Fino ad oggi, prassi e interpretazione diffuse (ma non univoche) condivise, anche presso associazioni di categoria degli amministratori di condominio, hanno ritenuto che la funzione svolta da tale professionista in materia di trattamento di dati personali fosse quella di responsabile del trattamento, agendo su incarico dell’assemblea condominiale, titolare effettivo del trattamento.
Ma la privacy è materia in continua evoluzione e ciò risulta evidente anche riguardo alla privacy nei condomini.
Indice degli argomenti
Privacy nei condomini: la nuova visione del Garante
Con provvedimento n. 209/2025, il Garante ha avviato una consultazione pubblica – aperta a contributi entro 30 giorni a partire dall’avviso pubblicato il 9 maggio sulla G.U., su un “Documento di indirizzo” che riguarda la privacy nei condomini.
Propone una nuova ricostruzione dei ruoli privacy nell’ecosistema condominiale, che si può così sintetizzare:
- titolare del trattamento = condominio, per i trattamenti deliberati in assemblea;
- titolare del trattamento = amministratore, per trattamenti imposti dalla legge (per esempio, tenuta dei registri obbligatori);
- responsabile del trattamento = amministratore, quando opera su mandato dell’assemblea;
- titolare autonomo = amministratore, per attività extra-mandato (per esempio, nella gestione del personale del suo studio).
Questa impostazione chiarirebbe le responsabilità nei trattamenti dati, eviterebbe zone grigie e risponderebbe alle evoluzioni normative e giurisprudenziali sul concetto di “titolare”, alla luce della definizione funzionale fornita dal GDPR.
Il vademecum del 2013
Lato Garante, occorre ricordare il vademecum del 2013 (quindi prima dell’era GDPR) in cui, diversamente da quanto ora proposto in consultazione, si diceva “L’assemblea può decidere di designarlo [l’Amministratore] anche formalmente ‘responsabile del trattamento’ dei dati personali dei partecipanti al condominio (proprietari, locatari, usufruttuari), attribuendogli uno specifico ruolo in materia di privacy”.
Il nuovo orientamento del Garante Privacy
Il seguente intervento si propone di sottoporre a stress la nuova visione, con l’obiettivo di contribuire al dibattito interpretativo e al fine tuning del documento messo in consultazione che interesserà una gran parte dei condomini presenti in Italia (stimati in almeno 1.200.000 nel 2023; ai sensi dell’art. 1129 del c.c., la nomina dell’amministratore è obbligatoria in presenza di almeno otto condòmini).
Sappiamo che l’art. 4 del Regolamento UE 679/2016 sulla privacy (GDPR) specifica che il titolare del trattamento determina le finalità e i mezzi del trattamento.
Precisa, inoltre, che quando le finalità e i mezzi di tale trattamento sono determinati dal diritto UE o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell’Unione o degli Stati membri.
Inoltre, le Linee guida 7/2020 dell’EDPB (Organismo europeo che vede la partecipazione dei Garanti nazionali) hanno approfondito le connotazioni dei ruoli apicali di titolare e responsabile del trattamento, fornendo indicazioni ed esempi per l’assegnazione dei ruoli in sintonia con il GDPR (anche se manca una specifica per la figura in esame).
L’amministratore di condominio nel codice civile
Esaminando il ruolo, le responsabilità e le competenze dell’amministratore di condominio occorre far riferimento al codice civile, come riformato dalla legge 220/2012, in particolare agli artt. 1129 – 1131 e 1133 nonché all’art.71-bis delle disposizioni attuative del codice civile che disciplina i requisiti per svolgere tale attività. Attività che può essere configurata come un rapporto complesso che prende spunto dal mandato (art. 1703 cc) ma con una disciplina propria, in parte imperativa.
Le linee guida dell’EDPB
Nelle Linee guida, l’EDPB, fra le altre esemplificazioni, esamina quella del gestore del payroll, evidenziando come possa anche autonomamente definire alcune questioni riguardanti la procedura da seguire per l’elaborazione delle buste paga, senza che ciò faccia venire meno il ruolo di responsabile del trattamento.
