GDPR e privacy per le chiese: guida pratica con checklist

Sì. Il Regolamento esclude solo i trattamenti fatti da una persona per scopi personali o domestici: la rubrica del telefono del pastore usata per chiamare gli amici. Appena la chiesa tiene un elenco dei membri, una lista di turni, un registro delle offerte o un gruppo WhatsApp della comunità, quel trattamento è della chiesa e il GDPR si applica, a prescindere dal numero di persone o dal fatto che la chiesa abbia un riconoscimento civile.

Nel linguaggio del GDPR la chiesa è il titolare del trattamento: decide quali dati raccogliere, perché e come. Chi la rappresenta (di solito il consiglio o il pastore) risponde delle scelte. I fornitori che trattano i dati per conto della chiesa (il gestionale, il servizio email, il cloud) sono responsabili del trattamento.

L’art. 9 del GDPR vieta in linea di principio il trattamento dei dati che rivelano le convinzioni religiose, salvo le eccezioni elencate nello stesso articolo. Per una chiesa quasi tutto rientra in questa categoria, perché il solo fatto di comparire nei suoi registri dice qualcosa sulla fede della persona.

Per i dati particolari servono due cose: una base dell’art. 6 (per esempio l’esecuzione del rapporto associativo o il legittimo interesse) e una delle eccezioni dell’art. 9. Per le chiese le eccezioni che contano sono due.

• Art. 9(2)(d), attività legittime dell’ente religioso. Un organismo senza scopo di lucro con finalità religiose può trattare i dati dei membri, degli ex membri e delle persone che hanno contatti regolari con lui, nell’ambito delle sue attività e con adeguate garanzie, purché i dati non siano comunicati all’esterno senza consenso. Copre l’anagrafe dei membri, le presenze, i turni, gli atti, la contabilità interna.
• Art. 9(2)(a), consenso esplicito. Serve dove la (d) non arriva: il visitatore venuto una volta, la pubblicazione di foto e nomi sul sito o sui social, l’elenco dei contatti condiviso tra i membri, la comunicazione dei dati a terzi. Il consenso deve essere libero, specifico, documentato e revocabile.

L’informativa (art. 13) va data quando raccogli i dati: sul modulo di adesione, sul cartoncino dei visitatori, sulla pagina delle donazioni. Deve essere breve e comprensibile e contenere almeno:

• chi è il titolare (nome della chiesa, indirizzo) e come contattarlo per la privacy;
• quali dati raccogli e per quali finalità (vita della comunità, cura pastorale, contabilità, comunicazioni);
• la base giuridica di ciascuna finalità, distinguendo ciò che richiede consenso;
• a chi vengono comunicati i dati e quali fornitori li trattano, con l’indicazione degli eventuali trasferimenti fuori dall’UE;
• per quanto tempo li conservi;
• i diritti della persona e il diritto di reclamo al Garante.

Per i consensi, una casella non preselezionata per ciascuna finalità (foto online, elenco condiviso, WhatsApp, newsletter) è la soluzione più pulita. Ricorda che revocare deve essere facile quanto dare il consenso.

Ogni persona può chiedere di accedere ai propri dati, di correggerli, di cancellarli, di limitarne l’uso, di riceverli in un formato leggibile e di opporsi a certi trattamenti. La chiesa deve rispondere entro un mese (prorogabile di due in casi complessi, avvisando la persona).

1. 1

   Registra la richiesta

   Data di arrivo, chi la fa, cosa chiede. Verifica l’identità se non conosci la persona.

2. 2

   Trova tutti i dati

   Gestionale, fogli Excel, email, gruppi, archivio cartaceo. È qui che un registro dei trattamenti fa risparmiare ore.

3. 3

   Valuta i limiti

   Alcuni dati possono dover restare (per esempio le registrazioni contabili per gli obblighi di legge): spiegalo nella risposta.

