Prescrizioni del Garante n. 680 del 13/11/2024

Associazione sportiva dilettantistica: diffusione illecita del verbale di radiazione in bacheca

Il Garante ha esaminato il reclamo presentato da un interessato nei confronti di un'associazione sportiva dilettantistica per la pubblicazione, tramite affissione in bacheca, del verbale del consiglio direttivo contenente la deliberazione di radiazione. Il procedimento trae origine dalla contestazione circa la diffusione di dati personali in un contesto potenzialmente accessibile anche a soggetti esterni all'associazione.

Fatti e origine del reclamo

Il reclamante lamentava che il verbale affisso sulla bacheca del circolo riportasse informazioni personali relative alla sua identità e alla carica ricoperta nell'associazione, oltre alla decisione di radiazione. L'Autorità ha svolto istruttoria chiedendo chiarimenti all'associazione sul presupposto di liceità del trattamento e sulla concreta accessibilità della bacheca.

Difese del titolare del trattamento

L'associazione ha sostenuto che:

• si trattava di un'associazione sportiva dilettantistica disciplinata dagli artt. 36 e ss. c.c.;
• i soci, al momento dell'iscrizione, ricevevano un'informativa sul trattamento dei dati personali;
• il trattamento era giustificato dal vincolo associativo e dallo statuto, che prevedeva forme di pubblicità degli atti interni;
• i dati trattati erano solo dati comuni, non appartenenti a categorie particolari;
• la pubblicazione era avvenuta per 15 giorni, come previsto dallo statuto, ed era stata poi rimossa;
• la bacheca si trovava in un'area riservata ai soci, dopo un tornello e un filtro di accesso.

Valutazioni del Garante sulla liceità della diffusione

Il Garante ha ribadito che, in ambito associativo, il trattamento dei dati personali deve essere ricondotto alle finalità determinate e legittime previste nell'atto costitutivo, nello statuto e negli eventuali atti deliberativi interni. In linea generale, i dati degli associati possono essere trattati quando ciò sia necessario per eseguire gli obblighi derivanti dal vincolo associativo e coerente con le finalità dell'ente.

Tuttavia, la diffusione del verbale in bacheca, collocata su una parete esterna del circolo e potenzialmente accessibile anche a soggetti esterni, è stata ritenuta non necessaria alle finalità statutarie e quindi non giustificabile né sulla base del legittimo interesse né sulla base del vincolo associativo. L'Autorità ha osservato che eventuali comunicazioni interne all'associazione avrebbero potuto essere realizzate con modalità meno invasive e limitate all'ambito associativo.

Presupposti di liceità esclusi

L'Autorità ha escluso in particolare:

• il consenso dell'interessato, quale base idonea per trattamenti di dati comuni al di fuori delle ordinarie comunicazioni interne;
• il legittimo interesse dell'associazione, in quanto non prevalente rispetto ai diritti e alle libertà fondamentali dell'interessato e non coerente con le ragionevoli aspettative derivanti dal rapporto associativo;
• la necessità del trattamento rispetto alle finalità statutarie, poiché la diffusione all'esterno eccedeva quanto strettamente necessario.

Violazioni accertate e norme richiamate

Il Garante ha quindi dichiarato illecito il trattamento per violazione dell'art. 6, par. 1, lett. a) e f), GDPR. Nel motivare la decisione, ha richiamato anche i principi di cui all'art. 5, par. 1, lett. b), c) ed e), GDPR, relativi a finalità, minimizzazione e limitazione della conservazione. È stato inoltre richiamato il considerando 47 sul legittimo interesse e sono stati citati precedenti provvedimenti adottati in casi analoghi.

Valutazione di gravità e risposta dell'Autorità

Pur in presenza di un trattamento illecito, il Garante ha qualificato la violazione come "minore" ai sensi dell'art. 83, par. 2, GDPR, valorizzando:

• la durata della pubblicazione, pari a 15 giorni;
• la natura dei dati, che erano dati personali comuni;
• il numero limitato di interessati coinvolti, pari a uno;
• la disponibilità dell'associazione a rivedere modalità e limiti di pubblicazione;
• la natura non lucrativa dell'associazione.

In considerazione di tali elementi, l'Autorità ha ritenuto sufficiente un ammonimento ai sensi dell'art. 58, par. 2, lett. b), GDPR e dell'art. 143 del Codice privacy, senza irrogare una sanzione pecuniaria.

Dispositivo e adempimenti conseguenti

Nel dispositivo, il Garante:

• ha rilevato l'illiceità del trattamento effettuato dall'associazione;
• ha ammonito l'associazione per la violazione delle disposizioni indicate;
• ha disposto la pubblicazione del provvedimento sul sito istituzionale ai sensi dell'art. 154-bis, comma 3, del Codice;
• ha ordinato l'annotazione della violazione nel registro interno dell'Autorità ai sensi dell'art. 17 del Regolamento n. 1/2019.

Implicazioni operative

Il provvedimento conferma che, anche in ambito associativo, la pubblicazione di delibere o verbali contenenti dati personali non può essere estesa indiscriminatamente all'esterno dell'organizzazione. La base giuridica deve essere verificata caso per caso e, in particolare, la diffusione di provvedimenti disciplinari o reputazionalmente pregiudizievoli richiede una particolare attenzione alla necessità del trattamento, alla proporzionalità delle modalità di divulgazione e alla reale platea dei destinatari.