Privacy e GDPR in un'associazione: cosa dovete fare con i dati di soci e volontari

Il GDPR vale anche per la nostra piccola associazione?

Sì. Il Regolamento (UE) 2016/679, il GDPR, si applica a chiunque tratti dati personali di persone fisiche: non esiste un'esenzione per le associazioni, per i volontari o per gli enti senza scopo di lucro. Se avete un elenco soci, un registro dei volontari, una rubrica di sostenitori o un foglio con i nominativi di chi partecipa a un evento, state trattando dati personali, e l'associazione è il titolare del trattamento: risponde lei, nella persona del legale rappresentante, non chi materialmente tiene il file.

La buona notizia è che la dimensione conta: gli adempimenti sono gli stessi per tutti, ma l'intensità cambia. Un'associazione con 60 soci e un solo elenco da gestire ha un lavoro molto più leggero di un ente con diecimila tesserati e un servizio a favore di persone fragili. Il resto dell'articolo vi aiuta a capire in quale caso siete, e dove la norma lascia margini di interpretazione.

Quali dati personali tratta un'associazione, in concreto?

Quasi sempre sono dati comuni: nome, cognome, indirizzo, recapiti, codice fiscale, data di nascita, quote versate, presenze alle assemblee, turni svolti. Sono quelli che stanno nel libro soci, nel registro dei volontari, nelle ricevute e nei verbali. Se volete approfondire i singoli registri, trovate le regole nelle guide sul libro soci e sul registro dei volontari.

A questi si aggiungono, in molte associazioni, informazioni più delicate: certificati medici o idoneità per attività sportive e di soccorso, allergie o intolleranze (per esempio per una sagra o per un centro estivo), disabilità degli utenti trasportati, dati sulle convinzioni religiose o politiche negli enti che hanno finalità di quel tipo. Il GDPR li chiama categorie particolari di dati e per loro le regole sono più severe.

L'informativa: che cosa dovete dire a chi vi dà i suoi dati?

L'obbligo di informare l'interessato nasce dall'art. 13 del GDPR, al momento in cui raccogliete i dati. L'informativa deve dire, in forma chiara e semplice:

• chi è il titolare (la vostra associazione, con denominazione e recapiti);
• per quali finalità trattate i dati (gestire il rapporto associativo, adempiere agli obblighi di legge, organizzare attività e turni, assicurare i volontari) e su quale base giuridica;
• a chi i dati possono essere comunicati (compagnia assicuratrice, commercialista, eventuale rete associativa);
• per quanto tempo li conservate o con quale criterio;
• quali diritti ha la persona (accesso, rettifica, cancellazione nei casi previsti, limitazione, opposizione) e che può proporre reclamo al Garante.

In pratica basta una pagina, allegata alla domanda di ammissione a socio o alla scheda del volontario, firmata per presa visione. Attenzione a un equivoco molto diffuso: l'informativa non è il consenso. Per gestire il rapporto associativo non vi serve il consenso del socio, perché la base giuridica è il rapporto stesso e gli obblighi di legge che ne derivano. Il consenso serve per ciò che va oltre: per esempio l'invio di newsletter promozionali o la pubblicazione di fotografie su un social.

Il registro dei trattamenti è obbligatorio per una piccola associazione?

È uno dei punti più discussi. L'art. 30, par. 5, del GDPR esonera dal registro delle attività di trattamento le organizzazioni con meno di 250 dipendenti, ma l'esonero non vale se il trattamento può presentare un rischio per i diritti e le libertà degli interessati, se non è occasionale, o se riguarda categorie particolari di dati. Il Garante, nelle sue FAQ, precisa che tra le "organizzazioni" rientrano anche associazioni, fondazioni e comitati, e raccomanda comunque il registro a tutti i titolari.

Che cosa significa per voi? Il trattamento dei dati dei soci è, per sua natura, continuativo e non occasionale: si tiene l'elenco per tutta la durata del rapporto. Per questo la lettura prudente è che quasi ogni associazione dovrebbe tenere un registro, anche in forma semplice. Non è l'unica lettura possibile e la norma non fornisce una definizione numerica di "non occasionale": se avete dubbi, chiedete a un professionista. Quello che il Garante dice espressamente è che un ente sotto la soglia dei 250 dipendenti obbligato dalla presenza di un solo trattamento a rischio può limitare il registro a quel trattamento.

Il registro non ha un formato obbligatorio. Per un'associazione piccola può essere una tabella con una riga per ogni trattamento: soci, volontari, donatori, partecipanti agli eventi. Per ciascuno si indicano finalità, categorie di dati, destinatari, tempi di conservazione e misure di sicurezza.

Quando i dati diventano "particolari" e che cosa cambia?

L'art. 9, par. 1, del GDPR vieta in linea di principio di trattare dati che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, oltre a dati genetici, biometrici, relativi alla salute o alla vita sessuale. Il divieto cade solo in alcuni casi elencati dal par. 2: i due che interessano alle associazioni sono questi.

• Consenso esplicito (lett. a): la persona acconsente in modo specifico a trattare quel dato per una finalità precisa. Per esempio, un volontario che comunica un'allergia perché sia gestita durante un evento.
• Attività legittime di un ente senza scopo di lucro (lett. d): il trattamento è lecito se è svolto, con adeguate garanzie, da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali, purché riguardi solo i membri, gli ex membri o chi ha contatti regolari con l'ente, e i dati non siano comunicati all'esterno senza consenso.

Ecco il punto da non perdere: la lettera d) è scritta per gli enti con quelle finalità (un'associazione religiosa, un sindacato, un'associazione politica). Un'associazione di volontariato sociale o sanitario, di regola, non ci rientra e per i dati sulla salute deve quindi cercare un'altra base, spesso il consenso esplicito.

