Prima di progettare un modulo di segnalazione sul sito web di un Ente del Terzo settore occorre stabilire che cosa lo legittima a riceverlo.
Nei servizi di ascolto per soggetti vulnerabili la scelta della base giuridica è tutt’altro che scontata: il consenso è strutturalmente fragile per lo squilibrio di potere e la condizione di timore in cui versa l’interessato; la deroga prevista per gli organismi senza scopo di lucro ha un ambito molto più ristretto di quanto si creda.
Peraltro, il riferimento all’interesse pubblico rilevante richiede un aggancio normativo che non tutti gli Enti possiedono.
A ciò si somma il vincolo dell’art. 10 GDPR sui dati relativi a reati.
Il secondo capitolo di un’esalogia, dedicata alla protezione dei dati personali nei servizi di ascolto e segnalazione per soggetti vulnerabili, ricostruisce le opzioni realmente disponibili e chiarisce la distribuzione dei ruoli lungo la catena.
Indice degli argomenti
Il consenso, qui, è la scelta peggiore: ecco perché
L’art. 4, n. 11, definisce il consenso come manifestazione “libera, specifica, informata e inequivocabile”; l’art. 9, paragrafo 2, lett. a), ne richiede la forma esplicita per le categorie particolari di dati personali.
Il problema è la libertà. Il considerando 42 stabilisce che il consenso non è validamente prestato se l’interessato non dispone di “una scelta autenticamente libera”; il considerando 43 aggiunge che esso non costituisce valido presupposto “in tutti i casi in cui esista un evidente squilibrio tra l’interessato e il titolare del trattamento”.
Una persona che teme per la propria incolumità, che dipende economicamente dal segnalato o che si trova in stato di dipendenza patologica non è nella posizione di negoziare.
Si aggiunge l’art. 7, paragrafo 3 GDPR: il consenso è revocabile in qualsiasi momento e con la stessa facilità con cui è stato prestato.
Quindi, un servizio che fondasse sul consenso l’intero trattamento si troverebbe, al momento della revoca, privo di titolo per conservare un fascicolo che può essere necessario alla tutela della persona o alla difesa dell’Ente.
Il consenso dal servizio
Ciò non significa espungere il consenso dal servizio.
Significa collocarlo dove svolge una funzione propria. Non come base del trattamento, ma come atto di autorizzazione specifica alla trasmissione della segnalazione a un soggetto determinato – la comunità terapeutica, il servizio per le dipendenze, la rete territoriale – quando tale trasmissione non sia imposta da un obbligo di legge.
Le basi giuridiche realmente utilizzabili
Sul piano dell’art. 6 GDPR la combinazione più solida per un Ente non profit è quella fra la lett. c) (obbligo legale) per gli adempimenti di segnalazione, la lett. d) (interessi vitali) per le situazioni di emergenza e la lett. e) (interesse pubblico o esercizio di pubblici poteri) per gli enti che operano in convenzione.
Il legittimo interesse ex lett. f) è astrattamente invocabile per la sola gestione del canale, ma va usato con prudenza e sempre documentato con un test di bilanciamento (c.d. LIA).
È però sull’art. 9 del egolamento Generale sulla Protezione dei Dati che si gioca la partita, e conviene esaminare le deroghe al divieto di trattamento delle particolari categorie di dati una per una.
La lett. c) – interessi vitali dell’interessato “qualora l’interessato si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso” – copre le situazioni di emergenza ed è confortata dal considerando 46, che riconosce come alcuni trattamenti possano rispondere sia a motivi di interesse pubblico sia agli interessi vitali.
È una base per l’emergenza ma non per l’ordinaria operatività.
La lettera d)
La lett. d) è quella che viene invocata più spesso e a torto.
Riguarda i trattamenti effettuati da “una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali”, limitatamente ai membri, agli ex membri o a chi abbia contatti regolari con l’Ente e senza comunicazione all’esterno.
