GDPR e società sportiva: quali dati dei soci conservare?
Quasi ogni consiglio direttivo pensa che la questione privacy si risolva in un modulo che i soci firmano. È la parte che conta di meno. Dove una società sportiva sbaglia davvero è che nessuno sa elencare in quanti posti stanno i dati dei soci, chi può arrivarci e che cosa succede la sera in cui un volontario allega il file sbagliato.
Non hai un elenco soci: ne hai sette
Chiedi a un consiglio direttivo dove stanno i dati dei soci e ricevi una risposta sola: nel gestionale soci. Poi gira per la società per un'ora e arrivi a sette o otto posti:
- L'anagrafica della federazione, dove la società tessera e svincola i soci per poterli far giocare.
- Il gestionale soci della società: nome, indirizzo, data di nascita, tipo di iscrizione.
- La contabilità, con coordinate bancarie, addebiti e quote non pagate.
- L'app della squadra o lo strumento dell'allenatore, con presenze, statistiche e note per giocatore.
- I gruppi di messaggistica: uno per squadra più quelli delle commissioni, tutti con i numeri di telefono.
- I fogli di calcolo della commissione tecnica, della commissione tornei e di chi coordina i volontari.
- Il disco condiviso, dove bilanci, vecchi elenchi soci e le dichiarazioni richieste ai volontari stanno ancora lì.
- Lo strumento di posta, con indirizzi che da anni non appartengono più a nessun socio.
È il motivo per cui "gli ex soci li abbiamo cancellati" non è quasi mai vero: si è premuto un tasto nel gestionale soci, mentre gli stessi nomi restano in tutti gli altri sistemi — e proprio gli ultimi quattro di questo elenco non hanno un proprietario. Non partire quindi da un modulo, ma da questa ricognizione.
La base giuridica: non il consenso, ma il contratto di iscrizione
L'errore più diffuso è far firmare ai soci un modulo di consenso per la normale anagrafica soci. Non è soltanto superfluo: è la scelta più debole che esista, perché il consenso può essere revocato in qualsiasi momento. Se un socio lo revoca mentre a te quell'indirizzo serve per dare esecuzione all'iscrizione, resti a mani vuote.
Il GDPR — il Regolamento generale sulla protezione dei dati, la stessa norma con gli stessi articoli in tutta l'Unione europea — indica sei basi giuridiche. Una società sportiva ne usa quattro:
- Esecuzione del contratto (articolo 6, paragrafo 1b): l'anagrafica soci in sé — nome, indirizzo, data di nascita, recapiti, quota, assegnazione alla squadra, tesseramento presso la federazione. Chi si iscrive stipula un contratto; non c'è niente da far firmare in più.
- Obbligo di legge (6, paragrafo 1c): la contabilità.
- Legittimo interesse (6, paragrafo 1f): la newsletter ai propri soci, la videosorveglianza nell'impianto e i dati sportivi che un allenatore tiene — presenze, statistiche, osservazioni.
- Consenso (6, paragrafo 1a): quello che resta. Foto e video, la newsletter a chi non è socio, e tutto ciò che un socio può rifiutare senza che cambi nient'altro.
Quest'ultima è la prova per i casi dubbi: questo socio può dire di no senza conseguenze per la sua iscrizione? Se no, devi indicare una delle altre tre basi giuridiche. Se sì, quel no deve poter arrivare senza discussioni — e nei tuoi sistemi devi vedere chi l'ha detto. Le foto e i video sono il caso più noto in cui il consenso si raccoglie persona per persona; come farlo giocatore per giocatore è in quali dati dei giocatori ti servono da allenatore. Per i minori il contratto lo firma chi esercita la responsabilità genitoriale; l'età a partire dalla quale un ragazzo può dare da solo il consenso per i servizi online, secondo il regolamento, sta fra i tredici e i sedici anni e cambia da paese a paese.
Il registro dei trattamenti: una riga per sistema, non una relazione
L'articolo 30 chiede un registro delle attività di trattamento. Molti consigli direttivi lo saltano convinti che per le piccole organizzazioni non serva. L'eccezione esiste, ma decade non appena il trattamento è strutturale invece che occasionale — e un'anagrafica soci è strutturale per definizione. Parti quindi dal presupposto che ti serve.
Non è una relazione ma un foglio di calcolo con una riga per ogni sistema della ricognizione qui sopra — nella maggior parte delle società una decina di righe — e sette colonne. Sistema e referente interno. Quali dati, per categorie: dati di contatto, finanziari, sportivi e sanitari; questi ultimi rientrano in un regime più severo (articolo 9), quindi di quelli registra solo ciò che in palestra serve davvero. Per quale finalità li usi. Su quale base giuridica. Chi può accedervi, per ruolo e non per nome. Per quanto tempo li conservi. Con chi li condividi, e dove finiscono quei dati.
