Pautas sobre investigación y tratamiento de datos personales
Muchos trabajos de investigación requieren tratar datos personales, en la concepción y en la ejecución de los trabajos se tienen que garantizar los derechos de las personas en el tratamiento de los datos, tal como se indica en la normativa reguladora de este derecho fundamental
En cualquier caso siempre que sea posible y no dificulte la correcta consecución del proyecto, es preferible tratar desde el primer momento los datos anonimizados o, al menos, seudonimizados.
¿Se pueden tratar datos personales en proyectos de investigación?
Sí, siempre y cuando se cumplan los requerimientos de la normativa de protección de datos. La investigación es una actividad de interés para la sociedad, que se tiene que favorecer, pero se tiene que efectuar respetando los derechos de las personas. El artículo 5 del Reglamento general de protección de datos (RGPD) indica que las finalidades de investigación son compatibles con el tratamiento de datos de carácter personal, cuestión importante cuando se valora la utilización de datos ya existentes (no obtenidas directamente de la persona a quién corresponden). El artículo 89 del RGPD regula el tratamiento de datos personales con finalidades de investigación científica y establece una serie de garantías.
En caso de que antes del inicio de los trabajos se tengan que efectuar pruebas con datos personales, estas pruebas se tienen que hacer con datos simulados.
¿Qué datos se pueden tratar para el proyecto de investigación?
Los datos personales se pueden recoger y tratar cuando sean adecuados, pertinentes y no excesivos para la finalidad del proyecto. No se tienen que obtener datos no necesarios.
Determinadas datos requieren la adopción de medidas de seguridad especiales y únicamente tratarlos cuando sea del todo imprescindible. Son las denominadas de categoría especial: origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas o afiliación sindical, genéticas, biométricas destinadas a identificar de manera unívoca una persona física, salud, vida sexual u orientaciones sexuales.
Siempre que sea posible se han deanonimizar o al menos tratar de forma seudonimizada, en función de las exigencias del proyecto.
¿Qué son los datos pseudonimizados?
Son los datos personales tratados de manera que no se puedan atribuir a una persona determinada sin utilizar información adicional. En la realización de trabajos de investigación es muy aconsejable asignar un código de identificación a cada persona a quien correspondan los datos y guardar, separadamente, la mesa de correspondencia entre el código y los datos identificativos de la persona. Esta mesa de correspondencia tiene que ser accesible únicamente al investigador/a principal y se tiene que eliminar cuando ya no sea necesaria.
Los datos seudonimizados, hasta que no se elimine la mesa de correspondencia, son todavía datos personales.
¿Qué son los datos anonimizados?
Es información propia de personas físicas pero que no se puede vincular a ninguna persona, por ejemplo, porque se ha eliminado el documento que vinculaba el nombre con el código de cada informante. La anonimización se ha hecho correctamente cuando no se puede atribuir la información a una persona, ni deducir a quién corresponde. Los datos anonimizados ya no son datos personales, de manera que desaparecen las exigencias de confidencialidad y de aplicar medidas de seguridad. 
¿Qué medidas de seguridad se tienen que aplicar al tratamiento de los datos?
Los datos que permitan la identificación directa o indirecta y los datos registrados con códigos identificativos o seudónimos únicamente pueden figurar en los sistemas informáticos propios o contratados por la Universidad (sistemas UdG). Excepcionalmente, de forma puntual, cuando la dinámica del trabajo lo requiera, datos seudonimizados pueden estar en otros sistemas, dispositivos o soportes. En cuanto sea posible se volcarán en los sistemas UdG y se eliminarán del resto de sistemas, dispositivos o soportes. Mientras figure en estos últimos, la información tiene que estar protegida para evitar accesos no autorizados.
Se tiene que evitar la extracción de datos mientras se puedan identificar las personas. Cuando figuren en documentos en papel, se tendrán que custodiar de forma segura, no accesible a personas no autorizadas.
¿Cuánto tiempo se pueden conservar los datos?
Como criterio general, los datos personales se tienen que conservar el tiempo necesario para la correcta consecución del proyecto. En la obtención del consentimiento de los informantes se tiene que proporcionar esta información sobre el tiempo de conservación, que puede coincidir con el periodo de duración del proyecto y puede prever un periodo adicional si es necesario para posibles verificaciones o auditorías del proyecto. En cualquier caso, siempre que sea posible y no dificulte la correcta consecución del proyecto, es preferible tratar desde el primer momento los datos anonimizados o, al menos, seudonimizados.