Finalità assistenziali e sociali
Le finalità assistenziali e sociali non compaiono nell’elenco. Un centro antiviolenza laico non rientra nella deroga per il solo fatto di essere un Ente non profit. Il considerando 51, che valorizza la specifica protezione dovuta a questi dati, conferma la lettura restrittiva.
Enti sindacali
L’unico possibile spazio di manovra potrebbe essere riservato agli enti sindacali quando la segnalazione riguarda una condizione di sfruttamento dei lavoratori fermo restando la necessaria presenza di “contatti regolari” che risultano inverosimili nel caso in esame.
I ruoli
Occorre definire il quadro dei ruoli con la stessa cura.
L’Ente che decide finalità e mezzi del servizio è titolare ex art. 4, n. 7.
Sono responsabili ex art. 4, n. 8, e vanno vincolati con contratto ai sensi dell’art. 28, paragrafo 3, tutti i fornitori che trattano dati per suo conto: hosting, gestore del centralino o del numero verde, piattaforma di gestione delle segnalazioni, servizio di trascrizione automatica, fornitore di posta elettronica.
Quando due o più enti determinano congiuntamente finalità e mezzi – è il caso frequente delle reti territoriali e dei protocolli operativi, che vedono coinvolti più enti all’interno della medesima convenzione – si configura una contitolarità ex art. 26 GDPR, che impone un accordo interno che definisca in modo trasparente le rispettive responsabilità, con particolare riguardo all’informativa e all’esercizio dei diritti; il considerando 79 GDPR ne indica la ratio.
I criteri di qualificazione
Le Linee guida EDPB 07/2020 sulle nozioni di titolare e responsabile forniscono i criteri di qualificazione.
Un chiarimento che evita molti errori: le forze di polizia e l’autorità giudiziaria, quando ricevono la segnalazione, non sono responsabili né contitolari, ma titolari autonomi, e operano peraltro nell’ambito della Direttiva (UE) 2016/680, recepita con il D.lgs. 51/2018.
Lo stesso vale per il servizio per le dipendenze e per l’azienda sanitaria.
Verso di essi non si “condivide” un trattamento: si effettua una comunicazione di dati, che richiede una propria base giuridica, che va documentata e che può essere l’obbligo legale, gli interessi vitali dell’interessato o l’interesse pubblico o esercizio di pubblici poteri.
Il segnalante deve essere informato della comunicazione dei suoi dati a soggetti terzi che operano come titolari autonomi.
La lett. g)
La lett. g) – motivi di interesse pubblico rilevante – richiede una base nel diritto dell’Unione o nazionale. In Italia l’aggancio è l’art. 2-sexies del Codice Privacy, il cui comma 2 include alla lett. s) le “attività socio-assistenziali a tutela dei minori e soggetti bisognosi, non autosufficienti e incapaci” e alla lett. u) i compiti del Servizio sanitario nazionale.
È la strada naturale per gli enti che operano su convenzione o accreditamento con soggetti pubblici; invece, è più incerta per l’Ente puramente privato che agisce di propria iniziativa.
Un esempio
Peraltro un Ente potrebbe operare in entrambi i contesti. Per esempio, il caso di un Ente religioso che ha fornisce, come finalità propria autonoma supporto a soggetti vulnerabili ed al contempo ha ottenuto un finanziamento da parte di un Ente per gestire un centro antiviolenza.
La lett. h) copre le finalità di “medicina preventiva, diagnosi, assistenza o terapia sanitaria o sociale”, ma opera solo alle condizioni del paragrafo 3: il trattamento deve essere effettuato da o sotto la responsabilità di un professionista soggetto al segreto professionale.
Per gli enti che si avvalgono di assistenti sociali, psicologi, educatori professionali, legali – vincolati al segreto ex art. 622 c.p. e dalle rispettive discipline ordinistiche – questa è spesso la base più solida e va letta insieme all’art. 2-septies del Codice Privacy sulle misure di garanzia.