Circa la figura del commercialista (società contabile) di una società, pure trattata, l’EDPB evidenzia come, in funzione del dettaglio delle istruzioni fornite dalla società cliente e dalla presenza o meno di obblighi specifici di legge, la società contabile potrebbe rivestire il ruolo di titolare o quello di responsabile del trattamento.
Similitudini in altri settori
Cercando similitudini su altri versanti, in ambito lavorativo, il Garante ha chiarito in varie occasioni (per es. pag 147 della Relazione annuale per il 2019) che il medico competente è titolare autonomo poiché agisce in base a obblighi normativi che attribuiscono direttamente a lui poteri decisionali sulla finalità dei trattamenti (esempio, giudizio di idoneità).
In particolare, i dati sanitari che gestisce non possono essere conosciuti e trattati dal datore di lavoro, che è titolare del trattamento dell’organizzazione per la quale il medico competente fornisce i suoi servizi specialistici.
Il caso del whistleblowing
La disciplina del whistleblowing di cui al D.lgs. 24/2023 prevede, con riguardo alla gestione del canale interno, particolari cautele ma comunque, il relativo gestore (il RPCT presso le PA) non è titolare del trattamento dei dati afferenti le segnalazioni.
Il ruolo dell’amministratore di condominio
Nel caso dell’amministratore di condominio si potrebbe affermare che, fatta salva la gestione del proprio studio:
- non ha finalità proprie (il suo ruolo è definito dalla legge) e opera per finalità afferenti al condominio;
- agisce per la gestione del condominio;
- i dati che gestisce, anche personali, non sono raccolti per finalità proprie ma del condominio.
Il nuovo documento del Garante prospetta però che in alcuni casi l’amministratore assume le vesti di titolare, come nel trattamento dei dati dell’anagrafe condominiale o della documentazione in suo possesso per adempiere agli obblighi di convocazione dell’assemblea.
Per valutare la questione può essere utile vagliare alcuni aspetti a favore e a sfavore della visione dell’amministratore condominiale come titolare del trattamento:
- alcuni obblighi sono imposti dalla legge direttamente all’amministratore: ma la finalità è sempre riferibile al condominio – non all’amministratore – unico soggetto che ha interesse giuridico diretto nella corretta gestione dei dati;
- l’amministratore ha margini operativi senza necessità di delibere assembleari: l’autonomia operativa non implica la determinazione autonoma della finalità del trattamento e, inoltre, é nominato e revocato dall’assemblea, cui rende conto;
- gestisce direttamente i dati, a volte con poteri decisionali sui mezzi: la scelta dei mezzi non basta a configurare titolarità se le finalità restano eterodirette (quelle di legge e quelle definite dall’assemblea condominiale);
- favorisce la chiarezza nei rapporti privacy tra le parti: ma può generare confusione giuridica e conflitto con la natura del mandato.
L’amministratore di condominio come responsabile del trattamento
Tali considerazioni inducono a inquadrare l’amministratore nella figura di responsabile del trattamento. Di più: andrebbe considerato che l’art. 1130-bis del codice civile prevede la possibilità che l’assemblea condominiale nomini, oltre all’amministratore, un consiglio di condominio con “funzioni consultive e di controllo” [dell’amministratore].
Da ciò si desume che l’amministratore non abbia piena autonomia e debba essere considerato un soggetto agente per conto del condominio al cui controllo sottoggiace.
Questa impostazione appare in coerenza con il sistema civilistico, in quanto l’amministratore di condominio non è un soggetto distinto dal condominio, ma ne è l’organo esecutivo.
Entrambi privi di soggettività giuridica propria, ancorché al condominio venga riconosciuta parzialmente come ente di gestione con soggettività limitata ai fini dell’amministrazione e rappresentanza delle parti comuni. Mentre l’amministratore svolge funzioni nell’interesse e sotto la direzione dell’assemblea, che resta il centro decisionale e il titolare delle finalità dei trattamenti.
