Tutela Della Privacy E GDPR
"Regolamento europeo in materia di protezione dei dati personali”
Dal 25 maggio 2018 è in vigore in tutti i Paesi dell’Unione europea il nuovo “Regolamento europeo in materia di protezione dei dati personali” (Reg. (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016).
Il nuovo Regolamento, meglio conosciuto come GDPR (in inglese “General Data Protection Regulation”) è stato pubblicato nella Gazzetta Ufficiale dell’Unione europea del 4 maggio 2016 ma sono stati concessi oltre due anni di tempo agli Stati UE per allineare la loro normativa a quella europea.
Il Parlamento italiano, con la legge 25 ottobre 2017, n. 163, (Gazzetta ufficiale del 6 novembre 2017), ha allo scopo delegato il Governo, che a seguito di un rinvio, dovrà provvedere entro il 21 agosto 2018.
Dal 25 maggio 2018, tutti i soggetti che trattano dati personali dovranno adeguarsi alle nuove disposizioni.
Secondo l’art. 4 del GDPR è considerata “dato personale” qualsiasi informazione che renda una persona fisica identificata o identificabile, con particolare riferimento a un dato identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, etc.
I dati acquisiti dalle asd e o ssd al momento del tesseramento rientrano nell’oggetto della nuova normativa sulla privacy?
Le associazioni o società sportive che tali dati raccolgono e conservano sia per fini interni sia per trasmetterli alle PGS per il rilascio della tessera hanno pertanto l’obbligo di adeguarsi alla nuova normativa.Cosa intendiamo per trattamento dei dati
Per “trattamento“ intendiamo qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la conservazione, l’estrazione, la consultazione, l’uso, la comunicazione etc. mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione. Si pensi ad operazioni quali archiviazione, elaborazione o anche alla condivisione con terzi tipo invio newsletter, azioni di mailing e messaggistica o app dedicate.Quando è lecito trattare i dati?
Il trattamento dei dati è lecito solo se ricorre almeno una delle condizioni previste dall’articolo 6 del GDPR ossia se:- è conseguenza del consenso espresso dall’interessato al trattamento dei propri dati personali per una o più specifiche finalità;
- oppure se è necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso (si pensi alla stipula della polizza assicurativa o al rilascio della tessera);
- oppure se è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento (si pensi all’obbligo di trasmettere al CONI i dati dei soci che praticano attività sportiva nonché dei membri dei Consigli direttivi delle
- ASD/SSD o all’obbligo statutario di trasmettere alle PGS i dati di tutti i soci).
E’ di norma vietato trattare i dati sensibili, cioè i dati personali (art. 9) che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, nonché i dati genetici, i dati biometrici, i dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona, a meno che il trattamento non sia effettuato nei casi di cui allo stesso articolo 9, poco frequenti tra le associazioni a noi affiliate (problemi potrebbero esservi con il certificato medico di idoneità sportiva, qualora le associazioni vengano in possesso dei motivi per cui il certificato non può essere rilasciato).Il titolare del trattamento dei dati
Il titolare del trattamento dei dati è la persona fisica o giuridica che determina le finalità e i mezzi del trattamento dei dati. Egli ha pertanto ha l’obbligo di mettere in atto misure tecniche e organizzative adeguate per garantire ed essere in grado di dimostrare che il trattamento è conforme alla normativa. Possono esservi anche più titolari del trattamento, che determinano in accordo tra loro.Il DPO
Il Data Protection Officer (DPO) è il termine inglese utilizzato per descrive il Responsabile della Protezione dati. Questo non può essere descritto come una vera e propria professione (non è collegato a precise abilitazioni), ma come una funzione indipendente che forma e controlla l’associazione e comunica con l’Autorità Garante e con i singoli interessati. La nomina del DPO è obbligatoria in una serie di ipotesi previste dall’art. 37 del Regolamento, ad esempio qualora le attività principali del Titolare/Responsabile del trattamento consistano nel trattamento su larga scala di categorie particolari di dati personali.I contenuti dell’informativa da fornire agli interessati al trattamento dei dati
E’ obbligatorio fornire informativa agli interessati (nel nostro caso, in primo luogo i nostri soci) e in linea di principio per iscritto, che si stanno trattando i loro dati, e le finalità del trattamento. Rispetto all’attuale normativa, sono più ampi i contenuti dell’informativa che devono essere forniti, da parte del titolare del trattamento dei dati o del responsabile del trattamento dei dati (cioè della persona fisica o giuridica che tratta i dati per conto del titolare), a tutela dell’esercizio della protezione dei dati. L’informativa deve essere concisa, trasparente, intelligibile per l’interessato e facilmente accessibile; si deve poi utilizzare un linguaggio chiaro e semplice, in particolare quando le informazioni sono destinate ai minori.I contenuti dell’informativa sono elencati in modo tassativo all’articolo 13 del GDPR.
