Privacy in condominio: l'amministratore deve poter provare la formazione

Il contesto

L'amministratore di condominio tratta quotidianamente dati personali dei condòmini: nominativi, recapiti, quote millesimali, posizioni di morosità, dati bancari e, in alcuni casi, informazioni che rivelano condizioni di salute (si pensi alle richieste di installazione di servoscala o all'abbattimento di barriere architettoniche).

Per questa attività l'amministratore è titolare del trattamento: è il soggetto che decide finalità e modalità del trattamento dei dati e ne risponde verso gli interessati e verso l'autorità di controllo. Non è un dettaglio formale, perché da questa qualifica discendono obblighi precisi.

Inquadramento normativo

Il perno è il principio di responsabilizzazione (accountability). L'art. 5, par. 2, del Regolamento UE 2016/679 (GDPR) stabilisce che il titolare non solo deve rispettare i principi di trattamento, ma deve essere in grado di comprovarne il rispetto. L'art. 24 GDPR completa il quadro: il titolare deve mettere in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è conforme.

La formazione è una di queste misure organizzative. Quando l'amministratore si avvale di collaboratori o dipendenti che trattano i dati, questi operano come persone autorizzate al trattamento: l'art. 29 GDPR impone loro di trattare i dati solo su istruzione del titolare, l'art. 32, par. 4, GDPR richiede di garantire che chi accede ai dati agisca secondo tali istruzioni, e l'art. 2-quaterdecies del Codice privacy (D.lgs. 196/2003) attribuisce al titolare il compito di individuare e istruire le persone autorizzate. Istruire significa, in concreto, anche formare.

Gli orientamenti del Garante per la protezione dei dati personali si muovono in questa direzione: documentare la formazione è il modo con cui il titolare assolve l'onere probatorio che la normativa gli pone a carico.

Cosa cambia in concreto

Il punto delicato è probatorio. In assenza di documentazione, la formazione non è dimostrabile e quindi non è opponibile in sede di controllo: di fronte a un accertamento del Garante, l'amministratore che afferma di essersi formato ma non produce alcuna evidenza si trova nella stessa posizione di chi non si è formato affatto.

Le conseguenze non sono teoriche. La violazione degli obblighi di accountability può comportare sanzioni amministrative pecuniarie e, sul piano civile, espone l'amministratore a contestazioni da parte dei condòmini in caso di trattamenti illeciti o data breach.

Quale formazione è adeguata

La normativa non fissa un programma rigido, ma l'adeguatezza si misura sul rischio concreto del trattamento. Una formazione coerente con il ruolo dovrebbe coprire almeno: i principi del GDPR, la gestione delle richieste di accesso e degli altri diritti degli interessati, le regole di affissione e comunicazione in assemblea, la gestione delle morosità, le procedure in caso di violazione dei dati e l'uso di posta elettronica e gestionali.

Sulla periodicità non esiste un termine di legge, ma è prudente un aggiornamento almeno annuale, e comunque ogni volta che mutano normativa, organizzazione interna o strumenti utilizzati.

Va distinta la posizione dell'amministratore persona fisica che opera da solo, per il quale rileva la propria formazione, da quella dello studio strutturato con dipendenti e collaboratori: in quest'ultimo caso l'obbligo si estende all'istruzione documentata di tutte le persone autorizzate, con tracciamento di chi ha partecipato, a quale modulo e quando.

Cosa fare in concreto

• Conserva attestati e registri: archivia attestati di partecipazione, programmi dei corsi, date e durata, sia per te sia per ciascun collaboratore.
• Tieni un registro delle autorizzazioni: individua per iscritto le persone autorizzate al trattamento e collega a ciascuna la formazione ricevuta.
• Pianifica l'aggiornamento: fissa una cadenza periodica, almeno annuale, e documenta ogni sessione successiva.
• Allinea la formazione al rischio reale: privilegia i contenuti pertinenti ai trattamenti effettivamente svolti nel tuo studio, non un programma generico.
• Integra la formazione nel sistema documentale: collega gli attestati al registro dei trattamenti e alle misure di sicurezza, così da presentare un quadro coerente in caso di controllo.

Consigliamo di trattare la documentazione della formazione come parte integrante del sistema di compliance, non come un adempimento isolato: è proprio la coerenza tra le diverse evidenze a sostenere la dimostrazione di conformità richiesta dall'art. 24 GDPR.

Disclaimer

Contributo informativo a cura di Tamburro & Partners - Avv. Giuseppe Tamburro. Non costituisce parere legale.