Il 17 settembre 2025, le autorità tedesche di vigilanza sulla protezione dei dati (DSK) hanno pubblicato nuove indicazioni per i trasferimenti di dati personali, in particolare dati sanitari e genetici, verso paesi al di fuori dello Spazio Economico Europeo a fini di ricerca scientifica. Queste linee guida sono particolarmente rilevanti per aziende farmaceutiche, di dispositivi medici e per chi conduce studi clinici internazionali.

Il documento propone un approccio in due fasi. La prima verifica che il trattamento dei dati abbia una base giuridica valida secondo gli articoli 6 e 9 del GDPR, concentrandosi soprattutto sul cosiddetto consenso ampio, utile per ricerche i cui scopi possono evolvere. Tuttavia, il consenso da solo non basta se i dati vengono trasferiti in paesi con livelli di protezione inferiori: in questi casi è necessario valutare i rischi locali tramite una Transfer Impact Assessment (TIA) e implementare misure aggiuntive come sistemi dinamici di gestione del consenso, coinvolgimento delle autorità etiche e valutazioni di impatto sulla protezione dei dati.

La seconda fase riguarda la scelta del meccanismo di trasferimento secondo il Capitolo V del GDPR. Prima di tutto si verifica se esiste una decisione di adeguatezza della Commissione europea. In assenza di questa, si possono utilizzare clausole contrattuali standard (SCC) o Binding Corporate Rules (BCR) per trasferimenti intragruppo, sempre valutando se tali garanzie siano effettivamente applicabili nel paese di destinazione. La pseudonimizzazione dei dati rappresenta una misura importante, ma per alcuni dati sanitari o biomateriali può essere complessa o impossibile, richiedendo un’analisi caso per caso. Le deroghe dell’articolo 49 GDPR, come il consenso esplicito o l’interesse pubblico, devono essere considerate solo come ultima risorsa.

Le linee guida sottolineano inoltre trasparenza e obblighi informativi: gli interessati devono conoscere il paese destinatario dei dati, la base giuridica, i rischi legati alla normativa locale e l’assenza di garanzie per i trasferimenti successivi. Anche in caso di consenso esplicito secondo l’articolo 49, è richiesta una comunicazione chiara e completa, e spesso un TIA per soddisfare i requisiti di trasparenza.

‍