Source: http://www.geometra.info/news/professione-e-previdenza/protezione-della-privacy-nel-condominio-le-nuove-regole/
Timestamp: 2018-12-15 15:09:11+00:00
Document Index: 130864555

Matched Legal Cases: ['art. 8', 'art. 1130', 'art. 4', 'sentenza ', 'art. 4', 'art. 5', 'art. 24', 'art. 28', 'art. 4', 'art. 4', 'art. 37', 'art. 9', 'art. 7', 'art. 7', 'art. 7', 'art. 30', 'art. 82', 'art. 25', 'art. 24', 'art. 32', 'art. 12', 'art. 15', 'art. 17', 'art. 18', 'art. 21', 'art. 20']

GDPR, attenzione al rispetto dei dati personali nei condomini | Geometra.info
<Morosità incolpevole, dal Mit la proposta di riparto dei fondi
Box e posti auto, previste detrazioni del 50% (anche) per acquisto o realizzazione>
GDPR, istruzioni per l'uso dedicate agli amministratori degli immobili: dalla valutazione dei rischi passando per misure di sicurezza, consenso, informativa, protezione dei dati, diritti degli interessati, notifica all'Autorità.
Il 25 maggio 2018 entra in vigore il Regolamento Ue 2016/679 noto come Gdpr (General Data Protection Regulation) sulla protezione dei dati delle persone fisiche con riguardo al trattamento dei dati personali e alla loro circolazione.
Le disposizioni del regolamento riguardano tutti coloro che, compresi gli amministratori di condominio, per ragioni professionali vengono in possesso di dati personali ed effettuano operazioni con o senza l’ausilio di processi automatizzati su dati personali.
Il diritto alla protezione dei dati personali è un diritto assoluto rispetto alla propria vita privata e familiare, appartiene a tutte le persone ed è sancito dall’art. 8 della Carta dei diritti fondamentali della Ue. Le imprese, i professionisti e gli enti hanno il dovere di attuare le idonee misure di protezione per evitare che con la diffusione incontrollata di tali dati tale diritto venga leso. Questa guida all’uso sarà sicuramente utile per evitare confusione e errori. Ecco di cosa parleremo:
La protezione della privacy nel condominio
Il titolare del trattamento nel condominio
Designazione del titolare del trattamento
Il consenso sui dati personali
L’informativa in condominio
I verbali e i documenti assembleari
Notifica della violazione di dati personali
L’art. 1130, comma 6, del Codice Civile pone a carico dell’amministratore l’obbligo di “curare la tenuta del registro di anagrafe condominiale contenente le generalità dei singoli proprietari e dei titolari di diritti reali e di diritti personali di godimento, comprensive del codice fiscale e della residenza o domicilio, i dati catastali di ciascuna unità immobiliare, nonché ogni dato relativo alle condizioni di sicurezza delle parti comuni dell’edificio”. Tali operazioni rientrano nella nozione di trattamento di dati personali.
Il dato personale nel condominio
Per dato personale si intende qualsiasi informazione riguardante una persona fisica identificata o identificabile (cosidetto interessato); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo on line o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale (art. 4 Gdpr).
La sentenza della Corte di Cassazione n. 1593/2013 afferma che dato personale è “qualunque informazione” relativa a “persona fisica, persona giuridica, ente o associazione”, che siano “identificati o identificabili”, anche “indirettamente, mediante riferimento a qualsiasi altra informazione” ha già avuto modo di affermare, i dati dei singoli partecipanti al condominio raccolti ed utilizzati per le finalità di cui agli artt. 1117 ss. c.c. sono senz’altro da ricondurre a tale nozione, … in ambito condominiale, le informazioni relative al riparto delle spese, all’ entità del contributo dovuto da ciascuno e alla mora nel pagamento degli oneri pregressi possono essere peraltro oggetto di trattamento anche senza il consenso dell’interessato”.
“Qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione” (art. 4 Gdpr).
L’elaborazione dell’elenco condomini, la tabella millesimale, il verbale dell’assemblea sono operazioni legittime di trattamento dei dati personali in quanto riferite a informazioni pertinenti e non eccedenti le finalità da perseguire con il trattamento stesso.
