Alessio Cipollone

📌 Aggiornamenti più recenti

Piano ispettivo del Garante per il 1° semestre 2026: tra le aree prioritarie figurano la gestione dei data breach, le segnalazioni whistleblowing e il telemarketing. Per gli ETS strutturati (soprattutto quelli con canale whistleblowing) è un segnale chiaro di attenzione.
Provvedimento del Garante n. 451 del 4 agosto 2025: il piano ispettivo del secondo semestre 2025 aveva già messo nel mirino data breach, gestione delle segnalazioni whistleblowing e dossier sanitario.
Settembre 2025: il Garante ha sanzionato un asilo nido per il trattamento illecito di dati di minori, segnale dell’attenzione crescente sui dati dei soggetti vulnerabili, terreno tipico di molti ETS.
Novembre 2025: provvedimenti su sistemi biometrici adottati senza DPIA (valutazione d’impatto) e senza coinvolgimento del DPO. La DPIA si conferma adempimento decisivo per i trattamenti ad alto rischio.
Data breach: resta fermo l’obbligo di notifica al Garante entro 72 ore dalla scoperta (art. 33 GDPR), con comunicazione anche agli interessati nei casi di rischio elevato. Le sanzioni per omessa notifica possono arrivare a 10 milioni di euro o al 2% del fatturato.

Perché la privacy non è un tema “da grandi organizzazioni”

C’è un equivoco diffuso nel Terzo Settore: pensare che il GDPR riguardi solo le grandi aziende o gli enti pubblici, e che una piccola associazione possa cavarsela con un modulo di consenso scaricato da internet. È un errore che può costare caro, perché il Regolamento UE 2016/679 (GDPR) si applica a chiunque tratti dati personali, indipendentemente dalle dimensioni: una ODV con cinque volontari è titolare del trattamento esattamente come una grande fondazione.

E gli ETS, per la natura stessa della loro attività, trattano dati particolarmente delicati: informazioni su beneficiari (spesso soggetti vulnerabili: minori, anziani, persone con disabilità, persone in difficoltà), su volontari, su donatori, su dipendenti e collaboratori. Molti di questi sono dati “particolari” ai sensi dell’art. 9 GDPR (salute, convinzioni religiose, opinioni politiche), che godono di una protezione rafforzata.

Questa guida, fa il punto su cosa deve fare concretamente un ETS per essere a norma, senza inutili allarmismi ma senza nascondere gli obblighi reali.

I ruoli privacy in un ETS: chi è chi

Prima degli adempimenti, è essenziale capire i ruoli, perché da questi derivano le responsabilità.

Titolare del trattamento: è l’ETS stesso (rappresentato dal legale rappresentante), che determina finalità e modalità del trattamento dei dati. È il soggetto su cui gravano gli obblighi principali e le responsabilità.
Responsabile del trattamento: il soggetto esterno che tratta dati per conto dell’ETS (il commercialista, il gestore del software, la società che invia le newsletter, il consulente del lavoro). Con ciascuno di essi va stipulato un contratto ex art. 28 GDPR.
Soggetti autorizzati: le persone che, sotto l’autorità del titolare, trattano i dati (dipendenti, volontari incaricati). Vanno designati e istruiti.
DPO / RPD (Responsabile della Protezione dei Dati): figura obbligatoria solo in certi casi (vedi sotto), facoltativa ma utile negli altri.
Interessato: la persona fisica a cui i dati si riferiscono (il beneficiario, il volontario, il donatore).

💡 Punto chiave: il legale rappresentante dell’ETS, in quanto titolare del trattamento, è il primo responsabile della conformità privacy. È un’altra delle aree di responsabilità del presidente di cui abbiamo parlato in un altro approfondimento del blog. Non è delegabile la responsabilità, anche se la gestione operativa può essere affidata a collaboratori o consulenti.

Gli adempimenti privacy concreti per un ETS

Vediamo, in ordine operativo, cosa deve effettivamente fare un ETS per essere a norma.

1. Le informative

L’ETS deve rilasciare un’informativa sulla privacy (artt. 13-14 GDPR) a tutte le persone di cui tratta i dati: soci e iscritti (l’informativa va inclusa nel modulo di iscrizione), volontari, dipendenti, collaboratori, donatori, fornitori, beneficiari. L’informativa spiega chi tratta i dati, per quali finalità, con quali basi giuridiche, per quanto tempo, e quali diritti ha l’interessato.

