Consenso per registrare e trascrivere interviste di ricerca

Un ricercatore a Londra intervista un partecipante a Berlino tramite Zoom. La registrazione viene inviata a un servizio di trascrizione con sede negli Stati Uniti. La trascrizione risiede sul server di un'università canadese.

Quattro giurisdizioni. Un solo modulo di consenso. Scritto per nessuna di esse.

Questa è la realtà della ricerca qualitativa moderna, ed è il motivo per cui il consenso alle registrazioni di ricerca non può essere trattato come una semplice questione di conformità locale.

I requisiti dipendono da dove si trova ciascun partecipante, da dove viaggiano i dati, da come vengono archiviati e da chi li tratta lungo il percorso. Se sbagli anche solo uno di questi aspetti, un'intervista registrata in modo legale può comunque trasformarsi in una violazione della protezione dei dati.

In questa guida tratterò il quadro completo: i tre livelli di consenso che ogni ricercatore deve soddisfare, cosa deve coprire un modulo di consenso, un'analisi giurisdizione per giurisdizione della legge sulle registrazioni e uno sguardo a ciò che cambia quando una registrazione diventa una trascrizione.

Perché i ricercatori devono rispettare uno standard di consenso diverso

La legge sul consenso alla registrazione si applica a tutti, ma le interviste di ricerca comportano un onere di conformità aggiuntivo che giornalisti, podcaster e team aziendali non devono affrontare. A creare questa differenza sono tre fattori.

1. I requisiti dei comitati etici (IRB)

I comitati etici per la ricerca (IRB) negli Stati Uniti e i comitati etici per la ricerca nel Regno Unito, nell'UE, in Canada e in Australia richiedono un consenso documentato che la sola legge sulle registrazioni non impone.

Un ricercatore in uno Stato a consenso di una parte può registrare legalmente senza dirlo a nessuno, ma il suo comitato etico (IRB) non approverà uno studio in cui i partecipanti sono stati registrati senza esserne informati.

2. Gestire le informazioni personali identificabili (PII)

Le interviste di ricerca riguardano spesso dati personali sensibili. Anamnesi sanitarie, opinioni politiche, convinzioni religiose, orientamento sessuale ed esperienze di trauma compaiono regolarmente nelle interviste qualitative.

Ai sensi dell'articolo 9 del GDPR e dei suoi equivalenti nella maggior parte dei quadri normativi nazionali, questi dati appartenenti a «categorie particolari» fanno scattare uno standard di consenso più elevato e ulteriori misure di salvaguardia, indipendentemente da ciò che consente la legge locale sulle registrazioni.

3. Cosa succede dopo la fine della registrazione

Le registrazioni non terminano con l'intervista.

Vengono caricate su servizi di trascrizione, codificate in software di analisi dei dati qualitativi, condivise con i co-ricercatori e conservate per anni.

Ogni passaggio crea un nuovo evento di trattamento dei dati che deve essere stato previsto dal consenso originario.

Se un partecipante ha acconsentito a essere registrato ma non è mai stato informato che la registrazione sarebbe stata caricata su una piattaforma di trascrizione cloud, il ricercatore potrebbe violare le condizioni del consenso, anche se la legge locale sulle registrazioni era stata rispettata.

Una revisione della Common Rule (45 CFR 46) ha rafforzato questo aspetto ampliando i requisiti sul modo in cui i moduli di consenso descrivono la gestione e l'archiviazione dei dati, inclusi i requisiti relativi all'archiviazione, alla conservazione e all'uso secondario delle informazioni private identificabili.

L'articolo 89 del GDPR impone ai ricercatori di applicare misure di salvaguardia (come la minimizzazione dei dati e la pseudonimizzazione) ove possibile.

Una volta che queste misure di salvaguardia sono attive, la normativa dello Stato membro o dell'UE può usarle come base per limitare alcuni diritti dell'interessato, come il diritto di accedere, rettificare od opporsi al trattamento dei propri dati, specificamente per finalità di ricerca.

Ma ciò non allenta i requisiti relativi al consenso o alla base giuridica per il trattamento in primo luogo.

I tre livelli di consenso che ogni ricercatore deve soddisfare

Prima di entrare nel merito delle giurisdizioni, cerchiamo di capire la struttura degli obblighi di consenso per le registrazioni di ricerca. Esistono tre livelli distinti, ciascuno regolato da un organismo diverso.

Soddisfare un livello non significa soddisfare gli altri. Un ricercatore in uno Stato USA a consenso di una parte che registra senza informare il partecipante ha rispettato la legge locale sulle registrazioni, ma ha probabilmente violato l'approvazione del proprio comitato etico (IRB) e potrebbe aver violato il GDPR se il partecipante risiede nell'UE.