E’ invece vietato riportare nell’elenco dei condomini in formato cartaceo o elettronico, accanto ai nomi dei condomini (o dei conduttori) annotazioni personali come single, non verrà in assemblea, va in vacanza a giugno, risponde sempre la segreteria: tali informazioni sono lesive della privacy , non sono pertinenti ed eccedono la finalità per la quale i dati sono raccolti (convocazione in assemblea).
I dati personali devono essere (art. 5 Dgpr):
E’ ammesso il trattamento dei dati personali che rivelano l’origine razziale-etnica, le opinioni politiche, le convinzioni religiose-filosofiche, l’appartenenza sindacale, i dati genetici-biometrici che identificano in modo univoco una persona fisica, oppure i dati relativi alla salute o alla vita sessuale o di orientamento sessuale della persona esclusivamente alle seguenti condizioni:
nel caso in cui l’interessato abbia prestato il proprio consenso esplicito;
quando le notizie siano rese manifestamente pubbliche dall’interessato;
Il titolare del trattamento è colui che mette in atto misure tecniche ed organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato secondo quanto disposto dal Regolamento (art. 24 Gdpr). Il Responsabile del trattamento è il soggetto che tratta i dati personali per conto del Titolare (art. 28 Gdpr).
La compagine condominiale, come insieme organizzato dei singoli condomini per gestire un interesse comune, è già stata riconosciuta dal Garante per la privacy come “Titolare del trattamento dei dati” cioè il soggetto che assume “le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza” (art. 4 c. 2 lett. f) D.Lgs 196/2003).
Lo studio dell’amministratore deve essere adeguato ed organizzato in termini di sicurezza fisica e tecnologica (documenti non accessibili al pubblico, parco macchine aggiornato, antivirus, backup).
Il ruolo di titolare del trattamento va conferito all’atto della nomina dell’amministratore, con apposita delibera dell’assemblea dei condomini che definisca i compiti e i limiti di utilizzo dei dati personali, indicando le condizioni di cui all’articolo 28 comma 3 del Gdpr.
A sua volta, l’amministratore, in relazione all’organizzazione della propria attività, può nominare sub responsabili del trattamento, a meno che che nell’atto dell’incarico da parte dell’assemblea ciò non gli sia stato vietato (art. 4, par. 1, p, 8 Dgpr).
L’amministratore può trattare i dati che non eccedono le finalità di gestione e amministrazione del condominio, quali i dati anagrafici, l’indirizzo, nonché i numeri di telefono, fisso e cellulare, l’indirizzo di posta elettronica e anche dati sensibili (ad es. concernenti la salute) o giudiziari indispensabili per l’amministrazione del condominio, se forniti direttamente dal condomino.
L’atto con cui il titolare designa il responsabile del trattamento deve essere un contratto o altro atto giuridico conforme al diritto nazionale e deve disciplinare tassativamente la natura, durata e finalità del trattamento o dei trattamenti assegnati, le categorie di dati oggetto di trattamento, le misure tecniche e organizzative adeguate a consentire il rispetto delle istruzioni impartite dal titolare e, in via generale, delle disposizioni contenute nel regolamento.
Nomina di sub-responsabili
Il regolamento consente la nomina di sub-responsabili del trattamento da parte di un responsabile per specifiche attività di trattamento, nel rispetto degli stessi obblighi contrattuali che legano titolare e responsabile primario; quest’ultimo risponde dinanzi al titolare dell’inadempimento dell’eventuale sub-responsabile, anche ai fini del risarcimento di eventuali danni causati dal trattamento, salvo dimostri che l’evento dannoso “non gli è in alcun modo imputabile”.
la tenuta del registro dei trattamenti svolti,
l’adozione di idonee misure tecniche e organizzative per garantire la sicurezza dei trattamenti,
la designazione (obbligatoria solo in alcuni casi, art. 37 Dpgr) di un Responsabile della protezione dati (Rpd ovvero Dpo, Data Protection Officer), che cura “la sensibilizzazione e la formazione del personale” e la sorveglianza sullo svolgimento della valutazione di impatto.
Se l’amministratore, nell’ambito delle sue mansioni, tratta dati personali sensibili, deve raccogliere il consenso esplicito dell’interessato (art. 9 Gdpr). Anche per utilizzare i dati personali per attività promozionali e/o commerciali, occorre il consenso degli interessati. Ogni operazione sui dati per scopi diversi da quelli per cui sono stati raccolti è illecita senza consenso (artt. 6, 7, 9 Gdpr).