È il lavoro di una sera, e rende più del documento di policy che ci sta intorno: proprio compilando le colonne sull'accesso e sui tempi di conservazione i buchi vengono a galla da soli. Metti il registro nel manuale della società e aggiornalo la stessa sera in cui fate il bilancio preventivo.
Per quanto tempo conservi che cosa dopo una disdetta?
Non esiste un tempo di conservazione generale per i dati dei soci, ed è proprio quello che i consigli direttivi cercano. La regola è un principio: non più a lungo di quanto serva per la finalità. Stabilisci quindi per ogni tipo di dato quando la finalità si esaurisce. In una società sportiva sono quattro pile:
- Anagrafica soci (nome, indirizzo, data di nascita, recapiti, numero di tessera): la finalità finisce con la fine dell'iscrizione. Metti in conto un breve periodo di chiusura per l'ultima quota e per lo svincolo presso la federazione, e poi fai pulizia.
- Contabilità (fatture, pagamenti delle quote, dati di addebito): questa la tieni più a lungo, perché su di essa grava un obbligo di conservazione previsto dalla legge. La durata cambia da paese a paese, quindi verifica quel termine con la tua amministrazione fiscale o con il tuo commercialista e metti il numero nel registro. Vale solo per la contabilità, non per il resto.
- Dati sportivi (presenze, statistiche, note, obiettivi): la finalità è allenare, e finisce nel momento in cui una persona non gioca più in quella squadra. La fine della stagione successiva all'uscita è un momento difendibile; più a lungo si può solo se sai spiegare per che cosa.
- Dati su volontari e sicurezza (le dichiarazioni richieste ai volontari, i contatti delle commissioni, le segnalazioni ricevute dalla persona di fiducia): riguardano un ruolo diverso dall'iscrizione, e quindi hanno un termine proprio e un accesso proprio, ristretto. Quale dichiarazione chieda la tua federazione o la normativa del tuo paese, e come si chiami, cambia da paese a paese.
L'archivio storico della società può restare, ma non è un lasciapassare per conservare integralmente i vecchi elenchi soci: tieni nomi, squadre e risultati, e togli indirizzi, date di nascita e dati bancari. Fissa poi un momento di pulizia nel calendario annuale, per esempio sei settimane dopo l'ultima giornata di campionato. Senza una data fissa fare pulizia non diventa mai il compito di nessuno e la pila cresce a ogni stagione. Che cosa succede per il resto quando qualcuno se ne va è in un giocatore che lascia la squadra.
I quattro casi di cui nessun modello GDPR dice niente
I documenti-tipo per le associazioni sono scritti per un'organizzazione che ha un elenco soci e una newsletter. Queste quattro situazioni capitano in ogni società sportiva e lì dentro non ci sono mai:
- Le note dell'allenatore su un tesserato minorenne. Sono dati personali, a volte delicati. Possono esistere finché servono ad allenare, ma la società regola due cose: che riguardino comportamenti e capacità e non il carattere o la situazione familiare, e che un genitore possa consultarle su richiesta. La regola di scrittura che lo impone è in tenere le note sui giocatori: non scrivere niente che non faresti leggere al giocatore.
- Lo storico delle presenze di chi ha smesso l'anno scorso. Chiediti ad alta voce per che cosa lo stai ancora conservando. Per l'ex socio non c'è più nessuna finalità; per la società sì, ma allora si tratta di totali — quanti giocatori per squadra, come è andata la partecipazione nelle varie stagioni. Conserva quindi il totale di squadra e butta le righe con i nomi.
- Il nuovo allenatore può vedere le note del suo predecessore? Per i giocatori ancora in squadra: sì, perché la finalità — allenare questa squadra — non è cambiata, e i dati sono della società, non dell'allenatore che se ne va. Per i giocatori usciti: no, quelli rientrano nel giro di pulizia. Nel passaggio di consegne fra allenatori fanne un momento esplicito.
- Chi vede i numeri di telefono dei tesserati minorenni? È il buco che i consigli direttivi si perdono più spesso. Appena c'è un gruppo di messaggistica per squadra, ogni membro — e ogni genitore aggiunto, ogni riserva e ogni ex giocatore che non è mai stato tolto — ha il numero di ogni ragazzo di quella squadra. Non l'ha deciso nessuno e nessuno fa pulizia. Stabilite quindi chi amministra un gruppo e che chi lascia la società ne esce entro una settimana. Perché il gruppo di messaggistica qui sia strutturalmente insufficiente è in perché il gruppo WhatsApp si inceppa.