2. Le basi giuridiche e il consenso

Non sempre serve il consenso: il GDPR prevede diverse basi giuridiche (esecuzione di un contratto, obbligo legale, legittimo interesse). Per gli enti associativi esiste una previsione specifica (art. 9 par. 2 lett. d GDPR): il trattamento dei dati particolari dei propri membri da parte di associazioni e fondazioni senza scopo di lucro, nell’ambito delle legittime attività, è ammesso a determinate condizioni, purché i dati non siano comunicati all’esterno senza consenso. Il consenso esplicito resta necessario per finalità ulteriori, come l’invio di newsletter o comunicazioni promozionali.

3. Il registro delle attività di trattamento

È uno degli adempimenti più importanti e più trascurati. Ogni ETS deve predisporre e tenere aggiornato il registro dei trattamenti (art. 30 GDPR): un documento che mappa tutti i trattamenti effettuati (quali dati, per quali finalità, chi vi accede, tempi di conservazione, misure di sicurezza). Va esibito in caso di controlli. Anche se l’art. 30 prevede formalmente alcune esenzioni per realtà sotto i 250 dipendenti, queste non si applicano quando si trattano dati particolari o dati di soggetti vulnerabili in modo non occasionale: ed è esattamente il caso della maggior parte degli ETS. In pratica, il registro è di fatto necessario per quasi tutti gli enti del Terzo Settore.

4. I contratti con i responsabili esterni (art. 28)

Con tutti i soggetti esterni che trattano dati per conto dell’ETS (commercialista, gestore software gestionale, piattaforma di email marketing, consulente del lavoro, società di manutenzione IT) va stipulato il contratto di nomina a responsabile del trattamento ex art. 28 GDPR. È un adempimento spesso dimenticato che emerge puntualmente nei controlli.

5. Le misure di sicurezza

L’ETS deve adottare misure tecniche e organizzative adeguate per proteggere i dati (art. 32 GDPR): password robuste, accessi profilati, backup, antivirus, cifratura dove necessaria, armadi chiusi per gli archivi cartacei. Le misure vanno commisurate al rischio: più i dati sono delicati, più alto deve essere il livello di protezione.

6. La procedura per i data breach

L’ETS deve dotarsi di una procedura di gestione delle violazioni di dati (data breach). In caso di violazione, scatta l’obbligo di notifica al Garante entro 72 ore dalla scoperta (art. 33 GDPR), e, nei casi di rischio elevato per gli interessati, anche la comunicazione agli interessati stessi. La gestione dei data breach è una delle priorità ispettive del Garante per il 2026: avere una procedura pronta non è un lusso.

7. La DPIA (valutazione d’impatto), quando serve

La DPIA (Data Protection Impact Assessment, art. 35 GDPR) è una valutazione d’impatto obbligatoria quando un trattamento presenta un rischio elevato per i diritti degli interessati. Per gli ETS, i casi tipici in cui può essere necessaria: trattamento su larga scala di dati sanitari o di altri dati particolari, monitoraggio sistematico, trattamento di dati di soggetti vulnerabili (minori, persone fragili). I provvedimenti del Garante del 2025 hanno sanzionato proprio l’assenza di DPIA in trattamenti ad alto rischio. Se il tuo ETS gestisce dati sanitari di beneficiari o dati di minori in modo strutturato, la DPIA va seriamente valutata.

Quando l’ETS deve nominare il DPO

La nomina del DPO (Data Protection Officer) non è obbligatoria per tutti gli ETS. Diventa obbligatoria (art. 37 GDPR) quando:

le attività principali dell’ente consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;
le attività principali consistono nel trattamento su larga scala di dati particolari (art. 9) o di dati relativi a condanne penali e reati (art. 10).

Per molti ETS che lavorano in modo strutturato con dati sanitari o di soggetti vulnerabili (si pensi a una cooperativa sociale che gestisce servizi sanitari o socio-assistenziali, o a una grande associazione che assiste persone con patologie), la nomina del DPO può scattare come obbligo. Per le realtà più piccole, resta facoltativa, ma può comunque essere una scelta di valore: il DPO è un punto di riferimento che aiuta a costruire e mantenere la conformità.

💡 Consiglio operativo: anche quando non è obbligatorio, individuare un referente privacy interno (o un consulente esterno) aiuta a non lasciare la materia priva di presidio. La privacy, come la sicurezza, è un’area dove l’improvvisazione si paga cara.

Il legame con whistleblowing, safeguarding e 231

La privacy non è un’isola: è il filo che attraversa tutti gli altri presìdi di compliance che abbiamo trattato in questo cluster di approfondimenti.