Il consenso per il trattamento dei dati sensibili non deve essere necessariamente documentato per iscritto, anche se la forma scritta è indubbiamente la modalità più idonea a configurare l’inequivocabilità del consenso; in ogni caso il consenso deve risultare libero, specifico, informato e manifestato attraverso “dichiarazione o azione positiva inequivocabile”; non è ammesso il consenso tacito o presunto e il titolare deve essere in grado di dimostrare che l’interessato ha prestato il consenso a uno specifico trattamento (art. 7.1 Dgpr).
Il consenso raccolto precedentemente al 25 maggio 2018 resta valido se ha tutte le caratteristiche indicate. In caso contrario, è opportuno raccogliere nuovamente il consenso degli interessati secondo quanto prescrive il regolamento, assicurando che:
la richiesta di consenso sia chiaramente distinguibile da altre richieste o dichiarazioni rivolte all’interessato (art. 7.2 Dgpr),
la formula utilizzata per chiedere il consenso sia comprensibile, semplice, chiara (art. 7.2 Dgpr).
Il fatto che non sia necessario un consenso da parte dell’interessato non esime il titolare del trattamento dagli obblighi di informativa e dagli altri obblighi previsti dal regolamento.
Spetta al titolare del trattamento il compito di decidere autonomamente le modalità, le garanzie e i limiti del trattamento dei dati personali, nel rispetto delle disposizioni normative e alla luce di alcuni principi specifici indicati nel regolamento.
Il titolare del trattamento dei dati deve essere in grado di dimostrare di avere adottato un processo complessivo di misure tecniche e organizzative per la protezione dei dati personali, anche attraverso l’elaborazione di specifici modelli organizzativi volti a ridurre al minimo il rischio di violazione o di perdita anche accidentale di dati.
Per dimostrare di aver adempiuto agli obblighi previsti dal regolamento, è opportuno compilare e conservare il “Registro delle attività del trattamento” (art. 30 Dgpr). Il registro deve descrivere l’organizzazione e le modalità con cui vengono trattati i dati.
Il titolare del trattamento può rispondere per risarcimento del danno (art. 82 Dpgr) e delle sanzioni (artt. 83-84 Dpgr). Il responsabile risponde in solido con il titolare (che è il destinatario principale degli obblighi e delle sanzioni) qualora dovesse dare corso a trattamenti contrari al regolamento, seppur su indicazione dello stesso titolare, o se ha agito in modo difforme o contrario rispetto alle legittime istruzioni del titolare del trattamento.
Data protection by default and by design (art. 25 Dpgr)
Il sistema per il trattamento dei dati deve prevedere fin dall’inizio le garanzie indispensabili per soddisfare i requisiti del regolamento e tutelare i diritti degli interessati, tenendo conto del contesto complessivo ove il trattamento si colloca e dei rischi per i diritti e le libertà degli interessati.
Prima di procedere al trattamento dei dati vero e proprio, va svolta un’analisi preventiva e un impegno applicativo da parte del titolare, che devono concretizzarsi in una serie di attività specifiche e dimostrabili, prima tra tutte la valutazione dei rischi.
Il condominio, attraverso l’assemblea e/o il suo legale rappresentante, deve, in base al contesto e alle finalità dei trattamenti dei dati, valutare i rischi per i diritti e le libertà delle persone fisiche mettendo in atto misure tecniche e organizzative adeguate per garantire e dimostrare il rispetto del Regolamento (art. 24 Dpgr). In particolare:
provvedere in forma scritta alle nomine dei responsabili al trattamento e/o autorizzati (amministratore di condominio, fornitori di servizi che utilizzano dati personali, videosorveglianza, dipendenti del condominio, ecc.);
predisporre misure di sicurezza adeguate qualora vengano svolti trattamenti presso il condominio (ad esempio un archivio cartaceo, registrazioni immagini, smistamento corrispondenza e raccolta pacchi, monitoraggio degli accessi come lettura targhe);
valutare l’impatto privacy prima di ogni nuovo trattamento (ed esempio installazione di impianto di videosorveglianza, apertura varchi da remoto e registrazione accessi, utilizzo videocitofono da remoto).