Il modulo di consenso che supera l'esame del comitato etico (IRB) deve soddisfare anche i requisiti di informativa del quadro sulla protezione dei dati applicabile ai partecipanti.

In pratica, i ricercatori che costruiscono il proprio processo di consenso attorno al quadro applicabile più esigente, come il GDPR o i requisiti del proprio comitato etico istituzionale, soddisferanno di solito automaticamente gli altri livelli.

Cosa deve coprire un modulo di consenso per le registrazioni di ricerca

Un modulo di consenso valido o uno script di consenso verbale per le registrazioni di ricerca deve affrontare otto aspetti. I dettagli variano in base alla giurisdizione e al disegno dello studio, ma nessuno di questi elementi dovrebbe mancare.

1. Finalità dello studio e della registrazione

I partecipanti devono sapere perché si svolge lo studio e perché la conversazione viene registrata, non solo che è a fini di ricerca. Un'affermazione concreta, come «questo verrà utilizzato per produrre una trascrizione accurata da analizzare», offre loro qualcosa di reale su cui basare il proprio consenso.

2. Chi avrà accesso alla registrazione

Indica le persone o i ruoli specifici che ascolteranno l'audio, ad esempio il ricercatore principale, i co-ricercatori o un assistente di ricerca. Se vi avrà accesso anche qualcuno esterno al gruppo di ricerca principale, dichiaralo.

3. Processo di trascrizione

Se la registrazione verrà trascritta, devi informare il partecipante. Se la trascrizione sarà gestita da un servizio di terze parti o da uno strumento di IA basato su cloud, ciò va comunicato.

I ricercatori possono adottare una formulazione chiara come questa:

«La registrazione verrà trascritta utilizzando [strumento/servizio], che opera secondo gli standard di conformità [GDPR/SOC 2 Type II/quadro pertinente]. La trascrizione sarà accessibile solo a [persone indicate].»

4. Luogo di archiviazione, Paese e periodo di conservazione

Il luogo in cui risiedono i dati ha rilevanza legale, in particolare per i residenti nell'UE. Specifica il Paese, la piattaforma e per quanto tempo verranno conservati i dati. Non deve essere un documento tecnico, ma deve essere onesto e specifico.

5. Metodo di anonimizzazione

I nomi verranno sostituiti con codici o pseudonimi nella trascrizione? La registrazione verrà eliminata una volta verificata la trascrizione? I partecipanti dovrebbero sapere quali misure verranno adottate per proteggere la loro identificabilità.

6. Diritto di revoca

I partecipanti devono essere informati di poter revocare il consenso in qualsiasi momento, anche dopo l'intervista, e di cosa ciò significhi in pratica: se possono richiedere l'eliminazione della registrazione, della trascrizione o di entrambe.

7. Pubblicazione e citazione

Se citazioni testuali tratte dalla trascrizione potrebbero comparire in pubblicazioni, report o presentazioni, ciò va dichiarato nel modulo di consenso, insieme all'indicazione se tali citazioni saranno attribuite o anonimizzate.

8. Contatto per le domande

Aggiungi una persona indicata per nome o un contatto istituzionale tramite cui i partecipanti possano esercitare i propri diritti di interessati (accesso, rettifica, cancellazione) o sollevare dubbi.

Le leggi sul consenso alla registrazione per regione: cosa devono sapere i ricercatori

L'UE e il GDPR

Il GDPR è il quadro normativo dominante per la protezione dei dati per i ricercatori che lavorano con partecipanti dell'UE o del SEE, indipendentemente da dove ha sede il ricercatore. Se il partecipante si trova in Germania, Francia o in qualsiasi altro Paese del SEE, il GDPR regola il modo in cui vengono trattati i suoi dati anche se il ricercatore si trova negli Stati Uniti o in Australia.

La base giuridica che la maggior parte dei ricercatori utilizza è il consenso ai sensi dell'articolo 6(1)(a), integrato dal consenso esplicito ai sensi dell'articolo 9(2)(a) per i dati appartenenti a categorie particolari.

Alcune istituzioni si basano sul legittimo interesse o sull'esenzione per la ricerca prevista dall'articolo 89, ma entrambi richiedono documentazione e una giustificazione continua. L'approccio più sicuro è ottenere un consenso chiaro e informato e documentarlo.

Dall'entrata in vigore del GDPR nel 2018, le autorità di controllo hanno comminato oltre 7,1 miliardi di euro di sanzioni cumulative, di cui circa 1,2 miliardi di euro solo nel 2025, un dato in linea di massima pari al totale del 2024, secondo la DLA Piper GDPR Fines and Data Breach Survey (gennaio 2026).