4. 4

   Rispondi per iscritto

   Con i dati richiesti o con ciò che hai fatto. Conserva traccia della risposta.

• Registro dei trattamenti (art. 30): l’esenzione per le organizzazioni sotto i 250 dipendenti non vale quando si trattano dati particolari, quindi una chiesa lo deve tenere. Basta una tabella: attività, persone interessate, dati, base giuridica, chi vi accede, fornitori, tempi di conservazione.
• Informativa per membri, visitatori e donatori.
• Moduli di consenso, con la versione del testo e la data.
• Nomine dei responsabili (art. 28): un accordo scritto con ogni fornitore che tratta dati per conto della chiesa. I fornitori seri lo mettono a disposizione come DPA.
• Istruzioni per chi accede ai dati: segretari, tesoriere, leader. Due righe su cosa possono vedere e come proteggerlo.
• Registro delle violazioni, anche di quelle che non vanno notificate.

Il responsabile della protezione dei dati (DPO) è obbligatorio solo per trattamenti su larga scala di dati particolari: per una chiesa locale di solito non lo è, ma nominare una persona di riferimento per la privacy aiuta molto.

Il GDPR non fissa durate: chiede di conservare i dati per il tempo necessario e di deciderlo prima. Una politica scritta, anche di mezza pagina, evita archivi che crescono per sempre. Ecco un punto di partenza da adattare.

Una violazione è qualsiasi perdita, accesso o diffusione non autorizzata: il portatile della segreteria rubato, l’elenco dei membri inviato per errore a un indirizzo sbagliato, un account del gestionale violato.

1. 1

   Contieni

   Cambia le password, chiedi al destinatario di cancellare, revoca gli accessi.

2. 2

   Valuta il rischio

   Quali dati, quante persone, chi li ha visti. Con dati religiosi o sanitari il rischio raramente è nullo.

3. 3

   Notifica al Garante entro 72 ore

   Se la violazione può comportare un rischio per le persone, con la procedura online del Garante. Puoi integrare le informazioni in un secondo momento.

4. 4

   Avvisa le persone

   Se il rischio è elevato, comunicalo agli interessati con parole semplici e indicazioni utili.

5. 5

   Registra

   Annota ogni violazione, anche quelle non notificate, con le decisioni prese e il perché.

Il fornitore del gestionale è un responsabile del trattamento: la chiesa resta titolare e deve sceglierlo con cura. Le domande da fare:

• Offre un accordo sul trattamento dei dati (DPA) e un elenco pubblico dei sub-responsabili?
• Dove sono ospitati i dati? Ci sono trasferimenti fuori dall’UE, e con quali garanzie?
• Puoi esportare tutti i dati di una persona e di tutta la chiesa senza costi?
• Puoi cancellare davvero una persona, comprese le copie nei log e negli allegati?
• Esistono permessi per ruolo, così il tesoriere vede le offerte e il responsabile dei bambini vede solo il suo gruppo?
• Registra chi ha fatto cosa (log delle attività)?

Trovi la lista completa di criteri nella guida come scegliere un gestionale per la chiesa.

Assemblea è stato progettato partendo dal fatto che l’appartenenza a una chiesa è un dato particolare. La chiesa resta titolare dei dati; Assemblea è responsabile del trattamento con un accordo pubblico.

• Dati ospitati nell’UE, sub-responsabili elencati pubblicamente, nessun tracciamento pubblicitario.
• Export dei dati di un membro, di un visitatore, di un donatore o dell’intera chiesa; cancellazione che rimuove anche allegati e residui; limitazione del trattamento con un interruttore.
• Consensi registrati con data, versione e finalità su moduli dei visitatori, donazioni, pubblicazione sul sito, elenco dei membri e WhatsApp.
• Coda delle richieste degli interessati e registro delle violazioni con le scadenze delle notifiche.
• Permessi per ruolo su ogni sezione, richieste di preghiera private visibili solo a chi può vederle, registro attività a prova di manomissione.