In caso di raccolta presso l’interessato di dati che lo riguardano (ad esempio un socio che si iscrive ad un’associazione), il titolare del trattamento fornisce all’interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni:- l’identità e i dati di contatto del titolare del trattamento (di norma l’Associazione e, per essa, il suo legale rappresentante); ove applicabile, l’identità e i dati di contatto del suo rappresentante, che, nel caso, deve essere nominato dal titolare. La nomina di un rappresentante non è obbligatoria; quando c’è, deve però essere disciplinata da uno specifico contratto;
- ove applicabile, i dati di contatto del responsabile della protezione dei dati. La nomina di un responsabile della protezione dei dati è obbligatoria solo in alcuni casi, che analizzeremo in un prossimo intervento, insieme alle altre figure prima specificate;
- le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento; (nel nostro caso: per quanto riguarda le finalità, potremmo citare l’organizzazione delle attività statutarie, il rilascio della tessera associativa, la stipula delle polizze assicurative, la fornitura al CONI dei dati degli atleti e dei tecnici tesserati. Per quanto riguarda la base giuridica, per gli sportivi potremmo citare la legge sull’obbligo dell’assicurazione per gli sportivi e la normativa CONI dei dati dei tesserati che praticano attività sportiva);
- gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali; (nei casi di cui sopra, di nuovo: PGS, compagnia assicurativa, CONI;
- il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo; (ad esempio: sino a che il socio resta tale);
- l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento l’accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento che lo riguardano o di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati;
- qualora sia stato espresso il consenso al trattamento dei dati, l’esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca; il diritto di proporre reclamo a un’autorità di controllo: il decreto legislativo in via di emanazione la identifica nel Garante per la protezione dei dati personali;
- se la comunicazione di dati personali è un obbligo legale o contrattuale oppure un requisito necessario per la conclusione di un contratto, e se l’interessato ha l’obbligo di fornire i dati personali nonché le possibili conseguenze della mancata comunicazione di tali dati; (è in genere il nostro caso: se non si forniscono i dati personali, non può essere rilasciata la tessera associativa);
- l’esistenza o meno di un processo decisionale automatizzato, compresa la profilazione, e, nel caso ci sia, se ciò sia necessario per la conclusione o l’esecuzione di un contratto tra l’interessato e il titolare del trattamento (è una eventualità poco frequente per le associazioni). Nel caso in cui i dati non siano stati ottenuti presso l’interessato (art. 14), è pertanto indispensabile, nell’informativa da fornire all’interessato da parte delle associazioni che ne raccolgono i dati, specificare che essi saranno forniti a PGS per regolamentare il rapporto associativo, che PGS fornirà i dati alla compagnia assicurativa per la liquidazione dei sinistri e la stipula delle eventuali polizze integrative nonché, per i soci che praticano attività sportiva, che PGS fornirà i dati al CONI per gli adempimenti di legge.