I rischi sono identificati in funzione:
• del tipo di dato
• di come viene effettuato il trattamento
• di chi effettua il trattamento
1. Rischio di area: che dipende dal luogo dove gli strumenti sono ubicati.
Tale rischio è legato sostanzialmente:
– al verificarsi di eventi distruttivi (incendi, allagamenti, corti circuiti);
– alla possibilità che terzi malintenzionati accedano nei locali dove si svolge il trattamento (rapine, furti, danneggiamenti da atti vandalici).
2. Rischio legato al comportamento degli operatori:
– furto di credenziali di autenticazione;
– comportamenti sleali;
– errore umano.
3. Rischio legato agli strumenti utilizzati:
– azione di virus informatici;
– spamming o altre tecniche di sabotaggio;
– malfunzionamento o degrado degli strumenti;
Le misure di sicurezza (art. 32 Dgpr) devono “garantire un livello di sicurezza adeguato al rischio” del trattamento, anche tramite l’adesione a specifici codici di condotta o a schemi di certificazione per attestare l’adeguatezza delle misure di sicurezza adottate.
Il Regolamento prevede (artt. 13-14 Gdpr) di consegnare un documento a tutti i condomini e a chiunque goda di diritti reali e/o di godimento, allo scopo di informarli circa:
L’informativa deve essere fornita per iscritto e preferibilmente in formato elettronico e avere forma concisa, trasparente, intelligibile per l’interessato e facilmente accessibile. Occorre utilizzare un linguaggio chiaro e semplice, e per i minori occorre prevedere informative idonee.
L’informativa deve comprendere le generalità del titolare del trattamento e i suoi recapiti di contatto, le modalità e le finalità del trattamento dei dati, il periodo di conservazione dei dati, la natura obbligatoria o facoltativa del conferimento dei dati, il periodo massimo o il criterio di detenzione dei dati personali, i diritti garantiti agli interessati, come quello di presentare un reclamo all’autorità di controllo.
L’informativa deve essere fornita entro un termine ragionevole non superiore a un mese dalla raccolta, oppure al momento della comunicazione (non della registrazione) dei dati, a terzi o all’interessato.
Spetta al titolare valutare lo sforzo sproporzionato richiesto dall’informare una pluralità di interessati, facendo riferimento ai criteri evidenziati nei provvedimenti con cui il Garante ha riconosciuto negli anni l’esistenza di tale sproporzione.
Le informazioni divulgate tramite la bacheca condominiale devono essere di carattere generale, cioè avere ad oggetto informazioni e comunicazioni inerenti i beni e i servizi comuni, come ad esempio, la manutenzione impianti. Le bacheche condominiali non possono essere usate per comunicazioni riferite a singoli condomini e ciò sia in merito a dati personali sia per beni ad essi riferibili (per es. posti auto o targhe di veicoli).
Le comunicazioni individuali vanno lasciate in busta chiusa nelle cassette delle lettere di ciascun condomino e gli eventuali inadempimenti di condomini che riguardano la gestione condominiale potranno essere conosciuti in sede di assemblea condominiale o previa richiesta all’amministratore.
Non è possibile esporre avvisi di mora o sollecitazioni al pagamento negli spazi condominiali accessibili a terzi, ma l’amministratore è obbligato a comunicare ai creditori non ancora soddisfatti, che ne facciano richiesta, i dati dei condòmini morosi.
L’impianto di videosorveglianza installato da un condomino per fini propri, non deve essere segnalato con un cartello, ma se riguarda parti comuni, dovrà essere evidenziato. Le immagini degli impianti di videosorveglianza che riguardano parti private, dovranno avere un’area delimitata, per cui per es. quelle per la sorveglianza della propria porta di casa non potranno inquadrare tutto il pianerottolo. Queste regole valgono anche per i videocitofoni e apparecchi simili che visualizzano immagini. Le registrazioni non devono essere conservate per più di 24/48 ore.
I documenti adottati con delibera assembleare possono essere accessibili agli aventi diritto anche tramite un sito web del condominio, con le opportune procedure di autenticazione, solitamente tramite password individuale. Particolare attenzione deve essere adottata per i dati sensibili relativi alla salute o giudiziari.
Il conduttore di un immobile in affitto ha diritto all’accesso ai propri dati personali e agli altri diritti garantiti dal codice della privacy, ma non può chiedere l’accesso ai dati sulla gestione del condominio.
L’assemblea condominiale può essere videoregistrata ma solo con il consenso informato di tutti i partecipanti.