Chi, dentro la società, può accedere a quali dati?
Il GDPR non chiede una serratura sulla porta, ma chiede che l'accesso corrisponda al ruolo. È qui che le società cadono: quasi ogni club ha una cartella condivisa a cui accedono troppe persone, e nessuno sa più perché l'ultimo arrivato ci sia entrato. Una ripartizione praticabile:
- Anagrafica soci: nome, indirizzo, data di nascita, numero di tessera, stato dell'iscrizione. Niente note, niente statistiche.
- Tesoriere: nome, dati bancari, stato dei pagamenti. Niente domande sulla salute, niente dati sportivi.
- Allenatore: solo la propria squadra — recapiti, numero di emergenza, quello che serve in palestra e i propri appunti. Niente dati bancari e niente quote arretrate: che un allenatore sappia chi non ha ancora pagato è una falla classica.
- Commissione tecnica: nome, età, ruolo, assegnazione alla squadra e il parere che scrive un allenatore — non l'intero archivio delle note. Come quella commissione organizza i propri momenti di decisione è in la direzione tecnica e i quattro momenti dell'anno sportivo.
- Persona di fiducia e consiglio direttivo: se la tua società ha quella figura — se esista e come si chiami cambia da paese a paese e da federazione a federazione — allora quella persona tiene un fascicolo separato; il consiglio direttivo non ha un diritto automatico di consultarlo. La responsabilità di chi amministra è un'altra cosa rispetto all'accesso a ogni campo.
La verifica più rapida: chi può, stasera, senza chiedere niente a nessuno, scaricare l'elenco completo dei soci con date di nascita e numeri di telefono? Se quei nomi non riesci a elencarli a memoria, l'accesso non è organizzato, per quanto bene sia scritto il documento di policy.
Un software con ruoli veri fa qui la maggior parte del lavoro: in Koach un allenatore vede solo le squadre a cui è collegato, mentre l'amministrazione della società sta a livello di club. Il principio prescinde dal programma — ogni sistema senza ruoli è un sistema in cui tutti vedono tutto.
Contratti con i responsabili del trattamento: il software, e la federazione a parte
Appena un soggetto esterno tratta dati dei soci per conto tuo, ci vuole un contratto con il responsabile del trattamento (articolo 28). Per una società si arriva in fretta a otto fornitori: il gestionale soci, la contabilità, l'app della squadra, lo strumento di posta, quello dei moduli, il disco in cloud, l'hosting del sito e a volte un servizio video. Praticamente ogni fornitore serio ne ha già uno pronto; si cerca e si accetta, non si negozia.
Con la federazione è diverso. Molte federazioni stabiliscono da sé la finalità della propria anagrafica e allora non sono un responsabile del trattamento per conto tuo, ma un titolare autonomo — cambia da paese a paese e da federazione a federazione, quindi informati su come l'ha regolata la tua.
Il buco intanto sta negli strumenti che nessuno ha dichiarato: il disco personale del tesoriere, lo strumento gratuito per i moduli della commissione tornei, l'account della stampante per le tessere sociali. Fai a ogni commissione una domanda sola: quali strumenti usate in cui ci siano nomi o numeri? Ne esce quasi sempre un sistema o due che nel registro non c'era.
Un socio che chiede i propri dati o ne chiede la cancellazione
I soci hanno diritti che la società deve saper esercitare: accesso (articolo 15), rettifica (16), cancellazione (17), opposizione (21) e portabilità (20). Nella pratica sono tre accordi. Un solo indirizzo sul sito, per esempio privacy@lavostrasocieta, che arriva a due membri del consiglio direttivo — le richieste che finiscono a un allenatore qualunque spariscono. Un mese per rispondere, con proroga fino a un massimo di tre mesi per una richiesta complessa, purché tu comunichi la proroga entro quel primo mese; conferma quindi sempre subito la ricezione. E un giro per tutti i sistemi: una richiesta di cancellazione eseguita solo nel gestionale soci non è stata eseguita.
Due situazioni creano attrito. Una richiesta di cancellazione che si scontra con l'obbligo fiscale di conservazione: allora cancelli tutto tranne i dati contabili che per legge devi tenere, e lo spieghi in due frasi — eseguire a metà e in silenzio produce sempre un secondo messaggio, più arrabbiato. E una richiesta che riguarda un tesserato minorenne passa da chi esercita la responsabilità genitoriale, ma se si tratta di appunti sul ragazzo stesso, parlane con il ragazzo e il genitore insieme. Il lato dell'allenatore sulle stesse domande è in privacy e dati per gli allenatori.