L'attività di enforcement resta intensa in tutta Europa, con le autorità di controllo che continuano a comminare sanzioni consistenti anno dopo anno.

Gli Stati Uniti

Per quanto riguarda il consenso alla registrazione negli Stati Uniti, la legge federale stabilisce come base il consenso di una parte ai sensi dell'Electronic Communications Privacy Act. Ciò significa che un ricercatore può legalmente registrare una conversazione a cui partecipa senza avvisare il partecipante.

Tuttavia, l'approvazione dell'IRB per la maggior parte della ricerca finanziata a livello federale richiede un consenso informato che copra la registrazione, e 12 Stati impongono requisiti di consenso di tutte le parti.

L'Oregon applica separatamente le regole del consenso di tutte le parti solo alle conversazioni di persona, mentre tratta le registrazioni elettroniche secondo lo standard del consenso di una parte.

Interviste transfrontaliere e online

Quando il ricercatore e il partecipante si trovano in Paesi o Stati diversi, la pratica più sicura è seguire la regola più rigorosa, anche se nessuna singola legge risolve sempre la questione.

Ad esempio, un ricercatore con sede a New York che intervista un partecipante in California dovrebbe rispettare il requisito di consenso di tutte le parti della California.

La stessa logica si applica a livello internazionale: un ricercatore in qualsiasi parte del mondo che intervista un residente nell'UE deve rispettare il GDPR, perché le tutele del GDPR seguono il luogo in cui si trova il partecipante, non quello del ricercatore.

Interviste di ricerca online e da remoto: ulteriori considerazioni

Il passaggio alla ricerca qualitativa da remoto negli ultimi anni ha creato complessità sul fronte del consenso che la ricerca in presenza non doveva affrontare. Tre meritano un'attenzione specifica.

Registrazione a livello di piattaforma vs. controllata dal ricercatore

Quando un ricercatore utilizza il registratore integrato di una piattaforma (come la registrazione locale di Zoom o la registrazione in riunione di Teams), i partecipanti di solito vedono una notifica visiva sullo schermo.

Quando un ricercatore registra utilizzando uno strumento separato o un registratore senza bot, non compare alcuna notifica del genere.

Il consenso deve coprire esplicitamente il metodo di registrazione utilizzato, non solo il fatto che la registrazione avverrà.

AI Notetaker basati su bot

Se un bot si unisce alla riunione come partecipante per gestire la registrazione e la trascrizione, ciò va comunicato nel modulo di consenso e spiegato nella domanda al comitato etico.

Alcuni partecipanti hanno obiezioni nei confronti dei bot visibili, in particolare nei contesti di ricerca sensibili.

Le opzioni di registrazione senza bot consentono ai ricercatori di acquisire l'audio senza aggiungere un partecipante visibile alla chiamata.

Ma l'uso di qualsiasi strumento di registrazione va comunque comunicato ai partecipanti prima che l'intervista abbia inizio.

Interviste online transfrontaliere

Un ricercatore del Regno Unito che conduce interviste su Zoom con partecipanti in tutta l'UE, in Nord America e in Australia all'interno di un unico studio sta gestendo contemporaneamente fino a quattro o cinque quadri di consenso diversi.

L'approccio pratico consiste nell'individuare la regola applicabile più rigorosa per ciascuna giurisdizione e costruire un modulo di consenso che le soddisfi tutte.

Per la maggior parte dei team di ricerca internazionali, ciò significa progettare secondo gli standard del GDPR come riferimento di base.

Inviare le registrazioni a un servizio di trascrizione: quali sono i tuoi obblighi di conformità?

Caricare una registrazione su un servizio di trascrizione cloud è un evento di trattamento dei dati distinto, e deve essere stato previsto dal consenso originario.

Ai sensi dell'articolo 4(8) del GDPR, qualsiasi organizzazione che tratta dati personali per conto di un titolare del trattamento è un responsabile del trattamento. Un servizio di trascrizione che riceve, archivia e tratta una registrazione di ricerca agisce in qualità di responsabile del trattamento.

Da ciò derivano due obblighi di conformità:

1. Il ricercatore (in quanto titolare del trattamento) ha bisogno di un accordo sul trattamento dei dati (DPA) con il servizio di trascrizione. Gli IRB e i comitati etici delle istituzioni affiliate all'UE richiedono la prova di questo accordo nelle domande al comitato etico per la ricerca. I ricercatori dovrebbero verificare se il proprio servizio di trascrizione può fornire un DPA prima di presentare una domanda al comitato etico che lo indichi.