Con il whistleblowing: la gestione delle segnalazioni tratta dati delicatissimi (identità del segnalante, persone coinvolte, contenuti spesso sensibili). Le Linee Guida ANAC 2025 richiedono che la piattaforma whistleblowing sia progettata nel rispetto del principio di protezione dei dati fin dalla progettazione, spesso con una DPIA, e con il coinvolgimento del DPO. Non a caso, il Garante ha messo le segnalazioni whistleblowing tra le priorità ispettive 2026.

Con il safeguarding: i dati dei minori e dei soggetti vulnerabili tutelati dalle policy di safeguarding sono dati particolarmente protetti. Le immagini dei minori, in particolare, richiedono consensi specifici e una gestione attentissima. La sanzione del Garante a un asilo nido (settembre 2025) ricorda quanto sia sensibile quest’area.

Con la 231 e il codice etico: il modello 231 e il codice etico devono includere il presidio dei rischi connessi al trattamento dei dati (i reati informatici e i data breach possono avere rilevanza 231). Un data breach può comportare responsabilità 231 oltre alle violazioni GDPR.

💡 Punto chiave: costruire questi presìdi in modo coordinato (privacy, whistleblowing, safeguarding, 231, codice etico) anziché come documenti separati riduce i costi, evita contraddizioni e crea un vero sistema di compliance integrato. È l’approccio che consiglio agli ETS strutturati.

Le sanzioni: quanto si rischia davvero

Le sanzioni del GDPR sono tra le più severe dell’ordinamento. Per le violazioni più gravi si arriva fino a 20 milioni di euro o al 4% del fatturato mondiale annuo; per violazioni come l’omessa notifica di un data breach, fino a 10 milioni di euro o al 2% del fatturato. Per un ETS, anche una sanzione “ridotta” può essere devastante.

Va però detto, per equilibrio, che il Garante valuta la gravità in concreto e tiene conto della natura dell’ente, del carattere doloso o colposo, del numero di interessati coinvolti, delle misure adottate. Un piccolo ETS in buona fede che ha commesso una violazione minore non subirà sanzioni milionarie. Ma l’assenza totale di adempimenti, in caso di controllo o di segnalazione, espone a conseguenze concrete, oltre che a un danno reputazionale che per un ETS, che vive di fiducia, può essere il colpo più duro.

Casi pratici risolti

Caso 1 – APS che invia la newsletter ai soci e ai simpatizzanti

Situazione: una APS culturale invia una newsletter mensile ai soci e a una lista di simpatizzanti raccolti durante gli eventi.

Analisi: per i soci, l’invio di comunicazioni legate alla vita associativa può fondarsi sul rapporto associativo. Per l’invio a simpatizzanti e per finalità promozionali serve invece il consenso esplicito raccolto al momento dell’acquisizione del contatto, con informativa chiara. La lista va gestita con possibilità di disiscrizione semplice. Va inoltre stipulato il contratto ex art. 28 con la piattaforma di email marketing utilizzata.

Caso 2 – Cooperativa sociale che gestisce dati sanitari

Situazione: una cooperativa sociale gestisce servizi socio-sanitari e tratta dati sulla salute dei beneficiari in modo strutturato.

Analisi: profilo di rischio alto. Trattamento su larga scala di dati particolari (salute) di soggetti vulnerabili. Probabile obbligo di nomina del DPO (art. 37). Necessaria una DPIA (art. 35) per i trattamenti ad alto rischio. Misure di sicurezza rafforzate, registro dei trattamenti dettagliato, procedure data breach robuste, formazione del personale. È il profilo dove la conformità privacy va presa con la massima serietà.

Caso 3 – ODV che pubblica foto dei minori assistiti sui social

Situazione: una ODV che lavora con minori vuole pubblicare foto delle attività sui propri canali social per comunicare la propria missione.

Analisi: area delicatissima. Le immagini di minori richiedono il consenso esplicito di entrambi i genitori (o di chi esercita la responsabilità genitoriale), con informativa specifica sulle finalità e sui canali di pubblicazione. Va sempre valutata l’opportunità di pubblicare volti riconoscibili: spesso è preferibile usare foto di spalle, di dettaglio o sfocate. Il collegamento con il safeguarding è diretto: la tutela dell’immagine del minore è parte della sua protezione complessiva.

Caso 4 – Data breach: il gestionale viene violato

Situazione: una fondazione scopre che il proprio gestionale soci è stato violato da un attacco informatico e i dati di migliaia di sostenitori potrebbero essere stati esposti.

