Guida pratica
Data breach in condominio: cosa deve fare l'amministratore
L'amministratore di condominio tratta ogni giorno dati personali sensibili dei condomini: anagrafiche, situazioni di morosità, dati bancari per gli addebiti, a volte anche dati relativi a disabilità per i posti auto riservati o gli impianti elevatori. Se questi dati vengono persi, sottratti o divulgati per errore, come nel caso di un invio massivo di email con indirizzi visibili a tutti o di un accesso abusivo al gestionale, si configura un data breach ai sensi del Regolamento UE 2016/679 (GDPR). La normativa impone tempi stretti e obblighi precisi al titolare del trattamento, che nella maggior parte dei condomini coincide con l'amministratore stesso. Questa guida spiega, passo dopo passo, cosa fare nelle prime ore e nei giorni successivi a una violazione.
Primo passo: valutare la gravità della violazione
Non ogni incidente informatico va notificato: il GDPR impone la notifica solo quando la violazione comporta un rischio per i diritti e le libertà dei condomini interessati. L'amministratore deve quindi ricostruire cosa è successo: quali dati sono stati coinvolti, quante persone sono interessate, se i dati sono stati solo esposti o anche effettivamente acquisiti da terzi, e quali conseguenze concrete potrebbero derivarne, ad esempio un rischio di furto d'identità se sono coinvolti dati bancari o documenti d'identità.
Questa valutazione va documentata per iscritto anche quando si conclude che il rischio è basso o assente: in caso di controllo del Garante, la mancanza di una valutazione scritta è già di per sé un elemento a sfavore dell'amministratore, indipendentemente dalla gravità del fatto originario.
- Tipo di dati coinvolti: anagrafici, bancari, sanitari, di morosità
- Numero di condomini interessati e reversibilità dell'incidente
- Probabilità che i dati siano stati letti o utilizzati da terzi
- Possibili conseguenze per gli interessati: discriminazione, furto d'identità, danno reputazionale
La notifica al Garante entro 72 ore
Quando la violazione comporta un rischio per i condomini, l'articolo 33 del GDPR impone di notificarla al Garante per la protezione dei dati personali senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando se ne è venuti a conoscenza. Se la notifica arriva oltre questo termine, va motivato il ritardo.
La notifica deve descrivere la natura della violazione, le categorie e il numero approssimativo di condomini e di dati coinvolti, le conseguenze probabili e le misure adottate o proposte per porvi rimedio e attenuarne gli effetti. Se non tutte le informazioni sono disponibili subito, il GDPR consente di notificare in fasi successive, purché senza ritardo ingiustificato.
Quando e come informare i condomini
L'articolo 34 del GDPR impone di comunicare la violazione anche direttamente agli interessati, cioè ai condomini, quando è probabile che ne derivi un rischio elevato per i loro diritti e libertà, ad esempio se sono stati esposti dati bancari, dati sanitari o documenti che si prestano a un uso fraudolento.
La comunicazione deve usare un linguaggio semplice e chiaro, descrivere la natura della violazione e indicare almeno i recapiti di riferimento per chiedere informazioni, oltre alle conseguenze probabili e alle misure adottate. Può avvenire con una comunicazione individuale, per esempio una lettera o una PEC dedicata, mentre l'affissione in bacheca condominiale non è di per sé sufficiente a garantire che ogni interessato ne venga effettivamente a conoscenza.
Misure tecniche e organizzative da adottare subito
Dopo aver notificato l'incidente, l'amministratore deve intervenire per contenerlo e ridurre il rischio di ripetizione: cambiare le credenziali di accesso compromesse, verificare i permessi di accesso al gestionale condominiale, controllare i log per capire l'estensione reale dell'accesso non autorizzato, e valutare se coinvolgere un consulente esperto in sicurezza informatica per gli incidenti più gravi.
È inoltre opportuno aggiornare il registro dei trattamenti e la valutazione dei rischi legata a quello specifico trattamento, in modo che la violazione registrata diventi anche uno strumento di miglioramento delle procedure interne dello studio di amministrazione.
Prevenzione: ridurre il rischio prima che accada
La prevenzione parte da scelte organizzative semplici: limitare l'accesso ai dati sensibili al solo personale che ne ha effettivamente bisogno, evitare l'invio di comunicazioni massive con indirizzi email visibili a tutti i destinatari, usare canali di comunicazione dedicati come la PEC per le comunicazioni formali, e affidarsi a un gestionale che tenga traccia degli accessi e separi i ruoli tra chi amministra e chi consulta i dati.
Un software gestionale pensato per l'amministrazione condominiale, come AmministraPro, aiuta su questo fronte perché centralizza anagrafiche, comunicazioni e documenti in un unico ambiente con controlli di accesso, riducendo la dispersione dei dati su fogli di calcolo, email personali e chat non tracciate che sono tra le cause più frequenti di violazioni accidentali.
Domande frequenti
Ogni errore informatico in condominio è un data breach da notificare?
No. Un data breach ricorre quando c'è una violazione di sicurezza che comporta la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso non autorizzato a dati personali. Ma l'obbligo di notifica al Garante scatta solo se la violazione comporta un rischio per i diritti e le libertà dei condomini interessati: un errore corretto immediatamente, senza che nessuno abbia effettivamente visto i dati, può non richiedere notifica, ma va comunque valutato e documentato per iscritto.
Cosa rischia l'amministratore se non notifica una violazione rilevante?
Il mancato rispetto degli obblighi di notifica previsti dagli articoli 33 e 34 del GDPR espone il titolare del trattamento, cioè nella maggior parte dei casi l'amministratore, a sanzioni amministrative da parte del Garante, oltre al possibile danno reputazionale verso i condomini e al rischio di richieste di risarcimento da parte degli interessati che abbiano subito un pregiudizio concreto.
L'amministratore deve informare tutti i condomini o solo quelli coinvolti?
La comunicazione prevista dall'articolo 34 del GDPR va indirizzata agli interessati effettivamente coinvolti dalla violazione, non necessariamente a tutti i condomini dello stabile. Se però non è possibile individuare con certezza chi sia stato coinvolto, o se il numero di persone interessate è molto ampio, può essere preferibile una comunicazione più estesa per assicurare che nessuno resti escluso dall'informativa.
Un gestionale condominiale può prevenire i data breach?
Un gestionale come AmministraPro non elimina il rischio di errore umano, ma riduce sensibilmente le occasioni in cui un data breach può verificarsi, perché centralizza i dati in un unico ambiente con controlli di accesso, evita la dispersione di anagrafiche e documenti su strumenti non tracciati come fogli di calcolo condivisi o email personali, e rende più semplice tenere una registrazione ordinata delle comunicazioni inviate ai condomini.
Serve un consulente esterno per gestire un data breach in condominio?
Non è un obbligo di legge in ogni caso, ma per violazioni che coinvolgono un numero elevato di condomini, dati bancari o sanitari, o accessi non autorizzati prolungati nel tempo, è opportuno che l'amministratore si faccia affiancare da un consulente esperto in protezione dei dati, sia per la corretta valutazione del rischio sia per la formulazione della notifica al Garante e della comunicazione agli interessati.
Prova AmministraPro
Contabilità, ripartizioni millesimali, assemblee, comunicazioni e intelligenza artificiale in un unico software italiano, conforme a UNI 10801 e GDPR.