Data breach: le 72 ore partono dal volontario
Una violazione dei dati fa pensare a un attacco informatico, ma in una società sportiva è quasi sempre qualcosa di quotidiano: l'elenco soci allegato al gruppo sbagliato, un portatile rubato da un'auto, un ex membro del consiglio che ha ancora accesso al disco in cloud, o una password condivisa che gira da quattro anni.
L'articolo 33 chiede la notifica all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore, a meno che sia improbabile che la violazione presenti un rischio per gli interessati; in caso di rischio elevato informi tu stesso quegli interessati (articolo 34). Il veleno sta nel momento di partenza: quelle 72 ore decorrono da quando l'organizzazione ne viene a conoscenza — quindi da quando se ne accorge il volontario, non da quando il consiglio direttivo ne discute due settimane dopo. In Italia l'autorità di controllo è il Garante per la protezione dei dati personali; in un altro paese è un'autorità diversa. Metti nome e canale di segnalazione nel manuale prima di averne bisogno.
Organizza quindi tre cose, e nemmeno una di più:
- Un indirizzo unico per le segnalazioni e una sola persona che decide, con un sostituto. Tutti — allenatore, dirigente, volontario del bar — sanno che lì si segnala entro 24 ore, anche nel dubbio e anche quando l'errore è proprio.
- Un registro interno di ogni violazione, comprese quelle che non notifichi. È obbligatorio (articolo 33, paragrafo 5) ed è l'unico documento da cui più avanti risulta che avete valutato invece di non fare niente.
- Un clima che renda sicuro segnalare. Chi ha paura delle grane non segnala, e allora dopo tre giorni è comunque tardi. Scrivi esplicitamente che segnalare non porta mai a un rimprovero.
Punto chiave: una società non è a posto perché sul sito c'è un'informativa privacy, ma perché tre domande hanno una risposta. In quali posti stanno i dati dei nostri soci, chi può accedervi per ruolo, e chi chiama chi entro 24 ore se qualcosa esce? Quelle tre risposte su un foglio sono la maggior parte del GDPR.
Domande frequenti
I soci devono dare il consenso per la normale anagrafica soci?
No. L'anagrafica soci ordinaria si regge sull'esecuzione del contratto di iscrizione (articolo 6, paragrafo 1b), non sul consenso. Il consenso lo tieni per le cose che un socio può anche rifiutare senza conseguenze, come le foto e i video. La prova: il socio può dire di no senza che cambi nulla nella sua iscrizione?
Per quanto tempo una società sportiva può conservare i dati dei soci dopo la disdetta?
La regola è: non più a lungo di quanto serva per la finalità, quindi in modo diverso per ogni tipo di dato. I recapiti spariscono poco dopo la chiusura dell'iscrizione, i dati sportivi alla fine della stagione successiva all'uscita, e la contabilità la tieni più a lungo perché su di essa grava un obbligo di conservazione previsto dalla legge. Quel termine fiscale cambia da paese a paese: verificalo con la tua amministrazione fiscale.
A una piccola società serve davvero un registro dei trattamenti?
Nella pratica sì. L'eccezione per le organizzazioni sotto i 250 dipendenti decade non appena il trattamento è strutturale, e un'anagrafica soci lo è per definizione. Non deve essere una relazione: una riga per sistema in un foglio di calcolo, con base giuridica, accesso e tempo di conservazione.
Un allenatore può vedere i dati dei giocatori di altre squadre?
Non senza un motivo. L'accesso segue il ruolo: a un allenatore serve la propria squadra, numeri di emergenza compresi, e nient'altro. Se chiunque abbia una password può scaricare l'intero elenco soci, è un problema di configurazione: si risolve con i ruoli nel tuo sistema, non con un accordo verbale.
Che cosa conta come violazione dei dati in una società sportiva?
Ogni situazione in cui dati personali finiscono a qualcuno che non può averli, o in cui li perdi. Un elenco soci mandato per errore al gruppo sbagliato, un portatile rubato, un ex membro del consiglio che ha ancora accesso al disco. La notifica all'autorità di controllo avviene, ove possibile, entro 72 ore da quando la società ne viene a conoscenza, a meno che un rischio per gli interessati sia improbabile.
Chi, dentro la società, è responsabile del GDPR?
Il consiglio direttivo, anche quando il lavoro lo fanno l'anagrafica soci o una commissione: la società è il titolare del trattamento. Indica un membro del consiglio come referente con un sostituto, metti quell'indirizzo sul sito e aggiorna il registro ogni anno nella stessa sera del bilancio preventivo. Un responsabile della protezione dei dati, per una normale società sportiva, di norma non è obbligatorio.
