taula de correspondència entre el codi i les dades identificatives de la persona. Aquesta taula de correspondència ha de ser accessible únicament a l’investigador/a principal i s’ha d’eliminar quan ja no sigui necessària.
Les dades pseudonimitzades, fins que no s’elimini la taula de correspondència, són encara dades personals.
Què són les dades anonimitzades?
És informació pròpia de persones físiques però que no es pot vincular a cap persona, per exemple perquè s'ha eliminat el document que vinculava el nom amb el codi de cada informant. L’anonimització s’ha fet correctament quan no es pot atribuir la informació a una persona, ni deduir a qui correspon. Les dades anonimitzades ja no són dades personals, de manera que desapareixen les exigències de confidencialitat i d’aplicar mesures de seguretat. 
Quines mesures de seguretat s’han d’aplicar al tractament de les dades?
Les dades que permetin la identificació directa o indirecta i les dades registrades amb codis identificatius o pseudònims únicament poden figurar en els sistemes informàtics propis o contractats per la Universitat (sistemes UdG). Excepcionalment, de forma puntual, quan la dinàmica del treball ho requereixi, dades pseudonimitzades poden estar en altres sistemes, dispositius o suports.De seguida que sigui possible es bolcaran als sistemes UdG i s’eliminaran de la resta de sistemes, dispositius o suports. Mentre figuri en aquests darrers, la informació ha d’estar protegida per evitar accessos no autoritzats.
S’ha d’evitar l’extracció de dades mentre es puguin identificar les persones. Quan figurin en documents en suport paper, s’hauran de custodiar de forma segura, no accessible a persones no autoritzades.
Quant de temps es poden conservar les dades?
Com a criteri general les dades personals s’han de conservar el temps necessari per a la correcta consecució del projecte. En l’obtenció del consentiment dels informants s’ha de proporcionar aquesta informació sobre el temps de conservació, que pot coincidir amb el període de durada del projecte i pot preveure un període addicional si és necessari per a possibles verificacions o auditories del projecte. En qualsevol cas sempre que sigui possible i no dificulti la correcta consecució del projecte, és preferible tractar des del primer moment les dades anonimitzades o, almenys, pseudonimitzades.