Scelta software
Come valutare la conformità GDPR di un gestionale di condominio
Quando un amministratore adotta un gestionale, affida a un fornitore i dati personali dei condomini: nomi, quote, situazioni di morosità, a volte informazioni delicate legate a delibere come l'abbattimento delle barriere architettoniche. Nella logica del GDPR il condominio è titolare del trattamento e l'amministratore responsabile, mentre il fornitore del software che conserva e elabora i dati diventa a sua volta responsabile del trattamento, da nominare con un contratto conforme all'articolo 28 del Regolamento UE 2016/679. Valutare la conformità GDPR non è quindi un dettaglio tecnico ma un criterio di scelta preciso. Questa guida spiega cosa chiedere al fornitore e come verificarlo prima di affidargli i dati.
Cosa verificare sulla conformità GDPR
- Il fornitore mette a disposizione un contratto o accordo sul trattamento dei dati ai sensi dell'articolo 28
- È chiaro dove sono conservati i dati e in quali data center
- Sono indicati gli eventuali sub-responsabili che trattano i dati per conto del fornitore
- I dati sono cifrati e sono descritte le misure tecniche di sicurezza
- Esiste un sistema di permessi che limita l'accesso ai dati per ruolo
- È tracciato chi accede ai dati e con quali privilegi
- Il fornitore supporta gli adempimenti come il registro dei trattamenti ex art. 30
- L'app mostra a ciascun condomino solo i propri dati, per minimizzazione
- È previsto un processo per rispondere alle richieste di accesso o cancellazione dei dati
Ruoli GDPR: chi è titolare e chi responsabile
Il primo passo per valutare la conformità è capire i ruoli. Nel condominio il titolare del trattamento è il condominio stesso, mentre l'amministratore agisce come responsabile del trattamento e, nell'esercizio del mandato, dà istruzioni sulle misure di sicurezza da adottare. Quando l'amministratore affida i dati a un software gestionale, il fornitore che li conserva ed elabora diventa a sua volta responsabile del trattamento e deve essere nominato formalmente.
Questa catena di ruoli si formalizza con un contratto ai sensi dell'articolo 28 del GDPR, che deve indicare oggetto, durata, finalità del trattamento, categorie di dati, obblighi del responsabile, misure di sicurezza ed eventuali sub-responsabili. Un fornitore serio mette a disposizione questo accordo senza che sia l'amministratore a doverlo chiedere con insistenza: la sua presenza e completezza sono un primo indicatore di conformità.
Dove sono conservati i dati e chi vi accede
Una domanda concreta da porre in fase di scelta è dove sono fisicamente conservati i dati. Sapere in quali data center risiedono, se all'interno dell'Unione Europea o altrove, è rilevante perché il trasferimento di dati fuori dallo Spazio economico europeo è soggetto a regole precise del GDPR. Un fornitore che risponde in modo vago su questo punto va trattato con prudenza.
Altrettanto importante è chi ha accesso ai dati. Vanno chiesti al fornitore chi tra il suo personale ha privilegi di amministrazione, se esiste un registro degli accessi che traccia chi consulta i dati e con quali permessi, e quali sono le misure per impedire accessi non autorizzati. La tracciabilità degli accessi non è un vezzo tecnico: è la prova che il fornitore controlla chi tocca i dati dei condomini.
Misure di sicurezza tecniche
Il GDPR richiede misure tecniche e organizzative adeguate a proteggere i dati. In un gestionale queste misure si traducono in aspetti verificabili: la cifratura dei dati, sia durante la trasmissione sia in archivio, i backup regolari per non perdere i dati in caso di guasto, e un sistema di autenticazione robusto per l'accesso agli account, meglio se con un secondo fattore.
Il sistema dei permessi è una misura di sicurezza tanto quanto la cifratura, perché limitare l'accesso ai dati a chi ne ha davvero bisogno è il principio di minimizzazione previsto dal GDPR. Un gestionale ben progettato consente di assegnare ai collaboratori permessi differenziati per ruolo e mostra a ciascun condomino, tramite l'app o l'area riservata, solo i propri dati e i documenti comuni, mai la posizione contabile degli altri.