C'è poi un secondo livello, tutto italiano. Il Garante ha adottato il provvedimento n. 146 del 5 giugno 2019 (prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell'art. 21, c. 1, del D.Lgs. 101/2018), che dedica una sezione alle associazioni, agli enti del Terzo settore, alle fondazioni e ai comitati. Tra le regole che interessano a voi:

• i dati dei soci possono essere comunicati ad altri soci senza consenso solo se lo statuto o l'atto costitutivo lo prevede e se l'informativa spiega come;
• per questioni che riguardano solo la sfera personale di un socio, serve una comunicazione individuale, con attenzione a non far arrivare informazioni a chi non deve;
• la comunicazione all'esterno e la diffusione richiedono il consenso, un'informativa preventiva su destinatari e finalità, e che i dati siano strettamente pertinenti;
• i dati di familiari e conviventi si trattano solo se strettamente indispensabili.

Una cautela: il provvedimento è stato modificato dal Garante nel 2025 (provvedimento n. 66 del 13 febbraio 2025, richiamato nella pagina ufficiale, di cui qui non descriviamo il contenuto). Prima di basarvi su un punto specifico, leggete la versione aggiornata sul sito del Garante.

Serve un responsabile della protezione dei dati (DPO)?

Di regola no. L'art. 37, par. 1, impone di designare un DPO in tre casi: il trattamento è effettuato da un'autorità o organismo pubblico; le attività principali consistono in un monitoraggio regolare e sistematico degli interessati su larga scala; le attività principali consistono nel trattamento su larga scala di categorie particolari di dati o di dati su condanne penali e reati.

Per un'associazione che tiene l'elenco dei propri soci e dei propri volontari, nessuna delle tre ipotesi è di norma integrata. Il discrimine è "larga scala", e qui è onesto dire che il Regolamento non indica un numero: l'ente che gestisce sistematicamente i dati sanitari di migliaia di persone assistite non è nella stessa posizione di una Pro Loco. In caso di dubbio, la scelta prudente è documentare per iscritto perché ritenete di non essere obbligati.

Che cosa si fa se si perdono o si diffondono dati per errore?

Un computer rubato con l'elenco dei soci, un foglio di calcolo inviato per errore a tutta la mailing list, una chiavetta persa con i certificati medici dei volontari: sono tutte violazioni dei dati personali. L'art. 33, par. 1, prevede che il titolare notifichi la violazione al Garante senza ritardo e, se possibile, entro 72 ore da quando ne è venuto a conoscenza, a meno che sia improbabile che comporti un rischio per i diritti e le libertà delle persone. Se superate le 72 ore, la notifica deve spiegare il motivo del ritardo.

Anche quando non notificate, è buona norma annotare l'accaduto in un registro interno delle violazioni, con la valutazione che avete fatto.

Quali sono i rischi se non faccio niente?

Il Regolamento prevede sanzioni amministrative pecuniarie molto alte: per le violazioni dei principi di base del trattamento e delle disposizioni sulle categorie particolari, l'art. 83, par. 5, fissa un tetto di 20 milioni di euro o del 4% del fatturato mondiale annuo. È un massimo, non una tariffa: il Garante gradua la sanzione in base a gravità, durata, natura dell'ente e collaborazione. Il provvedimento del 2019 richiama proprio l'art. 83, par. 5, per le violazioni delle sue prescrizioni.

Il rischio più concreto per una piccola associazione, però, non è la multa: è il reclamo di un socio o di un volontario dopo uno screzio, o l'imbarazzo di un elenco che finisce nelle mani sbagliate. Un'informativa consegnata e un registro compilato sono la vostra prima difesa.

Che cosa potete fare, subito, in dieci passi?

1. Elencate i luoghi in cui conservate dati personali: cartelle, fogli di calcolo, gruppi di messaggistica, moduli cartacei.
2. Per ogni elenco, annotate chi vi ha accesso e perché.
3. Preparate un'informativa unica per soci e una per volontari, da consegnare insieme alla domanda di ammissione.
4. Separate i dati particolari (certificati, allergie) dal resto e limitate l'accesso.
5. Verificate che lo statuto preveda la comunicazione dei dati fra soci, se la fate.
6. Distinguete le autorizzazioni facoltative (newsletter, foto) con caselle separate.
7. Decidete per quanto tempo conservate i dati dei soci cessati e dei volontari (vedi la guida sulla conservazione dei documenti).
8. Compilate un registro dei trattamenti, anche semplice.
9. Stabilite chi fa che cosa in caso di violazione e dove annotarla.
10. Per i volontari minorenni, ricordate le regole su età e consenso: ne parliamo nella guida sui volontari minorenni.

Come aiuta un gestionale?

Un gestionale non rende conforme l'associazione al posto vostro: la responsabilità resta del titolare. Può però ridurre i rischi più comuni: un'unica anagrafica anziché dieci fogli sparsi, accessi distinti per chi ha ruoli diversi, un solo punto dove cancellare o rettificare un dato. Nelle pagine dei moduli soci e volontari vedete come SempliCo organizza queste informazioni, e nella sezione modelli trovate i documenti da cui partire.

Dove le letture divergono

In sintesi, i tre punti su cui non c'è una risposta univoca: se il registro dei trattamenti sia dovuto da un'associazione piccola (la lettura prudente dice di sì, per il carattere non occasionale dei trattamenti); che cosa significhi "larga scala" per il DPO; e quanto del provvedimento del 2019 sia stato modificato dall'intervento del 2025. Questa guida riporta le norme e le indicazioni del Garante, non è consulenza legale: per il vostro caso concreto confrontatevi con un consulente privacy.