Privacy in condominio: l'amministratore deve documentare la formazione GDPR
L'amministratore di condominio tratta dati personali di centinaia di persone: nominativi, recapiti, dati di pagamento, talvolta informazioni sanitarie per l'abbattimento di barriere architettoniche. Il principio di responsabilizzazione del GDPR gli impone non solo di rispettare le regole, ma di poterlo dimostrare. Tra gli obblighi rientra la formazione privacy: ecco come inquadrarla e documentarla.
Il contesto: chi tratta i dati del condominio
L'amministratore gestisce quotidianamente dati personali dei condòmini, dei fornitori e dei dipendenti dello stabile. Per farlo deve avere un titolo che lo legittima e deve adottare misure adeguate a proteggere quelle informazioni.
La qualificazione giuridica è il punto di partenza. Il condominio non è una persona giuridica autonoma: è un ente di gestione privo di soggettività distinta da quella dei partecipanti. Secondo l'orientamento prevalente, è quindi l'amministratore ad assumere il ruolo di titolare del trattamento (art. 4, n. 7, GDPR), perché è lui a determinare in concreto finalità e mezzi del trattamento nell'esercizio del mandato. Esiste una tesi minoritaria che individua nel condominio il titolare e nell'amministratore il responsabile, ma è la prima impostazione a prevalere proprio per l'assenza di soggettività autonoma dell'ente. Prendere posizione conta, perché determina su chi gravano gli obblighi.
Inquadramento normativo: accountability e formazione privacy
Il perno è l'art. 5, par. 2, GDPR: il titolare "è competente per il rispetto" dei principi del Regolamento "e in grado di comprovarlo". È il principio di accountability (responsabilizzazione): non basta agire correttamente, occorre poterlo dimostrare con documentazione.
La formazione rientra tra le misure organizzative richieste dall'art. 32 GDPR per garantire un livello di sicurezza adeguato al rischio. Un titolare che istruisce chi opera per suo conto riduce il rischio di trattamenti illeciti e di violazioni dei dati.
Il collegamento con i collaboratori passa per l'art. 29 GDPR e per l'art. 2-quaterdecies del d.lgs. 196/2003 (Codice privacy): chi agisce sotto l'autorità del titolare — segretarie, collaboratori di studio, addetti alla contabilità — deve essere designato soggetto autorizzato e istruito al trattamento. La formazione è lo strumento con cui questa istruzione diventa effettiva e dimostrabile.
Va precisato un punto, perché spesso si legge il contrario: non esiste un provvedimento del Garante che imponga in modo specifico un numero di ore di corso o un format. Sono i principi del GDPR — accountability e misure organizzative — a rendere la formazione un onere sostanziale. Affermare che "il Garante chiarisce l'obbligo di documentare i corsi" è impreciso in assenza di un atto puntuale citato.
Implicazioni pratiche per l'amministratore
In caso di reclamo di un condòmino o di accertamento, l'amministratore deve poter esibire la prova di aver formato sé stesso e i propri collaboratori. La formazione non documentata, sul piano dell'accountability, equivale a formazione non avvenuta.
Le conseguenze rilevano sul piano sanzionatorio. L'art. 83 GDPR prevede sanzioni amministrative per le violazioni del Regolamento, graduate in funzione di gravità, natura e durata. Non indichiamo importi: la valutazione è caso per caso e dipende dalle circostanze concrete dell'illecito.
Nello studio di amministrazione, la formazione privacy va trattata come misura ordinaria di gestione, al pari dell'aggiornamento contabile o fiscale.
Cosa fare in concreto
- Mappare i trattamenti: censire quali dati lo studio gestisce per ciascun condominio, con quali strumenti e quali finalità. È la base per calibrare la formazione sul rischio effettivo.
- Designare i collaboratori come soggetti autorizzati ai sensi dell'art. 2-quaterdecies del Codice privacy, con istruzioni scritte sui trattamenti consentiti.
- Programmare la formazione privacy per amministratore e collaboratori, con cadenza periodica e aggiornamenti in caso di novità normative o di nuovi trattamenti.
- Conservare le prove documentali: registro presenze, attestati di partecipazione, programma del corso, date. Sono questi i documenti che rendono la formazione dimostrabile.
- Tenere traccia delle misure organizzative adottate ex art. 32 GDPR, collegando la formazione al complesso delle misure di sicurezza dello studio.
Conclusione
La formazione privacy in condominio non è un adempimento formale. È parte delle misure organizzative che il titolare del trattamento deve adottare e, soprattutto, documentare. L'accountability sposta l'attenzione dalla condotta alla sua prova: senza registro, attestati e tracciabilità, l'amministratore resta esposto anche quando ha agito correttamente.
---
Contributo informativo a cura di Tamburro & Partners - Avv. Giuseppe Tamburro. Non costituisce parere legale.
Ogni condominio ha una storia a sé.
Se gestisci un'amministrazione e vuoi un confronto su una specifica questione condominiale, scrivi allo studio. Ti rispondiamo entro un giorno lavorativo.