Associazioni di volontariato, associazioni di promozione sociale, cooperative sociali, fondazioni ed enti filantropici trattano ogni giorno dati che il GDPR considera delicati: condizioni di salute degli assistiti, situazioni familiari, fragilità sociali, a volte dati di minori. Eppure la domanda sul DPO terzo settore arriva quasi sempre tardi, e di solito arriva dopo: dopo una segnalazione, dopo un reclamo, dopo una richiesta di chiarimenti dell’Autorità.
DPO terzo settore: quando la nomina diventa obbligatoria
Il Regolamento individua tre ipotesi in cui la designazione del responsabile della protezione dei dati non è una scelta ma un obbligo. La prima riguarda le autorità e gli organismi pubblici. La seconda riguarda chi, come attività principale, effettua un monitoraggio regolare e sistematico degli interessati su larga scala. La terza riguarda chi, sempre come attività principale, tratta su larga scala categorie particolari di dati – tra cui quelli relativi alla salute – o dati giudiziari.
È proprio la terza ipotesi a rendere il tema del DPO terzo settore meno scontato di quanto molti enti credano. Un’associazione che gestisce servizi socio-assistenziali, una cooperativa che segue persone con disabilità, un ente che eroga prestazioni sanitarie o sociosanitarie convenzionate trattano dati sulla salute non in modo occasionale, ma come parte costitutiva della propria missione. E quando l’ente è in qualche modo attratto nell’orbita pubblica – perché svolge funzioni affidate da un ente locale, perché gestisce un servizio pubblico, perché opera in regime di accreditamento – il quadro si complica ulteriormente.
Qui sta il punto che costa caro: la valutazione su obbligatorietà o meno non è un esercizio astratto, è una decisione documentata di cui l’ente risponde. Le linee guida europee chiedono che la scelta, anche quando porta a escludere l’obbligo, sia motivata e conservata. Un ente che non ha nominato il DPO e non è in grado di spiegare perché si trova nella posizione peggiore di tutte.
Che cosa viene contestato agli enti
Le contestazioni che riguardano gli enti del terzo settore non sono esotiche. Si ripetono, e somigliano molto tra loro.
- Nomina mancante o tardiva, quando l’obbligo sussisteva.
- Nomina solo sulla carta: il DPO è designato, ma non è coinvolto nelle decisioni, non ha accesso alle informazioni, non dispone delle risorse necessarie. Il Regolamento non chiede un nome su un modulo, chiede una funzione che operi.
- Conflitto di interessi: il ruolo viene attribuito a chi, nell’ente, decide finalità e mezzi dei trattamenti, oppure al responsabile dei sistemi informativi o delle risorse umane.
- Mancata pubblicazione e comunicazione dei dati di contatto del responsabile della protezione dei dati.
- Registro dei trattamenti assente o irrealistico, che descrive un’organizzazione diversa da quella che esiste davvero.
- Informative agli assistiti generiche, copiate da altri enti, inadatte alle categorie di interessati effettivamente coinvolte.
Sul funzionamento concreto del registro lo studio ha dedicato un approfondimento a che cosa il Garante chiede quando esamina il registro dei trattamenti.
Quanto costa sbagliare
Le violazioni che riguardano gli obblighi del titolare, inclusa la designazione e la posizione del responsabile della protezione dei dati, rientrano nella fascia sanzionatoria dell’articolo 83, paragrafo 4, del GDPR: fino a dieci milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo. Le violazioni dei principi di trattamento e dei diritti degli interessati stanno nella fascia superiore, che arriva a venti milioni o al 4%.
Per un ente del terzo settore, la cui sostenibilità economica dipende da contributi, convenzioni e donazioni, le cifre astratte contano meno di due conseguenze molto concrete. La prima è reputazionale: un provvedimento dell’Autorità è pubblico, e un ente che assiste persone fragili non può permettersi di comparire in un elenco di sanzionati. La seconda è contrattuale: nei rapporti con gli enti pubblici committenti la conformità alla disciplina sulla protezione dei dati è ormai una condizione di partecipazione e di mantenimento della convenzione. Un rilievo dell’Autorità può pesare molto più della sanzione in sé. Un quadro d’insieme delle soglie è raccolto nell’articolo su quanto costa davvero una violazione del GDPR.
Il volontario non è un soggetto senza regole
C’è un equivoco ricorrente che merita di essere sciolto. Negli enti del terzo settore buona parte dell’attività è svolta da volontari, e si tende a pensare che questo cambi qualcosa rispetto alla protezione dei dati. Non la cambia. Chi accede a dati personali per conto dell’ente opera sotto l’autorità del titolare e deve essere autorizzato e istruito, a prescindere dalla natura del rapporto. Il tema è stato affrontato nell’articolo sugli autorizzati al trattamento e sui rischi di un’autorizzazione mancata.
Lo stesso vale per i rapporti con i fornitori: il gestionale degli assistiti, la piattaforma di raccolta fondi, il servizio di posta elettronica, il consulente del lavoro. Ognuno di questi rapporti ha una qualificazione giuridica precisa e produce obblighi documentali. Trattarli come forniture ordinarie è una delle carenze più frequentemente rilevate.
Una valutazione, non un modulo
Capire se un ente debba nominare il DPO, e con quale assetto, richiede di guardare che cosa l’ente fa davvero: quali servizi eroga, per conto di chi, con quali strumenti, quante persone segue, quali dati raccoglie e per quanto tempo li conserva. È un esame che non si risolve con un modulo scaricato da internet, e che produce risultati diversi per enti che sulla carta sembrano identici.
Lo studio dell’avv. Elio Errichiello assiste enti pubblici, aziende ed enti del terzo settore in tutta Italia, con sede a Napoli, e ricopre incarichi di responsabile della protezione dei dati presso amministrazioni, ordini professionali e strutture sanitarie. Per il quadro generale del servizio si può consultare la pagina sul servizio di consulenza privacy e protezione dei dati personali, mentre l’attività giudiziale e amministrativa dello studio è descritta su avvocatoelioerrichiello.it.
Se il vostro ente non ha ancora formalizzato una valutazione sull’obbligo di nomina, o se ne ha una che nessuno ha più aggiornato da anni, scriveteci: possiamo esaminare in via preliminare la documentazione esistente e i margini di intervento.
Avv. Elio Errichiello
