Ogni studio di amministrazione condominiale gestisce quotidianamente dati personali di centinaia o migliaia di persone: dati anagrafici dei condOmini, indirizzi, recapiti telefonici ed email, informazioni sui pagamenti e sulle morosita’, corrispondenza riservata, documenti relativi a controversie legali, in alcuni casi immagini da sistemi di videosorveglianza. Questi dati sono soggetti al Regolamento UE 2016/679 (GDPR) e la responsabilita’ del loro trattamento e’ dell’amministratore, non del software che utilizza.
Il quadro e’ stato chiarito in modo definitivo dal Provvedimento n. 209/2025 del Garante per la Protezione dei Dati Personali, che ha introdotto un orientamento vincolante sul ruolo dell’amministratore condominiale dopo una consultazione pubblica aperta nel maggio 2025. Le Linee Guida allegate al provvedimento definiscono con precisione obblighi, ruoli e misure di sicurezza richieste.
1. Il GDPR e l’Amministratore Condominiale: Responsabilita’ e Obblighi
La configurazione corretta dei ruoli e’ la seguente: il condominio e’ titolare del trattamento dei dati personali dei condOmini, e l’amministratore e’ responsabile del trattamento ai sensi dell’art. 28 GDPR. Questa nomina deve essere formalizzata per iscritto: puo’ essere integrata nel mandato di amministrazione, purche’ contenga tutti gli elementi richiesti dalla norma (oggetto, durata, natura e finalita’ del trattamento, tipologia di dati, categorie di interessati, obblighi e diritti del titolare).
All’interno dello studio, i collaboratori che trattano dati personali devono ricevere una lettera di incarico che li autorizzi a compiere determinate operazioni sui dati e solo quelle (art. 29 GDPR). L’amministratore ha inoltre l’obbligo di formare i propri collaboratori in materia di protezione dei dati (artt. 29 e 32, par. 4 GDPR): l’omessa formazione e’ essa stessa una violazione sanzionabile.
Gli adempimenti principali a carico dell’amministratore sono: la tenuta del registro delle attivita’ di trattamento (art. 30 GDPR), obbligatorio in ambito condominiale perche’ il trattamento e’ continuo e sistematico; la predisposizione delle informative ai condOmini; l’adozione di misure di sicurezza adeguate al rischio (art. 32); la definizione di una procedura di gestione del data breach; e, nei casi previsti, la redazione di una DPIA (Valutazione d’Impatto sulla Protezione dei Dati) prima dell’avvio di trattamenti ad alto rischio, come l’installazione di sistemi di videosorveglianza.
2. I Rischi Reali: Cosa Puo’ Succedere senza un Sistema Adeguato
I rischi non sono teorici. Tre scenari si verificano con frequenza documentata negli studi professionali italiani.
Il primo e’ la perdita di dati per guasto hardware, ransomware o errore umano. Uno studio che non ha un sistema di backup ridondato puo’ perdere anni di documentazione condominiale: contabilita’, verbali, contratti, perizie. Il costo di ricostruzione, quando la ricostruzione e’ possibile, e’ enorme in termini di tempo e di credibilita’ professionale. Quando non e’ possibile, le conseguenze includono contenziosi con i condOmini e potenziale responsabilita’ civile.
Il secondo e’ la violazione dei dati (data breach): accesso non autorizzato ai sistemi, invio di documenti al destinatario sbagliato, smarrimento di un dispositivo non crittografato. In caso di violazione che presenti rischi per i diritti degli interessati, scattano obblighi precisi: notifica al Garante entro 72 ore e, nei casi di rischio elevato, comunicazione agli interessati.
Il terzo e’ il trattamento illecito: pratiche apparentemente innocue che il Garante ha esplicitamente vietato. Le Linee Guida 2025 chiariscono che non sono ammessi: l’affissione in bacheca di elenchi con i nomi dei condOmini morosi (trattamento eccessivo rispetto alla finalita’), l’inserimento di commenti personali nei registri condominiali, la comunicazione di recapiti privati senza consenso quando non strettamente necessario.
Le sanzioni per violazioni del GDPR arrivano fino a 20 milioni di euro o al 4% del fatturato annuo mondiale. Per uno studio di amministrazione, anche sanzioni di entita’ molto inferiore hanno un impatto economico e reputazionale grave.