2. Il modulo di consenso del partecipante deve coprire esplicitamente la trascrizione da parte di terzi. Se il modulo dice soltanto «la registrazione sarà ascoltata dal gruppo di ricerca», l'utilizzo di un servizio cloud senza ulteriore informativa può violare le condizioni del consenso, indipendentemente dal fatto che le leggi locali sulle registrazioni siano state rispettate.

Anche le trascrizioni generate dall'IA sono dati personali se contengono informazioni identificabili, cosa che la maggior parte delle trascrizioni di interviste di ricerca fa.

Gli stessi obblighi di protezione che si applicano alla registrazione si applicano alla trascrizione, inclusi il luogo di archiviazione, i controlli degli accessi e i limiti di conservazione.

E per quanto riguarda il luogo di archiviazione?

Il luogo di archiviazione è una questione distinta ai sensi del GDPR. I trasferimenti dei dati dei partecipanti dell'UE al di fuori del SEE richiedono un meccanismo di trasferimento valido, come una decisione di adeguatezza della Commissione europea o clausole contrattuali tipo.

I ricercatori dovrebbero verificare su quale meccanismo di trasferimento si basa il proprio servizio di trascrizione prima di utilizzarlo per interviste con partecipanti dell'UE.

Casi particolari che modificano i tuoi obblighi di consenso

I seguenti contesti di ricerca richiedono qualcosa in più del consenso standard.

Popolazioni vulnerabili

La ricerca che coinvolge minori, detenuti o persone con disabilità cognitive richiede ulteriori livelli di consenso.

Il criterio applicabile alle interviste di ricerca in presenza è se il partecipante abbia capacità sufficiente per comprendere e prestare liberamente il consenso, un giudizio che gli IRB e i comitati etici valutano nei propri criteri di approvazione.

Quando la capacità è dubbia, o il partecipante è chiaramente minorenne, è richiesto il consenso del tutore o del parente più prossimo.

L'articolo 8 del GDPR stabilisce le soglie d'età per il consenso autonomo, ma solo per i servizi della società dell'informazione (piattaforme e app online), non per le interviste di ricerca. Come riferimento, la Germania fissa la soglia a 16 anni; il Regno Unito, la Danimarca e diversi altri Paesi l'hanno fissata a 13.

Dati appartenenti a categorie particolari

Se l'intervista riguarda salute, etnia, religione, orientamento sessuale, opinioni politiche o dati biometrici, l'articolo 9 del GDPR richiede il consenso esplicito, che è uno standard più elevato del consenso standard ai sensi dell'articolo 6.

I precedenti penali e le condanne rientrano nel regime distinto dell'articolo 10, che richiede anch'esso ulteriori misure di salvaguardia.

Consenso esplicito significa che il partecipante è stato specificamente informato della natura sensibile dei dati e ha prestato un chiaro consenso affermativo al loro trattamento. Un modulo di consenso generico che copre lo studio in modo ampio non è sufficiente.

Focus group e interviste con più partecipanti

Ogni partecipante richiede un consenso individuale. La riservatezza all'interno del gruppo non può essere garantita dal ricercatore, perché altri partecipanti potrebbero rivelare ciò che è stato discusso.

I moduli di consenso per i focus group dovrebbero riconoscerlo esplicitamente e invitare i partecipanti a riflettere di conseguenza su ciò che condividono.

Ricerca longitudinale e a più fasi

I partecipanti che prestano il consenso all'inizio di uno studio devono prestarlo di nuovo se cambia l'ambito di utilizzo dei dati, se nuovi ricercatori si uniscono al gruppo con accesso alle registrazioni, o se il periodo di conservazione inizialmente dichiarato deve essere prorogato.

Colma le lacune sul consenso prima di iniziare la raccolta dei dati

I requisiti di consenso per le registrazioni di ricerca variano in base alla giurisdizione, ma la struttura è coerente ovunque: la legge locale sulle registrazioni stabilisce la soglia minima, la normativa sulla protezione dei dati regola ciò che accade al file in seguito, e il tuo IRB o comitato etico lega entrambi attraverso il modulo di consenso.

I dettagli che creano problemi di conformità tendono a essere operativi, non giurisdizionali: un servizio di trascrizione che non può fornire un DPA, un modulo di consenso che copre la registrazione ma non l'archiviazione, o un periodo di conservazione mai dichiarato.

Sono facili da colmare in fase di pianificazione, ma onerosi da affrontare una volta avviata la raccolta dei dati.

Mappa l'intero ciclo di vita della tua registrazione prima di redigere il modulo di consenso. Tutto il resto deriva da questo.