Categoria: Adempimenti GDPR

Un amministratore con una ventina di stabili in gestione tratta ogni giorno i dati di centinaia di persone: anagrafiche, quote millesimali, situazioni di morosità, recapiti, immagini riprese dalle telecamere delle parti comuni, talvolta informazioni sullo stato di salute emerse in occasione di lavori di abbattimento delle barriere architettoniche. Il tema della privacy per l’amministratore di condominio a Napoli non è quindi un adempimento marginale: è parte dell’attività professionale, e il Garante lo tratta come tale.

Chi è il titolare del trattamento

La questione preliminare, che condiziona tutto il resto, è l’individuazione dei ruoli. Nell’attività di gestione il condominio è il soggetto nel cui interesse i dati vengono trattati, mentre l’amministratore opera in qualità di responsabile del trattamento sulla base dell’incarico ricevuto. L’equilibrio però si rompe quando l’amministratore decide da solo finalità e mezzi di un trattamento: in quel caso risponde in proprio.

È quanto accaduto in un provvedimento con cui il Garante ha sanzionato un amministratore che aveva installato un impianto di videosorveglianza a due telecamere senza una delibera assembleare. L’Autorità ha osservato che la delibera costituisce la base giuridica di quel trattamento: in sua assenza il trattamento non poteva essere imputato al condominio, e l’amministratore è stato considerato titolare. A questo si aggiungevano altri rilievi — le riprese che interessavano in parte la strada pubblica, la cartellonistica priva dell’indicazione del titolare, le immagini visibili dal telefono dell’amministratore — e la sanzione è stata di mille euro.

Le contestazioni ricorrenti

Accanto alla videosorveglianza, che resta il capitolo più frequente e di cui si è parlato nell’articolo sulla videosorveglianza condominiale a Napoli, i reclami nascono con regolarità da altre tre situazioni.

La prima è l’esposizione dei dati relativi alle morosità: affissioni in bacheca, elenchi dettagliati inviati a tutti i condòmini, segnalazioni comunicate a soggetti estranei. Il recupero del credito condominiale ha i suoi strumenti, e la diffusione del nominativo del debitore nelle parti comuni non è fra questi.

La seconda riguarda i canali di comunicazione: gruppi di messaggistica creati inserendo tutti i condòmini, con la conseguenza che ciascuno vede i recapiti telefonici degli altri; invii di comunicazioni con gli indirizzi di posta elettronica in chiaro; documentazione contabile inoltrata a destinatari non legittimati.

La terza è l’uso dei dati raccolti per finalità diverse da quelle della gestione — a partire dalle comunicazioni promozionali di fornitori o di servizi — senza una base giuridica che lo consenta.

Il rapporto con i fornitori dello stabile

Imprese di pulizia, società di manutenzione degli impianti, installatori di sistemi di sicurezza, studi tecnici: molti di questi soggetti accedono a dati personali. Il loro ruolo va qualificato e l’eventuale rapporto di responsabile del trattamento formalizzato, perché quando qualcosa va storto la posizione di chi ha scelto il fornitore viene valutata guardando a ciò che era stato verificato e scritto prima.

Quanto si rischia

Le sanzioni amministrative pecuniarie del GDPR si applicano anche a questo ambito, nelle fasce dell’articolo 83, e accanto a esse l’Autorità dispone di poteri correttivi: ingiunzioni, limitazioni e divieti di trattamento, che nella pratica incidono sull’attività più delle somme. Per un professionista che gestisce più stabili, inoltre, un provvedimento su un condominio solleva inevitabilmente la stessa domanda su tutti gli altri.

Una messa in ordine che vale per tutti gli stabili

Il lavoro utile non si fa condominio per condominio quando arriva il reclamo, ma una volta sola sullo studio: qualificazione dei ruoli, informative ai condòmini, modulistica per l’assemblea, gestione della videosorveglianza, rapporti con i fornitori, tempi di conservazione della documentazione. Lo studio assiste amministratori e condomìni in tutta Italia, con sede a Napoli, attraverso il servizio di consulenza privacy; il quadro degli adempimenti è richiamato anche nella pagina su privacy e condomini, mentre per le controversie davanti al giudice è disponibile il sito dello studio legale.