La lettera f)
La lett. f), infine, legittima il trattamento necessario all’accertamento, esercizio o difesa di un diritto in sede giudiziaria: copre la conservazione del fascicolo a fini difensivi, non la raccolta ordinaria.
Il collo di bottiglia: l’art. 10 GDPR
Qui si colloca il vincolo più severo, e va detto con chiarezza perché è quello che la prassi ignora più spesso.
Ogni segnalazione che descriva una condotta penalmente rilevante attribuita a una persona determinata contiene potenzialmente dati “relativi a condanne penali e reati o a connesse misure di sicurezza”.
L’art. 10 GDPR consente il loro trattamento solo sotto il controllo dell’autorità pubblica oppure quando sia autorizzato dal diritto dell’Unione o dello Stato membro “che preveda garanzie appropriate per i diritti e le libertà degli interessati”.
L’art. 2-octies del Codice specifica che tale trattamento è consentito se autorizzato da una norma di legge o, nei casi previsti dalla legge, di regolamento che individuino le finalità di rilevante interesse pubblico, i tipi di dati e le operazioni eseguibili.
Ne discendono conseguenze operative precise.
Le conseguenze operative
Un Ente che raccoglie strutturalmente accuse nominative senza alcun aggancio normativo si espone a un rilievo di illiceità che nessuna misura di sicurezza sana.
Le vie percorribili sono sostanzialmente tre:
- operare in convenzione o protocollo con soggetti pubblici, così da acquisire l’aggancio normativo;
- impostare la raccolta in funzione dell’assistenza alla persona anziché dell’accertamento del reato, minimizzando i dati identificativi del segnalato a quanto strettamente indispensabile;
- trasmettere tempestivamente all’autorità competente, riducendo il tempo in cui il dato resta nella disponibilità dell’Ente. In questo caso il segnalante deve essere informato che la sua segnalazione verrà trasmessa all’autorità compente e questo potrebbe risultare un deterrente potenzialmente rilevante.
Per le segnalazioni riconducibili al D.lgs. 24/2023 (Decreto Whistleblowing) il problema si pone in termini diversi, perché quella normativa costituisce essa stessa la base che l’art. 10 richiede.
Chi è titolare o responsabile e chi non è né l’uno né l’altro
Il quadro dei ruoli va definito con la stessa cura.
L’Ente che decide finalità e mezzi del servizio è titolare ex art. 4, n. 7.
Sono responsabili ex art. 4, n. 8, e vanno vincolati con contratto ai sensi dell’art. 28, paragrafo 3, tutti i fornitori che trattano dati per suo conto: hosting, gestore del centralino o del numero verde, piattaforma di gestione delle segnalazioni, servizio di trascrizione automatica, fornitore di posta elettronica.
Quando due o più enti determinano congiuntamente finalità e mezzi – è il caso frequente delle reti territoriali e dei protocolli operativi, che vedono coinvolti più enti all’interno della medesima convenzione – si configura una contitolarità ex art. 26 GDPR, che impone un accordo interno che definisca in modo trasparente le rispettive responsabilità, con particolare riguardo all’informativa e all’esercizio dei diritti; il considerando 79 GDPR ne indica la ratio.
Le linee guida EDPB 07/2020 sulle nozioni di titolare e responsabile forniscono i criteri di qualificazione.
Un chiarimento che evita molti errori: le forze di polizia e l’autorità giudiziaria, quando ricevono la segnalazione, non sono responsabili né contitolari, ma titolari autonomi, e operano peraltro nell’ambito della Direttiva (UE) 2016/680, recepita con il D.lgs. 51/2018.
Lo stesso vale per il servizio per le dipendenze e per l’azienda sanitaria.
Servizio per le dipendenze e per l’azienda sanitaria
Verso di essi non si “condivide” un trattamento, si effettua una comunicazione di dati.