Supporto agli adempimenti dell'amministratore
La conformità non è solo del software: l'amministratore resta responsabile del trattamento e ha adempimenti propri, come tenere il registro dei trattamenti previsto dall'articolo 30 del GDPR. Un buon fornitore non si limita a essere conforme, ma supporta l'amministratore fornendo la documentazione utile a compilare il registro, le informazioni sulle misure adottate e i modelli per l'informativa ai condomini.
Vanno considerati anche i diritti degli interessati: un condomino può chiedere l'accesso ai propri dati o la loro rettifica, e il gestionale dovrebbe facilitare l'evasione di queste richieste. Verificare che il fornitore abbia un processo per gestire eventuali violazioni dei dati e per notificarle nei tempi previsti dal Regolamento completa la valutazione della conformità come tema di scelta e non solo di adempimento formale.
Come verificarlo in fase di scelta
La conformità GDPR si valuta con domande precise, non con dichiarazioni generiche. In fase di scelta conviene chiedere al fornitore il contratto ai sensi dell'articolo 28, la documentazione sulle misure di sicurezza, l'elenco dei sub-responsabili e la posizione dei data center. Le risposte, per chiarezza e completezza, dicono molto sulla serietà del fornitore.
È utile anche verificare l'allineamento alla UNI 10801, la norma tecnica italiana per gli amministratori di condominio, la cui versione del 2024 include indicazioni per la corretta gestione dei dati personali: non è un obbligo di legge ma un riferimento di qualità del settore. AmministraPro cifra i dati, offre un sistema di permessi per ruolo e supporta gli adempimenti privacy dell'amministratore; le pagine con le funzionalità e i piani permettono di verificare le misure disponibili a ciascun livello prima di affidare i dati.
Domande frequenti
Il fornitore del gestionale è titolare o responsabile del trattamento?
È responsabile del trattamento. Nel condominio il titolare è il condominio stesso e l'amministratore agisce come responsabile; quando affida i dati a un software gestionale, il fornitore che li conserva ed elabora diventa a sua volta responsabile del trattamento e deve essere nominato con un contratto conforme all'articolo 28 del GDPR. Verificare che questo accordo esista e sia completo è il primo passo per valutare la conformità del fornitore.
Perché conta sapere dove sono conservati i dati?
Perché il trasferimento di dati personali fuori dallo Spazio economico europeo è soggetto a regole precise del GDPR, e un condominio ha diritto a sapere dove finiscono i suoi dati. Un fornitore che indica chiaramente in quali data center risiedono i dati, e se all'interno dell'Unione Europea, dà una garanzia in più. Una risposta vaga su questo punto è un segnale che consiglia prudenza nella scelta.
La cifratura dei dati è obbligatoria per un gestionale condominiale?
Il GDPR non impone la cifratura come obbligo assoluto, ma richiede misure tecniche adeguate al rischio, e la cifratura è tra le più efficaci per proteggere dati personali. Per un gestionale che conserva quote, morosità e a volte dati delicati, la cifratura sia in trasmissione sia in archivio è una misura ragionevole da attendersi. Va chiesto al fornitore come sono protetti i dati, sia in transito sia quando sono conservati.
Il sistema dei permessi c'entra con la conformità GDPR?
Sì, direttamente. Limitare l'accesso ai dati a chi ne ha davvero bisogno è il principio di minimizzazione del GDPR. Un gestionale conforme consente di assegnare ai collaboratori permessi differenziati per ruolo e mostra a ciascun condomino solo i propri dati, mai la posizione contabile degli altri. Un software che espone tutti i dati a chiunque abbia accesso viola questo principio ed è un rischio da valutare in fase di scelta.
Il gestionale mi mette al riparo dagli adempimenti privacy?
No: l'amministratore resta responsabile del trattamento e ha adempimenti propri, come il registro dei trattamenti previsto dall'articolo 30 e l'informativa ai condomini. Un buon fornitore non sostituisce l'amministratore ma lo supporta, fornendo documentazione sulle misure adottate e strumenti per gestire le richieste degli interessati. La conformità è una responsabilità condivisa: il software aiuta, ma la titolarità degli adempimenti resta dell'amministratore e del condominio.
Prova AmministraPro
Contabilità, ripartizioni millesimali, assemblee, comunicazioni e intelligenza artificiale in un unico software italiano, conforme a UNI 10801 e GDPR.