1. Dados recolhidos diretamente junto dos participantes
Por exemplo, dados fornecidos pelos próprios participantes, através de entrevistas ou questionários realizados após a prestação do consentimento informado.
2. Dados secundários, isto é, obtidos em projetos anteriores, em bases de dados institucionais ou de outras instituições, e posteriormente reutilizados para finalidades distintas daquelas que motivaram a sua recolha inicial.
Estes dados são geralmente designados, em investigação científica, como dados secundários. Qualquer reutilização de dados para uma finalidade diferente da original – mesmo no âmbito de um mesmo projeto – ou a sua utilização noutro projeto, constitui uma nova finalidade de tratamento. Isto é verdade mesmo que os objetivos científicos dos dois projetos aparentem ser idênticos e inclui cenários como o envolvimento de uma nova equipa, critérios de inclusão/exclusão diferentes, novas questões de investigação, ou a combinação com outras fontes de dados. Por este motivo, tais dados devem ser sempre classificados como dados secundários.
Existem duas situações distintas:
2.1 Dados secundários cedidos por outra instituição:
Quando a base legal do tratamento no projeto inicial não tiver sido o consentimento dos participantes, deve celebrar um protocolo de transferência entre a instituição de origem e a que irá proceder ao novo tratamento, assegurando a legitimidade da transferência e da nova finalidade. Esse protocolo pode limitar-se à transferência ou, quando aplicável, regular também a responsabilidade conjunta pelo tratamento, nos termos do artigo 26.º do RGPD. No caso de transferências entre entidades públicas, o protocolo é obrigatório.
Quando a base legal do tratamento no projeto inicial tiver sido o consentimento dos participantes, e o formulário de consentimento contemplar também o consentimento específico para a utilização dos dados noutro projeto, incluindo a transferência para outra instituição, a celebração de protocolo pode não ser juridicamente exigida. Ainda assim, é recomendável a sua adoção, a fim de clarificar responsabilidades e salvaguardas. Nos casos que envolvam dados sensíveis ou outros fatores críticos de risco, a celebração do protocolo poderá ser não apenas recomendável, mas obrigatória.
Finalmente, se o formulário de consentimento inicial não tiver previsto a utilização dos dados noutro projeto, deverá ser obtido novo consentimento dos participantes, específico para a nova finalidade, sendo obrigatório a celebração de um protocolo entre as instituições envolvidas.
Em qualquer dos casos, deve ser consultado o serviço competente nos domínios jurídico e de investigação da instituição para apoiar a análise da situação específica, a elaboração e a celebração do protocolo.
2.2 Dados secundários com origem na mesma instituição:
Quando os dados são reutilizados por outro projeto dentro da mesma instituição, é necessário garantir a legitimidade dessa reutilização. A forma mais comum de a assegurar é ter previsto, no formulário do consentimento do projeto inicial, a possibilidade de os participantes consentirem em que os seus dados sejam utilizados também no outro projeto, indicando as condições aplicáveis. Na ausência desse consentimento específico, deve ser avaliada a possibilidade de obter novo consentimento dos participantes. Caso tal não seja exequível, recomenda-se consultar o serviço competente em matéria jurídica e de investigação da instituição, a fim de avaliar a possibilidade de invocar uma base legal alternativa. Sem base legal válida ou novo consentimento, a reutilização dos dados não é permitida.
3. Informações pessoais obtidas a partir de fontes públicas
Alguns estudos poderão recorrer a dados pessoais disponíveis em fontes acessíveis ao público — como websites institucionais, portais web, bases de dados, registos públicos ou plataformas online públicas. O facto de uma informação pessoal estar disponível publicamente (por exemplo, o nome de um docente numa página universitária ou um comentário numa rede social) não lhe retira o estatuto de dado pessoal, e o RGPD continua a ser aplicável. A reutilização de dados publicamente acessíveis configura também uma forma de utilização secundária de dados. É permitida para fins de investigação científica, desde que sejam cumpridas as obrigações legais aplicáveis.