Essa richiede una propria base giuridica, che richiede documentazione e che può essere l’obbligo legale, gli interessi vitali dell’interessato o l’interesse pubblico o esercizio di pubblici poteri.
Il segnalante deve essere informato della comunicazione dei suoi dati a soggetti terzi che operano come titolari autonomi.
Accompagnamento adeguato e tutela effettiva
In questa fase, la trasparenza è decisiva: si mette l’interessato nelle condizioni di comprendere chi riceverà le informazioni, per quale finalità e con quali garanzie.
Allo stesso tempo, l’informativa deve essere calibrata con attenzione, così da non compromettere la qualità della gestione della segnalazione.
È infatti possibile che si renda necessario un approfondimento con il segnalante – per esempio tramite uno sportello dedicato o con il supporto di figure professionali quali psicologi, legali o altri specialisti – per assicurare un accompagnamento adeguato e una tutela effettiva.
L’obiettivo è quindi quello di fornire un’informazione corretta, completa e comprensibile, senza rinunciare alle migliori garanzie di protezione, riservatezza e sostegno nella gestione dell’intera segnalazione.
Due adempimenti che talvolta i piccoli enti considerano non dovuti
Vale la pena segnalare due conseguenze che sorprendono le organizzazioni di dimensioni contenute.
La prima: l’esonero dal registro delle attività di trattamento previsto dall’art. 30, paragrafo 5, per le imprese e organizzazioni con meno di 250 dipendenti non opera quando il trattamento riguarda categorie particolari di dati o dati di cui all’art. 10, né quando il trattamento di dati personali non è occasionale. Un’associazione con tre dipendenti che gestisce un “bottone di aiuto” è quindi tenuta al registro.
La seconda: l’art. 37, paragrafo 1, lett. b) e c), impone la designazione del responsabile della protezione dei dati (DPO) quando le attività principali consistono in trattamenti su larga scala di categorie particolari o di dati relativi a reati.
La valutazione sulla “larga scala” è da condurre caso per caso, ma per un Ente la cui attività principale o una delle attività è proprio l’ascolto di soggetti
vulnerabili la conclusione affermativa è tutt’altro che remota.
Data Protection, la liceità dei servizi di ascolto
In conclusione, la liceità dei servizi che abbiamo descritto non si costruisce con una casella di spunta, ma con una scelta motivata e documentata:
- art. 9, paragrafo 2, lett. h) GDPR, in combinazione con il paragrafo 3 per gli enti che operano con professionisti vincolati al segreto;
- art. 9, lett. g) General Data Protection Regulation e art. 2-sexies, comma 2, lett. s) Codice Privacy, per chi opera in convenzione;
- art. 9, lett. c) Regolamento Generale sulla Protezione dei Dati per l’emergenza; consenso esplicito relegato alla funzione di autorizzazione alla trasmissione.
Sul fronte dell’art. 10 non esistono scorciatoie: o si dispone di un aggancio normativo o si riduce drasticamente ciò che si conserva sul segnalato
Nel prossimo articolo scenderemo sul piano della progettazione tecnica del canale.
Vedremo che cosa impongono in concreto gli artt. 25 e 32 GDPR e il considerando 78 e perché la presenza di strumenti di misurazione di terze parti sulla pagina di aiuto pone un problema di art. 122 del Codice Privacy prima ancora che di trasferimenti; e perché la misura di sicurezza più importante di tutte riguarda il dispositivo che la vittima ha in mano.
DICHIARAZIONE
Questo articolo è stato elaborato con il supporto di sistemi di intelligenza artificiale; ideazione, contenuti, valutazioni e conclusioni sono frutto del lavoro intellettuale degli autori, che li hanno verificati e ne assumono la piena responsabilità editoriale (art. 50 Reg. UE 2024/1689 – AI Act; legge 23 settembre 2025, n. 132).
Partecipa alla community