Analisi: scatta la procedura data breach. La fondazione deve valutare il rischio per gli interessati e, se sussiste, notificare il Garante entro 72 ore dalla scoperta (art. 33). Se il rischio è elevato, deve anche comunicarlo agli interessati (art. 34). Avere una procedura pronta e una documentazione delle misure adottate è ciò che distingue una gestione corretta (che attenua le conseguenze) da una gestione improvvisata (che le aggrava). La gestione dei data breach è priorità ispettiva del Garante 2026.

Le 4 domande operative più frequenti

La mia piccola associazione deve davvero adeguarsi al GDPR?

Sì. Il GDPR si applica a chiunque tratti dati personali, senza soglie dimensionali. Una piccola ODV o APS è titolare del trattamento e deve rispettare gli obblighi: informative, basi giuridiche corrette, registro dei trattamenti, misure di sicurezza, contratti con i responsabili esterni, procedura data breach. Gli adempimenti vanno dimensionati alla realtà dell’ente (una piccola associazione ha un sistema più semplice di una grande fondazione), ma non possono essere ignorati.

Devo nominare un DPO?

Dipende. La nomina del DPO è obbligatoria se l’ente, come attività principale, effettua monitoraggio sistematico su larga scala o tratta su larga scala dati particolari (salute, ecc.) o giudiziari. Molte cooperative sociali e grandi associazioni che gestiscono servizi sanitari o socio-assistenziali rientrano nell’obbligo. Per le realtà più piccole il DPO è facoltativo, ma individuare comunque un referente privacy (interno o esterno) è una buona pratica che aiuta a mantenere la conformità.

Posso pubblicare le foto degli eventi con i volontari e i beneficiari?

Solo con le dovute cautele. Per i volontari adulti serve il consenso all’uso dell’immagine, con informativa sulle finalità. Per i minori serve il consenso di chi esercita la responsabilità genitoriale, ed è sempre opportuno valutare se pubblicare volti riconoscibili. Per i beneficiari vulnerabili, massima prudenza: la dignità della persona viene prima dell’esigenza comunicativa. In tutti i casi, l’informativa deve specificare chiaramente dove e come le immagini saranno pubblicate.

Cosa devo fare se subisco un data breach?

Attivare immediatamente la procedura: contenere la violazione, valutare il rischio per gli interessati, documentare tutto. Se la violazione comporta un rischio per i diritti degli interessati, notificare il Garante entro 72 ore dalla scoperta. Se il rischio è elevato, comunicarlo anche agli interessati. Anche quando la notifica non è dovuta, la violazione va comunque annotata nel registro dei data breach interno. La tempestività e la documentazione delle misure sono decisive per attenuare le conseguenze.

Riferimenti normativi essenziali

Regolamento UE 2016/679 (GDPR): artt. 13-14 (informative), art. 9 (dati particolari), art. 28 (responsabili esterni), art. 30 (registro dei trattamenti), art. 32 (sicurezza), artt. 33-34 (data breach), art. 35 (DPIA), artt. 37-39 (DPO)
D.Lgs. 196/2003 (Codice Privacy), come modificato dal D.Lgs. 101/2018 di adeguamento al GDPR
Provvedimento Garante n. 451 del 4 agosto 2025: piano ispettivo II semestre 2025
Piano ispettivo Garante I semestre 2026: priorità su data breach e whistleblowing
Provvedimenti Garante 2025 in materia di DPIA, dati biometrici, dati di minori e data breach
Linee Guida ANAC n. 1/2025 sul whistleblowing (per il coordinamento privacy delle segnalazioni)

Vuoi mettere in regola la privacy del tuo ETS?

La conformità privacy è uno di quegli adempimenti che si tende a rimandare finché non arriva un controllo o, peggio, un data breach. Ma costruire un sistema privacy ordinato (informative, registro dei trattamenti, contratti con i fornitori, procedure data breach) non è complicato come sembra, se fatto con metodo e dimensionato sulla realtà del tuo ente. E se il tuo ETS tratta dati di minori o dati sanitari, o ha attivato un canale whistleblowing, alcuni adempimenti diventano davvero delicati. Se vuoi fare il punto sulla situazione del tuo ente e impostare la conformità nel modo giusto, scrivimi: partiamo da cosa tratti e da chi sono i tuoi interessati.

Il tuo ente ha già un sistema privacy strutturato, o è un fronte che hai lasciato indietro? Lascia un commento qui sotto con la tua situazione o il tuo dubbio, e condividi l’articolo con gli altri responsabili del tuo ente: la protezione dei dati è una responsabilità di tutta l’organizzazione.