Per far esaminare la documentazione in uso prima che lo faccia l’Autorità, i riferimenti sono nella pagina dei contatti.

Avv. Elio Errichiello

Il registro quasi tutte le organizzazioni ce l’hanno: è stato redatto al momento del primo adeguamento e da allora è rimasto dov’era. Aggiornare il registro dei trattamenti è però la parte del lavoro che conta davvero, perché quel documento è la fotografia di ciò che l’ente dichiara di fare con i dati personali ed è la prima cosa che il Garante chiede quando apre un’istruttoria. È il metro con cui ogni altra cosa — informative, tempi di conservazione, fornitori, misure di sicurezza — viene poi verificata.

Chi è obbligato a tenere il registro dei trattamenti

L’articolo 30 del GDPR impone il registro sia al titolare sia al responsabile del trattamento. La norma prevede una deroga per le imprese e le organizzazioni con meno di 250 dipendenti, ma le eccezioni alla deroga sono talmente ampie da renderla, nella pratica quotidiana, quasi teorica: l’obbligo resta infatti quando il trattamento può presentare un rischio per i diritti e le libertà degli interessati, quando non è occasionale, oppure quando riguarda categorie particolari di dati o dati relativi a condanne penali e reati.

Basta leggere quelle tre condizioni accanto all’attività reale di uno studio professionale, di una struttura sanitaria privata, di un’azienda con dipendenti o di un ente pubblico per capire che il registro serve. Trattare i dati del personale non è occasionale; trattare dati sanitari significa trattare categorie particolari.

Che cosa deve contenere

Il contenuto minimo è scritto nella norma: i dati del titolare (e, dove previsti, del contitolare, del rappresentante e del responsabile della protezione dei dati), le finalità del trattamento, la descrizione delle categorie di interessati e delle categorie di dati, le categorie di destinatari a cui i dati sono comunicati, gli eventuali trasferimenti verso paesi terzi con le relative garanzie, i termini previsti per la cancellazione e una descrizione generale delle misure di sicurezza tecniche e organizzative. Il registro va tenuto in forma scritta, anche elettronica, ed è messo a disposizione dell’autorità di controllo su richiesta.

Detta così sembra un elenco da compilare una volta. È proprio questo l’errore più diffuso.

Dove nascono le contestazioni

Il registro diventa un problema quando non corrisponde alla realtà. Le discrepanze che emergono più spesso in verifica sono sempre le stesse: trattamenti attivi che nel registro non compaiono (un nuovo gestionale, una piattaforma di videosorveglianza, un canale di segnalazione); fornitori che trattano dati per conto dell’ente senza essere censiti tra i destinatari né formalizzati con istruzioni scritte; tempi di conservazione indicati in modo generico o in contrasto con quanto scritto nelle informative; servizi in cloud che comportano un trasferimento extra UE mai dichiarato.

Quando una di queste incongruenze emerge, il registro smette di essere un presidio e diventa un elemento a carico: dimostra che l’organizzazione non ha una conoscenza aggiornata dei propri trattamenti, cioè esattamente il contrario di quanto il principio di responsabilizzazione richiede.

Quanto può costare

Le violazioni dell’articolo 30 rientrano nella fascia sanzionatoria dell’articolo 83, paragrafo 4, del GDPR: fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Nella pratica, però, la contestazione sul registro raramente viaggia da sola: accompagna quasi sempre rilievi su informative, basi giuridiche, misure di sicurezza o rapporti con i fornitori, e concorre a definire la gravità complessiva della condotta.

Aggiornare il registro dei trattamenti conviene anche in difesa

C’è un rovescio della medaglia che conviene evidenziare. Un registro tenuto bene è anche lo strumento difensivo più efficace di cui un’organizzazione dispone: permette di rispondere rapidamente a una richiesta dell’Autorità, di ricostruire la catena dei fornitori dopo una violazione, di stabilire se un trattamento richieda una valutazione d’impatto, di evadere in modo documentato le richieste degli interessati.

Chi lo tratta come un adempimento da archiviare lo scopre solo quando è tardi. Lo studio assiste aziende, studi professionali ed enti pubblici in tutta Italia, con sede a Napoli, attraverso il servizio di consulenza privacy; per le questioni che sfociano in contenzioso amministrativo è disponibile anche il sito dello studio legale.