L’amministratore, su richiesta di un condomino, può fargli visionare ed eventualmente fargli estrarre copia delle movimentazioni bancarie afferenti il condominio, con spese a carico del richiedente.
Diritti degli interessati (artt. 11 e 12 Dgpr)
Il titolare del trattamento deve agevolare l’esercizio dei diritti da parte dell’interessato, adottando le idonee misure tecniche e organizzative.
Ogni condomino ha diritto a veder corretti i propri dati; d’altra parte, è suo dovere comunicare i dati corretti all’ amministratore.
Il condomino può richiedere la cancellazione dei suoi dati non necessari rispetto alla gestione dell’immobile ed all’adempimento degli oneri contrattuali in capo all’amministratore. Entro un mese dalla richiesta (o fino a tre mesi in casi di particolare complessità), l’amministratore deve dare riscontro alla richiesta da parte del condomino in forma scritta anche attraverso strumenti elettronici che ne favoriscano l’accessibilità; il riscontro può essere dato oralmente solo se così richiede l’interessato stesso.
La risposta fornita all’interessato deve essere “intelligibile”, concisa, trasparente e facilmente accessibile, in un linguaggio semplice e chiaro.
Le informazioni fornite all’interessato sono normalmente gratuite. Se le richieste dell’interessato sono manifestamente infondate ed eccessive (art. 12 comma 5 Gdpr), in particolare per il loro carattere ripetitivo, il titolare del trattamento può addebitare un contributo spese ragionevole, oppure rifiutare di soddisfare la richiesta, dimostrando il carattere manifestamente infondato o eccessivo della stessa.
Diritto di accesso (art. 15 Dgpr)
Il condomino ha diritto di ricevere una copia dei dati personali oggetto di trattamento. Il titolare può consentire agli interessati di consultare direttamente, da remoto e in modo sicuro, i propri dati personali.
Diritto di cancellazione (art. 17 Dgpr)
Il condomino ha diritto alla cancellazione dei propri dati personali “resi pubblici” (ad esempio, su un sito web). Il titolare deve informare della richiesta di cancellazione altri eventuali titolari che trattano i dati personali cancellati, compresi “qualsiasi link, copia o riproduzione”. L’interessato ha il diritto di chiedere la cancellazione dei propri dati anche dopo revoca del consenso al trattamento.
Diritto di limitazione del trattamento (art. 18 Dgpr)
E’ esercitabile in caso di violazione dei presupposti di liceità del trattamento (come alternativa alla cancellazione dei dati stessi), e quando l’interessato chiede la rettifica dei dati (in attesa di tale rettifica da parte del titolare) o si oppone al loro trattamento ai sensi dell’art. 21 del regolamento (in attesa della valutazione da parte del titolare).
Diritto alla portabilità dei dati (art. 20 Dgpr)
Si applica ai trattamenti automatizzati (quindi sono esclusi gli archivi o registri cartacei) e solo ai dati trattati con il consenso dell’interessato o sulla base di un contratto stipulato con l’interessato (non si applica ai dati il cui trattamento si fonda sull’interesse pubblico o sull’interesse legittimo del titolare), e solo ai dati che siano stati forniti dall’interessato al titolare.
Il titolare deve notificare all’Autorità di controllo le violazioni di dati personali di cui viene a conoscenza, entro 72 ore e comunque “senza ingiustificato ritardo”, se da tale violazione ritiene possano derivare rischi per i diritti e le libertà degli interessati.
La notifica all’Autorità dell’avvenuta violazione non è obbligatoria, essendo subordinata alla valutazione del rischio per gli interessati effettuata dal titolare. Se la probabilità di tale rischio è elevata, si dovrà informare delle violazione anche gli interessati, sempre “senza ingiustificato ritardo”.
Il modello per la notifica dei trattamenti da parte dei fornitori di servizi di comunicazione elettronica accessibili al pubblico, predisposto dall’Autorità, sarà rielaborato per renderlo utilizzabile da tutti i titolari di trattamento ai fini del regolamento.
Il titolare di trattamento deve in ogni caso documentare le violazioni di dati personali subite, anche se non notificate all’autorità di controllo e non comunicate agli interessati, nonché le relative circostanze e conseguenze e i provvedimenti adottati.
Tag: amministratore di condominioGdprprotezione dati personalitrattamento datitutela della privacy