Una delle opzioni percorribili
Quanto qui proposto rappresenta una delle opzioni percorribili, quantomeno la più lineare rispetto a una visione bipolare dell’amministratore che, a seconda dell’ambito di attività, ricopra le vesti di titolare e di responsabile.
Nel dibattito in corso, alcuni profili richiederebbero comunque un ulteriore approfondimento per garantire coerenza sistemica e applicabilità pratica dell’inquadramento dei ruoli privacy nel contesto condominiale.
Prima ipotesi: l’assemblea come titolare del trattamento
In primo luogo, la qualificazione dell’assemblea come titolare del trattamento merita una riflessione più puntuale.
Se infatti è vero che l’assemblea condominiale esprime l’indirizzo generale e approva delibere che possono comportare trattamenti di dati personali, è altrettanto vero che la gestione operativa e l’effettivo esercizio dei diritti privacy spettano materialmente all’amministratore.
Questo potrebbe generare un disallineamento tra il “centro decisionale” formale (l’assemblea) e la concreta capacità di attuare gli adempimenti previsti dal GDPR, come la gestione delle richieste di accesso o di cancellazione dei dati. Una governance più chiara di questa interazione sarebbe auspicabile.
L’amministratore come titolare autonomo per i trattamenti
In secondo luogo, l’ipotesi che l’amministratore sia considerato titolare autonomo per i trattamenti imposti direttamente dalla legge (per esempio, la tenuta dei registri obbligatori) richiederebbe di verificare attentamente se in tali attività esistano effettivi margini di autodeterminazione sulle finalità dei trattamenti.
In molte situazioni, infatti, l’amministratore esegue obblighi normativi che rimangono comunque funzionali alla gestione condominiale e ai fini perseguiti dal condominio stesso, piuttosto che a interessi autonomi dell’amministratore.
Infine, occorre considerare le possibili criticità applicative della distinzione proposta dal Garante.
L’introduzione di una qualificazione “a geometria variabile” del ruolo dell’amministratore – a seconda delle singole attività svolte – rischia di complicare la redazione delle informative, la stipula di atti di designazione ai sensi dell’art. 28 GDPR e la gestione documentale e contrattuale trale parti.
Inoltre, nella pratica quotidiana, la distinzione tra trattamenti “su mandato” e trattamenti “autonomi” non sempre appare così netta, specie nei piccoli condomìni, dove i processi sono spesso gestiti con un approccio unitario.
Linee guida operative
Per tali ragioni, appare opportuno che eventuali evoluzioni dell’indirizzo interpretativo siano accompagnate da linee guida operative chiare e da una riflessione sulle modalità con cui tali modelli possano essere agevolmente applicati dagli amministratori e compresi dagli stessi condomini:
- un chiarimento esplicito sui ruoli aiuterebbe anche a definire meglio i profili di responsabilità civile e privacy (ad es. nel caso di “titolarità” distribuite chi è responsabile in caso di data breach? Il condominio o l’amministratore in veste di titolare?);
- una titolarità “a geometria variabile” potrebbe essere poco sostenibile nei condomìni di piccola dimensione. In tali casi sarebbe opportuno adottare, secondo un principio di proporzionalità, soluzioni semplificate per i contesti meno complessi.
Il supercondominio
A rendere ancora più complesso il quadro è la fattispecie del supercondominio, che si desume dall’art. 117 bis del c.c. (e dall’art. 67 delle relative disposizioni attuative): si riferisce a una particolare configurazione di più edifici o complessi condominiali, dotati di autonome gestioni ma accomunati da beni e servizi comuni, che possono essere gestiti unitariamente per quanto attiene a determinate funzioni (per esempio, vialetti, spazi verdi, impianti centralizzati, portineria).
Dal punto di vista privacy, l’estensione di quanto previsto nel documento di indirizzo del Garante al contesto del supercondominio solleva questioni ulteriori. Infatti, nel supercondominio coesistono più condomini – quali soggetti formalmente titolari del trattamento per le rispettive gestioni ordinarie -, mentre il supercondominio rappresenta una sovrastruttura di coordinamento che delibera tramite un’apposita assemblea dei rappresentanti dei vari condomini.
