Una palestra raccoglie certificati medici. Un centro estetico annota allergie, terapie in corso, interventi. Entrambi fotografano i clienti prima e dopo, mandano promozioni via WhatsApp, installano telecamere in reception e, sempre più spesso, impianti di accesso che leggono un’impronta o un volto. È questo l’insieme di operazioni che rende la privacy palestre Napoli un tema concreto e non teorico: in pochi metri quadrati si concentrano quasi tutte le categorie di trattamento che il Garante guarda con maggiore attenzione.
Privacy palestre Napoli: perché il rischio è più alto di quanto sembri
Il punto di partenza è una norma che molti gestori non hanno mai letto. L’articolo 9 del GDPR vieta in via generale il trattamento dei dati relativi alla salute, salvo che ricorra una delle condizioni tassative previste dallo stesso articolo. Il certificato di idoneità all’attività sportiva è un dato sulla salute. L’anamnesi raccolta prima di un trattamento estetico è un dato sulla salute. La scheda con le patologie segnalate dal cliente è un dato sulla salute.
Questo non significa che quei dati non possano essere trattati: significa che il trattamento deve poggiare su una condizione precisa, essere limitato a ciò che serve, durare il tempo necessario e svolgersi con misure adeguate. Una cartellina sul bancone della reception, un gestionale accessibile a tutto lo staff, una chat di gruppo in cui si commentano le condizioni di un cliente sono tutte situazioni che, portate davanti all’Autorità, difficilmente trovano una giustificazione.
A Napoli e in provincia il settore è caratterizzato da strutture medio-piccole, spesso a conduzione familiare, cresciute rapidamente e dotate di strumenti informatici acquistati come pacchetti chiavi in mano. È proprio questo profilo – organizzazione snella, tecnologia esterna, nessuna figura dedicata – a produrre le carenze più frequenti.
Le contestazioni che si ripetono
- Informativa assente o inadeguata. Il modulo di iscrizione contiene una riga che rinvia genericamente alla «normativa sulla privacy». Non è un’informativa.
- Consensi raccolti in blocco. Un’unica casella che copre iscrizione, marketing, foto sui social e comunicazione a terzi. Un consenso cumulativo è, per il Garante, un consenso non valido.
- Messaggi promozionali inviati a tutta la rubrica dei clienti, compresi quelli che hanno cessato l’abbonamento anni prima.
- Immagini pubblicate sui social senza una base giuridica riferibile a quella specifica pubblicazione, a volte riferite a percorsi di dimagrimento o a trattamenti estetici.
- Videosorveglianza con telecamere orientate su aree non consentite, cartellonistica assente e registrazioni conservate per mesi.
- Conservazione illimitata di certificati e schede: nulla viene mai cancellato, perché nessuno ha mai stabilito per quanto tempo vada tenuto.
Sul profilo della durata lo studio ha pubblicato un approfondimento sui tempi di conservazione dei dati personali e le contestazioni più frequenti, e sulla sorveglianza un articolo dedicato alla videosorveglianza nei luoghi di lavoro.
Impronte e riconoscimento facciale per l’ingresso: il terreno più scivoloso
Negli ultimi anni molti impianti sportivi hanno sostituito il badge con il lettore di impronte o con il riconoscimento del volto, presentandolo come una comodità e un antidoto agli abusi sugli abbonamenti. È la scelta che espone di più.
I dati biometrici rientrano fra le categorie particolari dell’articolo 9 e il Garante si è espresso con nettezza sul loro utilizzo per il controllo degli accessi, in particolare quando riguarda i lavoratori: la comodità non costituisce una condizione di liceità, e il consenso prestato in un contesto di squilibrio difficilmente è libero. Lo studio ha trattato specificamente il tema nell’articolo sui dati biometrici dei dipendenti e la rilevazione delle presenze.
Per il gestore di una palestra il problema pratico è duplice: l’impianto è stato acquistato, spesso è già in funzione, e il fornitore lo ha presentato come conforme. La conformità, però, non è una qualità dell’apparecchio: dipende da chi lo usa, per quali finalità e in quale contesto. È il titolare a risponderne.
Il personale e i fornitori
Ci sono poi due fronti che restano quasi sempre scoperti. Il primo è quello del personale: istruttori, estetiste, addetti alla reception, collaboratori a partita IVA accedono ogni giorno a dati di clienti, eppure raramente risultano autorizzati e istruiti in forma documentata. Il secondo riguarda i fornitori: la software house del gestionale, la piattaforma che invia le newsletter, il servizio cloud che conserva le immagini della videosorveglianza, il consulente che gestisce le buste paga. Ciascuno di questi rapporti va qualificato, e la qualificazione produce obblighi contrattuali precisi.
Quando l’Autorità chiede conto di un trattamento, la prima domanda riguarda quasi sempre chi vi ha avuto accesso e a quale titolo. È una domanda a cui non si può rispondere a posteriori.
Quanto si rischia
Le violazioni dei principi di trattamento, delle condizioni di liceità e dei diritti degli interessati rientrano nella fascia più severa dell’articolo 83, paragrafo 5, del GDPR: fino a venti milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo. Le cifre massime non si applicano a una palestra di quartiere, ma la sanzione viene commisurata a gravità, durata, numero di interessati e grado di cooperazione, e per una struttura di piccole dimensioni anche un importo di poche migliaia di euro può essere rilevante.
Il danno non si esaurisce lì. Un reclamo al Garante presentato da un ex cliente o da un dipendente apre un’istruttoria che richiede di produrre, in tempi stretti, documentazione che spesso non esiste. Ed è in quel momento che il problema si rivela per quello che è: non una sanzione, ma l’impossibilità di dimostrare qualcosa.
Prima del controllo, non dopo
Lo studio dell’avv. Elio Errichiello assiste aziende, studi professionali e strutture sanitarie in materia di protezione dei dati, con sede a Napoli e attività in tutta Italia. Il quadro delle contestazioni più ricorrenti è raccolto nell’articolo su contestazioni e sanzioni privacy e nella pagina sul servizio di consulenza privacy e protezione dei dati personali. L’attività giudiziale dello studio è descritta su avvocatoelioerrichiello.it.
Se gestite una palestra, un centro sportivo o un centro estetico e non avete mai fatto verificare modulistica, gestionale e impianti, contattate lo studio: si parte da un esame preliminare dei documenti che già utilizzate e dei trattamenti realmente in corso.
Avv. Elio Errichiello