Una verifica prima che la chieda l’Autorità

Se il vostro registro risale al primo adeguamento e da allora sono cambiati fornitori, software o servizi, la distanza fra documento e realtà è probabilmente già significativa. Lo studio esamina in via preliminare il registro esistente e la documentazione collegata per individuare dove quella distanza si è creata. Si può scrivere dalla pagina dei contatti o consultare i pacchetti di consulenza.

Avv. Elio Errichiello

Arriva una mail. Poche righe, nessun formalismo: «chiedo la cancellazione dei miei dati». Chi la riceve, in azienda o in un ufficio pubblico, spesso non sa che quella mail ha appena fatto partire un orologio. Il diritto alla cancellazione dei dati previsto dall’articolo 17 del GDPR è uno dei diritti più esercitati e, insieme, uno di quelli su cui le organizzazioni inciampano con maggiore regolarità, non perché rifiutino di cancellare, ma perché gestiscono male la risposta.

Diritto alla cancellazione dei dati: quando spetta e quando no

L’articolo 17 non attribuisce un potere assoluto di far sparire la propria presenza dagli archivi altrui. Elenca invece le ipotesi in cui la cancellazione è dovuta: fra le altre, quando i dati non sono più necessari rispetto alle finalità per cui erano stati raccolti, quando il consenso su cui si fondava il trattamento è stato revocato e non sussiste altro fondamento, quando l’interessato si oppone al trattamento e non prevalgono motivi legittimi cogenti, quando i dati sono stati trattati illecitamente.

Lo stesso articolo prevede però eccezioni rilevanti: il trattamento necessario per l’adempimento di un obbligo legale, per l’esecuzione di un compito di interesse pubblico, per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria. È il motivo per cui un’azienda non può cancellare una fattura perché il cliente lo chiede, e un ente non può eliminare un atto dal proprio archivio documentale su semplice richiesta.

Il diritto alla cancellazione dei dati, in altre parole, richiede una valutazione per ciascun trattamento. Ed è qui che si apre il problema vero.

Che cosa viene contestato: quasi mai il rifiuto, quasi sempre il modo

Nelle istruttorie dell’Autorità la contestazione raramente riguarda il merito della decisione. Riguarda il come.

• Il silenzio. La richiesta non riceve risposta. È la violazione più semplice da accertare e la più difficile da giustificare.
• Il ritardo. Il Regolamento fissa un termine di un mese, prorogabile di due mesi in casi di particolare complessità, ma a condizione che la proroga sia comunicata all’interessato entro il primo mese e motivata. La proroga tacita non esiste.
• La risposta senza motivazione. Un «non è possibile procedere» privo di riferimenti normativi equivale, nella sostanza, a un mancato riscontro.
• La cancellazione parziale. I dati spariscono dal gestionale principale ma restano nei backup consultabili, nelle liste di marketing, nei fogli di calcolo locali, nelle caselle di posta, presso i fornitori.
• La mancata informazione ai terzi. Quando i dati sono stati comunicati ad altri soggetti, il titolare deve informarli della richiesta, salvo che ciò risulti impossibile o comporti uno sforzo sproporzionato.
• L’identificazione usata come ostacolo. Chiedere all’interessato documenti sproporzionati per verificarne l’identità è, in sé, una modalità di riscontro contestabile.

Dinamiche analoghe si osservano sul diritto di accesso, di cui lo studio si è occupato nell’articolo sul riscontro alle richieste ai sensi dell’articolo 15.

Il nodo tecnico: dove sono davvero i dati

La ragione per cui tante risposte risultano incomplete non è la malafede, è la frammentazione. In un’organizzazione di dimensioni anche modeste gli stessi dati vivono contemporaneamente nel CRM, nel sistema di fatturazione, nella piattaforma di email marketing, nel centralino, nel sistema di ticketing, nelle caselle di posta di più persone, nei dispositivi mobili, nei backup e presso una serie di fornitori esterni.

Un’organizzazione che non ha una mappa affidabile dei propri trattamenti non è in grado di dare una risposta completa, e questo spiega perché il registro dei trattamenti – percepito come un adempimento burocratico – sia invece lo strumento che determina la qualità delle risposte. Il tema è approfondito nell’articolo su che cosa il Garante chiede quando esamina il registro dei trattamenti; strettamente collegato è quello dei tempi di conservazione, perché un dato che avrebbe dovuto essere eliminato tempo prima rende ogni richiesta di cancellazione un problema.

