L’attività di amministrazione di un edificio in condominio comporta un costante trattamento di dati personali appartenenti ai condomini ed ai terzi.
Tale trattamento di dati deve sottostare alla normativa emanata in materia di Privacy; gli attuali testi di riferimento sono due:
- Il D.Lgs. 20 giugno 2003, n. 196, cd. Codice della Privacy.
- Il regolamento UE 679 del 2016 sulla protezione dei dati (anzi detto Gdpr). Tale regolamento ha lo scopo di definire un quadro comune in materia di tutela dei dati personali per tutti gli Stati Membri e si propone di uniformare ed armonizzare la disciplina nell’ambito dell’Unione Europea.
Il regolamento (come previsto all’art. 99) entrerà in vigore a decorrere dal 25 maggio 2018 ed è obbligatorio e direttamente applicabile in tutti gli stati membri; entro tale data ogni stato dovrebbe garantire un perfetto allineamento fra la normativa vigente ed il Gdpr. Posto che tale passaggio, ad oggi, non è stato fatto, si pone il problema del coordinamento fra le due norme; andrà quindi data prevalenza al regolamento Europeo il quale potrà essere integrato – purchè non confliggenti – con le disposizioni contenute nel D.Lgs. 196/2003.
L’approccio del Gdpr è per principi e linee guida.
Prima di analizzare i singoli punti del Regolamento UE e dei riflessi di tale norma nell’ambito condominiale, vorrei formulare alcune considerazioni preliminari:
- Come detto, il regolamento UE è direttamente applicabile nell’ambito nazionale; i giudici possono applicare le norme del regolamento anche in presenza di norme nazionali contrastanti con esse. Ci si chiede pertanto come dovranno essere considerati tutti i provvedimenti emessi fino ad oggi dal Garante della Privacy; andranno “cancellati” o si potranno ancora utilizzare quale riferimento nell’ambito dei vari trattamenti? A mio avviso tutti i provvedimenti emessi dall’autorità potranno conservare il loro valore purchè non confliggenti con la nuova normativa.
- Proprio sul tema del conflitto fra fonti di diritto, serve un’ulteriore riflessione in quanto, a volte, il garante della Privacy – privo di potere legislativo – emette provvedimenti o interpretazioni a mio avviso non pienamente conformi al dettato del codice civile (alcuni esempi su tale tema verranno illustrati nel corso della presente trattazione). È opportuno ricordare come le leggi e/o il codice non possono essere derogate da una circolare/interpretazione del Garante.
Nell’ambito condominiale i punti chiave sono, a mio avviso, i seguenti:
- L’amministratore può trattare i dati dei condomini in quanto svolge tale attività nell’ambito dell’esecuzione di un contratto (di amministrazione condominiale).
- I dati trattati devono essere quelli strettamente indispensabili all’adempimento del suo contratto.
- Per svolgere il trattamento di cui sopra l’amministratore deve fornire idonea informativa secondo le specifiche di legge; le attuali informative vanno quindi aggiornate e comunicate a tutti i condomini e/o terzi soggetti che si interfacciano con il condominio.
- Ogni dato ulteriore rispetto alle finalità di cui sopra (ad esempio per inviare una newsletter pubblicitaria o inserire nell’anagrafe condominiale un indirizzo email privato), può essere trattato solo previa autorizzazione del singolo interessato.
- Le richieste pervenute in forza di uno dei diritti di cui al GDPR vanno adempiute in tempi ragionevoli (nel regolamento si fa riferimento, in vari casi, a trenta giorni dalla richiesta).
- Lo studio di amministrazione deve essere adeguato ed organizzato in termini di sicurezza fisica e tecnologica (documenti non accessibili al pubblico, parco macchine aggiornato, antivirus, backup).
- Il miglior modo per evitare le sanzioni è adempiere a quanto sopra e sanare con tempestività eventuali mancanze.
- Gli adempimenti all’apparenza più “invasivi” ed impegnativi – DPO (nomina del Responsabile della Protezione dei dati) e DPIA (valutazione d’impatto sulla protezione dei dati) – non sembrano direttamente applicabili al condominio. Ovviamente andranno seriamente valutati nel caso in cui ci si trovi di fronte a grandi realtà quali centri commerciali o grandi complessi.
- Non farsi prendere dal panico, ma affrontare con calma e ragionevolezza le prescrizioni della norma; buona parte delle indicazioni date dal GDPR sono cose che già si dovrebbero fare in ogni ufficio.