Ciò comporta che i trattamenti di dati personali relativi alla gestione delle parti comuni supercondominiali (dati dei rappresentanti, delle imprese appaltatrici, dei fornitori, eventuali dati raccolti tramite sistemi di videosorveglianza comuni eccetera) dovrebbero essere ricondotti a un titolare definito.
In linea con l’orientamento del Garante, la titolarità di tali trattamenti dovrebbe essere attribuita al supercondominio, inteso come ente di gestione per le parti comuni superiori, rappresentato dall’assemblea dei rappresentanti ovvero, almeno in parte, al relativo amministratore, seguendo il nuovo approccio del Garante.
Il caso dei super-amministratori
Il super-amministratore potrebbe infatti trovarsi a trattare dati personali per adempimenti imposti direttamente dalla legge (per esempio, tenuta dei registri delle delibere, conservazione della documentazione amministrativa), per i quali, secondo la prospettiva in consultazione, potrebbe assurgere al ruolo di titolare autonomo.
Anche qui, però, andrebbe considerato che tali trattamenti, pur formalmente imposti all’amministratore, rimangono sostanzialmente funzionali alla gestione dell’ente supercondominiale e non a finalità autonome dell’amministratore stesso.
Di conseguenza, appare opportuno che anche per i supercondomini si persegua un’impostazione semplificata e sistemica, con una chiara designazione dell’amministratore come responsabile del trattamento e con informative adeguate, così da evitare complessità non necessarie e garantire la compliance sostanziale alle norme privacy.
Ridefinire i ruoli privacy nei condomini
Alla luce del nuovo orientamento proposto dal Garante, emerge con chiarezza l’esigenza di ridefinire i ruoli privacy nel contesto condominiale (e supercondominiale) in modo coerente, sistematico e applicabile senza farraginosità.
L’adozione di un modello che distingua rigidamente tra titolarità e responsabilità, a seconda della natura dei trattamenti, seppur possa avere teorici fondamenti, rischia, se non correttamente declinata, di introdurre incertezze operative e complicazioni gestionali, specie nei contesti più piccoli e meno strutturati.
Appare quindi auspicabile che le future evoluzioni dell’indirizzo interpretativo vengano accompagnate da linee guida chiare e differenziate per contesti semplici e complessi, assicurando così un’applicazione uniforme e sostenibile del GDPR e del Codice privacy nel vasto e articolato panorama condominiale italiano.
L’importanza del rispetto del GDPR e del Codice privacy
Quale sia la scelta finale, l’importante è che i soggetti coinvolti operino nel rispetto del GDPR e del Codice privacy e quindi, in particolare, che:
- la nomina (anche solo per alcuni aspetti) dell’amministratore a responsabile del trattamento venga definita mediante un atto coerente con l’art. 28 del Regolamento europeo per la protezione dei dati personali;
- vengano elaborate le necessarie informative sui trattamenti di dati personali che interessano il condominio, anche lato amministratore se validata la sua considerazione come titolare per alcune attività.
Infine, vi sono due considerazioni più generali indotte dalla questione posta in consultazione dal Garante:
- sarebbe auspicabile che, per il futuro, il legislatore, in occasione di riforme o normative di settore ove il trattamento di dati personali sia implicito o necessario, precisi esplicitamente ruoli privacy dei soggetti coinvolti, demandando all’Autorità di settore gli aspetti tecnici per impostare processi privacy compliant. Ciò anche alla luce dell’art. 4.7 del GDPR secondo cui, “quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell’Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell’Unione o degli Stati membri”;
- per quanto attiene all’EDPB, laddove le legislazioni nazionali o le posizioni dei Garanti fossero difformi, dovrebbe promuovere un percorso di omogeneizzazione, in modo da evitare situazioni che possono creare incertezza giuridica e disallineamenti nell’applicazione del GDPR a parità di fattispecie giuridiche.