Quanto pesa un riscontro sbagliato

Le violazioni dei diritti degli interessati rientrano nella fascia più severa dell’articolo 83, paragrafo 5, del GDPR: fino a venti milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo. La misura concreta dipende da gravità, durata, numero di interessati coinvolti, grado di cooperazione con l’Autorità e carattere doloso o colposo della condotta.

C’è però un aspetto che conta più della cifra. Una richiesta gestita male è il tipico innesco di un’istruttoria che poi si allarga: l’Autorità chiede conto di quel riscontro e, nel farlo, chiede l’informativa, il registro, i contratti con i fornitori, le misure di sicurezza. Una contestazione nata da una mail di tre righe finisce per riguardare l’intero assetto dell’organizzazione.

Le richieste si gestiscono prima che arrivino

La differenza tra un’organizzazione che risponde bene e una che risponde male non si vede nel momento in cui la richiesta arriva: si è decisa molto prima, quando qualcuno ha stabilito chi riceve queste richieste, chi le valuta, entro quanto e con quale documentazione. Chi improvvisa, sbaglia; e lo sbaglio resta scritto.

Lo studio dell’avv. Elio Errichiello assiste aziende ed enti pubblici in materia di protezione dei dati, con sede a Napoli e attività in tutta Italia, e ricopre incarichi di responsabile della protezione dei dati. Il panorama delle contestazioni più frequenti è descritto nell’articolo su contestazioni e sanzioni in materia di privacy, e il servizio è illustrato nella pagina dedicata alla consulenza privacy e protezione dei dati personali. L’attività forense dello studio è presentata su avvocatoelioerrichiello.it.

Avete ricevuto una richiesta di cancellazione e il termine sta per scadere? Scrivete allo studio allegando la richiesta: il primo passaggio è un esame preliminare della documentazione e dei termini ancora disponibili.

Avv. Elio Errichiello

Una palestra raccoglie certificati medici. Un centro estetico annota allergie, terapie in corso, interventi. Entrambi fotografano i clienti prima e dopo, mandano promozioni via WhatsApp, installano telecamere in reception e, sempre più spesso, impianti di accesso che leggono un’impronta o un volto. È questo l’insieme di operazioni che rende la privacy palestre Napoli un tema concreto e non teorico: in pochi metri quadrati si concentrano quasi tutte le categorie di trattamento che il Garante guarda con maggiore attenzione.

Privacy palestre Napoli: perché il rischio è più alto di quanto sembri

Il punto di partenza è una norma che molti gestori non hanno mai letto. L’articolo 9 del GDPR vieta in via generale il trattamento dei dati relativi alla salute, salvo che ricorra una delle condizioni tassative previste dallo stesso articolo. Il certificato di idoneità all’attività sportiva è un dato sulla salute. L’anamnesi raccolta prima di un trattamento estetico è un dato sulla salute. La scheda con le patologie segnalate dal cliente è un dato sulla salute.

Questo non significa che quei dati non possano essere trattati: significa che il trattamento deve poggiare su una condizione precisa, essere limitato a ciò che serve, durare il tempo necessario e svolgersi con misure adeguate. Una cartellina sul bancone della reception, un gestionale accessibile a tutto lo staff, una chat di gruppo in cui si commentano le condizioni di un cliente sono tutte situazioni che, portate davanti all’Autorità, difficilmente trovano una giustificazione.

A Napoli e in provincia il settore è caratterizzato da strutture medio-piccole, spesso a conduzione familiare, cresciute rapidamente e dotate di strumenti informatici acquistati come pacchetti chiavi in mano. È proprio questo profilo – organizzazione snella, tecnologia esterna, nessuna figura dedicata – a produrre le carenze più frequenti.