3. Standard Minimi di Sicurezza per uno Studio di Amministrazione
| Area | Standard minimo | Standard raccomandato | Riferimento normativo |
|---|---|---|---|
| Backup | Backup settimanale su sistema separato | Backup automatico giornaliero, retention 30 giorni, test di ripristino semestrale | Art. 32 GDPR (integrita’ e disponibilita’) |
| Ridondanza | Due copie su supporti diversi | Regola 3-2-1: tre copie, due tipologie di supporto, una fuori sede | Art. 32 GDPR |
| Autenticazione | Password complesse individuali | Autenticazione a due fattori obbligatoria | Art. 32 GDPR (misure tecniche adeguate) |
| Permessi | Accessi individuali nominativi | Gestione permessi per ruolo, principio del minimo privilegio | Art. 29 GDPR (istruzioni documentate) |
| Conservazione | Tempi definiti per categoria di dato | Cancellazione automatica alla scadenza dei termini, documentata | Art. 5 GDPR (limitazione della conservazione) |
| Formazione | Informativa iniziale ai collaboratori | Formazione annuale documentata con verifica | Artt. 29 e 32 par. 4 GDPR |
| Documentazione | Registro dei trattamenti compilato | Registro aggiornato + DPIA per trattamenti ad alto rischio | Artt. 30 e 35 GDPR |
Tabella 1, Standard di sicurezza dei dati per studi di amministrazione condominiale. Fonti: GDPR, Linee Guida Garante Privacy 2025.
EGIM applica gli standard raccomandati su tutto il portafoglio gestito: backup automatico giornaliero con ridondanza geografica, autenticazione a due fattori obbligatoria per tutti gli accessi, gestione dei permessi per ruolo con log completo delle operazioni, e formazione annuale documentata di tutti i 40 professionisti del team. La gestione documentale e contabile EGIM integra questi protocolli come parte dell’infrastruttura operativa standard.
4. Come Documentare la Conformita’ GDPR: il Registro del Trattamento
Il registro delle attivita’ di trattamento (art. 30 GDPR) e’ il documento centrale del sistema di accountability. Non e’ un adempimento formale da compilare una volta e archiviare: e’ la mappa di tutti i trattamenti di dati personali effettuati dallo studio, che dimostra all’autorita’ di controllo la consapevolezza e il governo del rischio.
- Anagrafica dei condOmini: finalita’ (gestione del condominio ai sensi degli artt. 1129-1130 c.c.), base giuridica (obbligo legale), categorie di dati, tempi di conservazione, misure di sicurezza
- Gestione contabile e riscossione quote: finalita’, base giuridica, categorie di dati inclusi quelli relativi alla morosita’, destinatari (banche, eventuali legali)
- Gestione del contenzioso: finalita’, base giuridica (interesse legittimo o obbligo legale), categorie di dati particolari eventualmente trattati
- Videosorveglianza (se presente): finalita’, base giuridica, tempi di conservazione delle immagini (max 24-48 ore salvo casi specifici), DPIA associata
- Gestione dei fornitori: dati dei fornitori e dei loro dipendenti che accedono al condominio
- Gestione del personale dello studio: se lo studio ha dipendenti, i loro dati sono un trattamento separato con il titolare che e’ lo studio stesso
- Per ciascun trattamento: indicazione dei responsabili esterni (fornitore gestionale, servizio cloud, commercialista) e degli estremi del contratto di nomina ex art. 28
Domande Frequenti sulla Sicurezza dei Dati Condominiali
L’amministratore e’ titolare o responsabile del trattamento dei dati condominiali?
Quanto tempo si possono conservare i dati dei condomini?
Si possono affiggere in bacheca i nomi dei condomini morosi?
- Regolamento UE 2016/679 (GDPR), artt. 5, 28, 29, 30, 32, 33, 34, 35
- Garante per la Protezione dei Dati Personali, Provvedimento n. 209/2025 e Linee Guida sul trattamento dei dati in ambito condominiale
- CasaCondominio (settembre 2025), GDPR e condominio: cosa cambia con le linee guida 2025, modello di nomina a responsabile (Allegato A)
- Condominus.pro (2025), GDPR e condominio: guida completa alla privacy per amministratori
- Condominio Caffe (2024), privacy e collaboratori dell’amministratore: obblighi formativi ex artt. 29 e 32 GDPR
- BGT Data Consulting (2026), nuovo orientamento del Garante Privacy sul ruolo dell’amministratore condominiale
- Art. 2220 c.c., termini di conservazione delle scritture contabili
