Come deve comportarsi un amministratore di condominio davanti ad una grande mole di documenti contenuti in un archivio? Quali implicazioni per la riservatezza dei condomini?
Un amministratore ci ha contattato, preoccupato per le lamentele di alcuni condòmini, che entrati nel suo studio, hanno trovato un faldone con dei documenti posizionati in un mobile accessibile e visibile da tutti, contenenti alcuni loro dati sensibili. La domanda che ci ha posto è come fare per conformarsi alla normativa privacy ed evitare di incorrere in sanzioni.
Se sei un amministratore di condominio, ogni giorno hai a che fare con una moltitudine di documenti, sia in formato cartaceo, che informatico, che sarai tenuto a gestire e organizzare in appositi archivi. La gestione degli archivi condominiali ha delle importanti implicazioni in tema di privacy, poiché all’interno di questi sono contenuti una moltitudine di dati personali dei condòmini, spesso anche sensibili, che non possono in alcun modo essere comunicati a chi non ne abbia diritto.
In questo articolo affronteremo il tema della gestione degli archivi condominiali, analizzando gli obblighi in materia di privacy e fornendo dei consigli utili a tutti gli amministratori.
Archivi condominiali: cosa dice il GDPR?
Il Regolamento Europeo sulla Protezione dei Dati Personali (GDPR) all’articolo 4, n. 6, definisce “archivio” come qualsiasi insieme strutturato di dati personali accessibili secondo criteri determinati.
Ciò significa che rientrano nell’ambito di applicazione del GDPR anche gli archivi condominiali, che contengono dati personali come nome, cognome, indirizzo, codice fiscale, email, numero di telefono e informazioni relative alle proprietà e alle quote condominiali.
In base a quanto previsto dall’articolo 32 del GDPR, ogni trattamento dei dati personali deve essere svolto adottando delle apposite misure di sicurezza. Come sappiamo infatti l’articolo 32 prevede che il titolare e il responsabile del trattamento (nel caso del condominio l’amministratore), mettano in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza proporizionato al rischio, che comprendono, tra le altre, se del caso:
a) la pseudonimizzazione e la cifratura dei dati personali;
b) la capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento;
c) la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico;
d) una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.
Ma come si applicano concretamente queste disposizioni alla realtà degli archivi condominiali? Vediamolo nel paragrafo che segue.
Archivi condominiali: quali regole deve seguire l’amministratore per rispettare la privacy?
Al fine di non incorrere in sanzioni da parte del Garante della privacy, nella gestione degli archivi condominiali l’amministratore deve adottare i comportamenti stabiliti dall’articolo 32 del GDPR. Dopo l’enunciazione delle regole, illustrate nel paragrafo precedente, occorre però ora comprendere concretamente quali siano questi comportamenti.
Tra le misure di sicurezza suggerite dal GDPR vi sono la pseudonimizzazione e la cifratura dei dati personali. La pseudonimizzazione consiste nel sostituire i dati personali con un codice identificativo, mentre la cifratura consiste nel rendere i dati incomprensibili a chi non dispone della chiave di decrittazione. Ma come possono essere adottate queste tecniche nel mondo del condominio? Vediamo qualche esempio.
Occorre innanzitutto distinguere a seconda che si tratti di archivi cartacei o informatici.
Per quanto riguarda gli archivi cartacei, le misure tecniche – cioè quelle che riguardano i mezzi fisici utilizzati per proteggere i dati cartacei – possono essere ad esempio:
- Conservare gli archivi cartacei in armadi chiusi a chiave o in locali sicuri;
- Utilizzare dispositivi di controllo accessi per limitare l’accesso agli archivi;
- Distruggere i documenti cartacei in modo sicuro una volta che non sono più necessari.
Per quanto attiene gli archivi informatici invece, le misure di sicurezza tecniche riguardano gli strumenti e le tecnologie utilizzati per proteggere i dati informatici. Ad esempio, l’amministratore di condominio può:
- Implementare sistemi di controllo accessi per limitare l’accesso agli archivi informatici;
- Utilizzare software antivirus e firewall per proteggere gli archivi informatici da malware e intrusioni informatiche;
- Criptare i dati personali in modo che siano illeggibili per chi non dispone della chiave di decrittazione;
- Effettuare regolarmente backup dei dati.
In relazione alle misure organizzative – cioè quelle che hanno a che fare con le procedure e le modalità con cui i dati vengono trattati – valgono le stesse regole sia per gli archivi informatici che digitali. Alcuni esempi di misure organizzative sono:
- Redigere un regolamento interno per la gestione degli archivi cartacei che definisca le procedure per l’accesso, la conservazione e la distruzione dei dati;
- Formare il personale sulle norme in materia di protezione dei dati personali e sulle procedure per la gestione degli archivi;
- Sensibilizzare il personale sull’importanza di proteggere i dati personali;
- Effettuare regolarmente controlli sulla sicurezza degli archivi.
In ogni caso l’amministratore è sempre tenuto ad adottare nella gestione degli archivi le tecniche di pseudonimizzazione e cifratura. La pseudonimizzazione consiste nel sostituire i dati personali con un codice identificativo, mentre la cifratura consiste nel rendere i dati incomprensibili a chi non dispone della chiave di decrittazione. Ecco qualche esempio pratico:
a) Pseudonimizzazione
- Sostituire i nomi dei condomini con codici identificativi: ad esempio, invece di utilizzare il nome e cognome di un condomino, si può utilizzare un codice come “CD123”;
- Utilizzare iniziali o pseudonimi al posto dei nomi completi: ad esempio, invece di utilizzare il nome completo “Mario Rossi”, si può utilizzare “M. Rossi” o “Mario R.”;
- Anonimizzare i dati sensibili: dd esempio, invece di indicare il numero di telefono completo di un condomino, si può indicare solo il prefisso telefonico.
b) Cifratura
- Criptare i file contenenti dati personali: ad esempio, si possono utilizzare software di crittografia per cifrare i file che contengono i dati anagrafici dei condomini, le delibere assembleari o i bilanci condominiali;
- Proteggere le email con password e crittografia: quando si inviano email contenenti dati personali, è importante impostare una password forte e attivare la crittografia per garantire la riservatezza del messaggio;
- Utilizzare dispositivi USB criptati per archiviare i dati sensibili: se si archiviano dati personali su dispositivi USB, è importante utilizzare dispositivi criptati per proteggere i dati in caso di smarrimento o furto del dispositivo.
L’amministratore di condominio infine deve garantire la resistenza dei sistemi e dei servizi che trattano i dati personali. Ciò significa che deve essere in grado di ripristinare rapidamente la disponibilità dei dati in caso di incidente fisico o tecnico, avendo l’obbligo di comunicare le fughe di dati al Garante della Privacy entro 72 ore dalla scoperta.