Le contestazioni che si ripetono

• Informativa assente o inadeguata. Il modulo di iscrizione contiene una riga che rinvia genericamente alla «normativa sulla privacy». Non è un’informativa.
• Consensi raccolti in blocco. Un’unica casella che copre iscrizione, marketing, foto sui social e comunicazione a terzi. Un consenso cumulativo è, per il Garante, un consenso non valido.
• Messaggi promozionali inviati a tutta la rubrica dei clienti, compresi quelli che hanno cessato l’abbonamento anni prima.
• Immagini pubblicate sui social senza una base giuridica riferibile a quella specifica pubblicazione, a volte riferite a percorsi di dimagrimento o a trattamenti estetici.
• Videosorveglianza con telecamere orientate su aree non consentite, cartellonistica assente e registrazioni conservate per mesi.
• Conservazione illimitata di certificati e schede: nulla viene mai cancellato, perché nessuno ha mai stabilito per quanto tempo vada tenuto.

Sul profilo della durata lo studio ha pubblicato un approfondimento sui tempi di conservazione dei dati personali e le contestazioni più frequenti, e sulla sorveglianza un articolo dedicato alla videosorveglianza nei luoghi di lavoro.

Impronte e riconoscimento facciale per l’ingresso: il terreno più scivoloso

Negli ultimi anni molti impianti sportivi hanno sostituito il badge con il lettore di impronte o con il riconoscimento del volto, presentandolo come una comodità e un antidoto agli abusi sugli abbonamenti. È la scelta che espone di più.

I dati biometrici rientrano fra le categorie particolari dell’articolo 9 e il Garante si è espresso con nettezza sul loro utilizzo per il controllo degli accessi, in particolare quando riguarda i lavoratori: la comodità non costituisce una condizione di liceità, e il consenso prestato in un contesto di squilibrio difficilmente è libero. Lo studio ha trattato specificamente il tema nell’articolo sui dati biometrici dei dipendenti e la rilevazione delle presenze.

Per il gestore di una palestra il problema pratico è duplice: l’impianto è stato acquistato, spesso è già in funzione, e il fornitore lo ha presentato come conforme. La conformità, però, non è una qualità dell’apparecchio: dipende da chi lo usa, per quali finalità e in quale contesto. È il titolare a risponderne.

Il personale e i fornitori

Ci sono poi due fronti che restano quasi sempre scoperti. Il primo è quello del personale: istruttori, estetiste, addetti alla reception, collaboratori a partita IVA accedono ogni giorno a dati di clienti, eppure raramente risultano autorizzati e istruiti in forma documentata. Il secondo riguarda i fornitori: la software house del gestionale, la piattaforma che invia le newsletter, il servizio cloud che conserva le immagini della videosorveglianza, il consulente che gestisce le buste paga. Ciascuno di questi rapporti va qualificato, e la qualificazione produce obblighi contrattuali precisi.

Quando l’Autorità chiede conto di un trattamento, la prima domanda riguarda quasi sempre chi vi ha avuto accesso e a quale titolo. È una domanda a cui non si può rispondere a posteriori.

Quanto si rischia

Le violazioni dei principi di trattamento, delle condizioni di liceità e dei diritti degli interessati rientrano nella fascia più severa dell’articolo 83, paragrafo 5, del GDPR: fino a venti milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo. Le cifre massime non si applicano a una palestra di quartiere, ma la sanzione viene commisurata a gravità, durata, numero di interessati e grado di cooperazione, e per una struttura di piccole dimensioni anche un importo di poche migliaia di euro può essere rilevante.

Il danno non si esaurisce lì. Un reclamo al Garante presentato da un ex cliente o da un dipendente apre un’istruttoria che richiede di produrre, in tempi stretti, documentazione che spesso non esiste. Ed è in quel momento che il problema si rivela per quello che è: non una sanzione, ma l’impossibilità di dimostrare qualcosa.

Prima del controllo, non dopo

Lo studio dell’avv. Elio Errichiello assiste aziende, studi professionali e strutture sanitarie in materia di protezione dei dati, con sede a Napoli e attività in tutta Italia. Il quadro delle contestazioni più ricorrenti è raccolto nell’articolo su contestazioni e sanzioni privacy e nella pagina sul servizio di consulenza privacy e protezione dei dati personali. L’attività giudiziale dello studio è descritta su avvocatoelioerrichiello.it.

Se gestite una palestra, un centro sportivo o un centro estetico e non avete mai fatto verificare modulistica, gestionale e impianti, contattate lo studio: si parte da un esame preliminare dei documenti che già utilizzate e dei trattamenti realmente in corso.

Avv. Elio Errichiello