I mercoledì della privacy: Centro elaborazione dati sulla contabilità ed implicazioni sulla riservatezza

Le comunicazioni dei dati a terzi è sicuramente uno degli aspetti maggiormente spinosi in tema di trattamento dei dati personali. La gestione della contabilità demandata ad un fornitore esterno comporta un evidente e massivo passaggio di informazioni da un soggetto certamente legittimato a trattare quei dati, ovvero l'amministratore, ad un’altra entità ossia il fornitore che si occupa di elaborazione dati per conto terzi. Il passaggio di informazioni da un soggetto ad un altro, quando va a riguardare il condominio, diventa ancor più complesso perché si pone il problema della gestione dei dati ad opera dell'amministratore.

Per risolvere l'enigma circa la liceità del trattamento ad opera di un Ced e i limiti di questo, occorre innanzitutto partire dall'analisi delle figure coinvolte e dal loro inquadramento da un punto di vista della normativa sul trattamento dei dati personali.In particolare, occorre inquadrare bene il ruolo dell'amministratore di condominio, il quale, come esplicitato più volte dal Garante nazionale, può essere responsabile del trattamento se nominato ai sensi dell'articolo 28 Gdpr oppure, in caso contrario, sarà inquadrabile come titolare autonomo del trattamento.Iniziamo l'analisi proprio da quest'ultimo caso.

Se l'amministratore operasse come titolare autonomo, i fornitori dello stesso, dovrebbero essere riportati espressamente nell'informativa che questi mette a disposizione dei condòmini. In questa situazione il condòmino dovrebbe ricevere sia l'informativa del condominio sia quella dell'amministratore e, in quest'ultima, devono essere specificatamente indicati i soggetti terzi a cui vengono comunicati i dati, indicando anche se costoro tratteranno i dati come titolari o come responsabili. Ovviamente lo studio dovrà poi attrezzarsi a contrattualizzare i fornitori con apposite nomine a responsabili del trattamento o mediante contratti di contitolarità.

Sempre nel caso di amministratore titolare del trattamento ma laddove la fattura del Ced fosse intestata al condominio, il rapporto si considera diretto tra quest'ultimo e la società di servizi; nel qual caso dovrà essere il condominio stesso (passando per l'assemblea), a nominare il Ced come fornitore, con l'evidente conseguenza rischiosa del mancato raggiungimento del quorum deliberativo che, in questo caso, nel silenzio della norma ed essendo tutti i condòmini contitolari del trattamento, dovrebbe essere adottato con delibera unanime.

Laddove invece, l'amministratore operasse come responsabile del trattamento per conto del condominio amministrato, il rapporto potrebbe essere gestito in maniera più semplice. La nomina del responsabile amministratore deve avvenire a pena di nullità seguendo le indicazioni riportate nell'articolo 28 Gdpr nel quale si prescrivono i limiti del trattamento e le finalità dello stesso. Si dovrà rimandare proprio all'atto di nomina nella quale, ai sensi del numero 2) del medesimo articolo, il titolare del trattamento condominio potrà conferire una delega generica al nominando responsabile del trattamento dati (amministratore) affinché questi a sua volta provveda a nominare sub responsabili che lo coadiuvino nell'espletanda attività di fornitore responsabile.

In pratica l'amministratore potrà scegliere fornitori per svolgere al meglio il proprio incarico di mandatario, purché questa nomina avvenga secondo i parametri dettati dal Gdpr, il fornitore sia un soggetto conforme alla normativa e l'incarico venga limitato alle sole attività strettamente collegate al contratto principale di mandato ad amministrare.Questo significa che il Ced, laddove venga nominato sub fornitore ed operi secondo contratto che ne specifichi i limiti sia in relazione all'oggetto delle attività da compiere e sia relativamente alle modalità e finalità di trattamento dei dati, può svolgere il proprio incarico senza dover passare per l'assemblea e senza ulteriori formalità ad eccezione di quella, sempre prevista dal numero 2 dell'articolo 28 Gdpr, in base alla quale «il responsabile del trattamento informa il titolare del trattamento di eventuali modifiche previste riguardanti l’aggiunta o la sostituzione di altri responsabili del trattamento, dando così al titolare del trattamento l’opportunità di opporsi a tali modifiche».

Resta anche ferma la garanzia posta a favore del titolare condominio e dell'amministratore primo responsabile specificata nella lettera h) del medesimo articolo, secondo la quale il Ced può mettere «a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente articolo» e consentire e contribuire «alle attività di revisione, comprese le ispezioni, realizzati dal titolare del trattamento o da un altro soggetto da questi incaricato».