Il consenso al trattamento dei dati
Il nuovo GDPR prescrive esplicitamente che, qualora il trattamento dei dati sia basato sul consenso (art.7) esso debba essere esplicito, anche se non necessariamente in forma scritta, purché inequivocabile e concludente. Se il consenso però è prestato nel contesto di una dichiarazione scritta che riguarda anche altre questioni, la richiesta di consenso deve essere presentata in modo chiaramente distinguibile dalle altre materie, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro. Non è ammesso il consenso tacito o presunto. Il consenso dei minori è valido a partire dai 16 anni (il decreto legislativo in corso di approvazione propone 14 anni); prima di tale età il consenso deve essere rilasciato da chi esercita la responsabilità genitoriale.Le sanzioni
In concreto, pertanto, le Associazioni e le Società sportive dilettantistiche, sin da subito, devono verificare il contenuto delle informative rese agli interessati e le modalità di acquisizione del consenso al trattamento e, specialmente se si tratta di minori, e sincerarsi che queste contengano i requisiti minimi previsti dal GDPR; in difetto, è necessario procedere all’adeguamento nel minor tempo possibile. Inoltre, stante la precettività di tutte le norme contenute nel Regolamento Europeo ed in attesa di un intervento di adeguamento normativo interno, occorre adottare i modelli di gestione imposti dal GDPR e dotarsi dei meccanismi di controllo delle procedure, al fine di garantire a tutti gli associati tutela e protezione nel trattamento dei dati e di permettere loro, altresì, di esercitare i diritti introdotti dal Regolamento tra i quali, ad esempio, quello previsto dall’art. 20 relativo alla portabilità dei dati, applicabile nei casi di trattamento effettuato con mezzi automatizzati, particolarmente rilevante in caso di trasferimento da un’associazione/società sportiva all’altra. Il mancato adeguamento alla normativa sancita dal GDPR, General Data Protection Regulation” – Regolamento UE 2016/679, può comportare rilevanti sanzioni amministrative e penali. Vengono puniti il mancato rispetto delle regolari procedure di informazione, acquisizione, conservazione, elaborazione, trasmissione e gestione dei dati. In conclusione, anche le Associazioni e le Società sportive, che detengono dati personali e sensibili di dipendenti, soci, volontari, atleti, allenatori e altri, dovranno adeguarsi alle nuove disposizioni facendo un’analisi della propria situazione rispetto ai dati gestiti, individuando le aree di intervento ed attivando le misure tecniche ed organizzative necessarie. In particolare, per evitare pesanti sanzioni, ciascuna società o associazione sportiva dilettantistica dovrà essere in grado di dimostrare che l’assetto organizzativo prescelto sia adeguato, adottando un modello organizzativo privacy articolato e completo, nel rispetto di quanto statuito dal GDPR. Per consultare il testo del nuovo regolamento GDPR e seguire tutti gli aggiornamenti clicca sul link qui di seguito https://www.garanteprivacy.it/il-testo-del-regolamento
INFORMATIVA PRIVACY
Cosa devono fare le associazioni per adeguarsi
E’ del tutto errato pensare che lo sport dilettantistico non debba adeguarsi al nuovo Regolamento sulla privacy.
Le ASD e le SSD hanno a che fare con un vasta quantità di dati, legati a : schede di affiliazione; iscrizioni a campionati; iscrizioni a corsi per le attività giovanili; schede dettagliate contenenti dati relativi alla salute.
Tutte le associazioni e le società dovranno quindi includere nei loro moduli d’iscrizione un’informativa chiara ed esplicita, dove dovranno essere presenti tutte le finalità e modalità di trattamento dei dati rilasciati e la loro conservazione.
Gli aspetti più delicati per un’associazione sono:
- - il tesseramento;
- - la gestione di mailing list dei soci;
- - la gestione del sito web dell’associazione (informativa e cookies);
- - la pubblicazione di foto dei soci (di cui dovrà essere richiesto il consenso al soggetto interessato, soprattutto se minorenne);
- - l’accesso ai dati da parte dei soci.
Sia le ASD che le SSD dovranno adottare le misure minime di sicurezza legate ai luoghi di archiviazione dei dati e alle persone che li maneggiano (locali ad accesso riservato, archivi chiusi a chiave, password di accesso al computer, ecc.). Nel caso in cui il trattamento dei dati sia effettuato con strumenti elettronici, dovranno redigere un documento programmatico sulla sicurezza.
Entrambe sono obbligate a tenere il Registro del trattamento, in quanto trattano dati sensibili (così definiti dal Codice della Privacy).
Per rispettare il GDPR, le ASD e le SSD dovranno prestare un’adeguata attenzione al trattamento dei dati sensibili dei propri associati, in particolare a quelli “idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale” (si pensi al certificato medico di idoneità sportiva).
Sarà necessario evidenziare le finalità del trattamento dei dati e rispettare il consenso o il mancato consenso del soggetto in questione.
Anche laddove non fosse necessario adottare il Registro, si ritiene che esso sia uno strumento utile per poter dimostrare la responsabilizzazione (accountability) del titolare del trattamento dei dati e dell’eventuale responsabile del trattamento dei dati (DPO).
Inoltre, sarà opportuno considerare che l’art. 4 del GDPR definisce come “trattamento” una “qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insieme di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione”.
