La privacy nel condominio non vieta di usare un sito web o un’area riservata, ma impone che i documenti siano accessibili soltanto ai soggetti legittimati e con misure di protezione adeguate. Verbali, rendiconti, fatture, recapiti e informazioni sui pagamenti non possono essere pubblicati indiscriminatamente su Internet: l’amministratore deve valutare quali dati servono, chi può consultarli e per quanto tempo conservarli.
La disciplina del sito internet condominiale è prevista dall’articolo 71-ter delle disposizioni di attuazione del Codice civile, mentre il trattamento dei dati personali deve rispettare il Regolamento UE 2016/679 (GDPR) e le indicazioni del Garante Privacy. Questa risposta della rubrica Esperto risponde si concentra sui rischi privacy e sulla gestione concreta dei permessi digitali; gli aspetti di attivazione e organizzazione generale del portale sono sviluppati nella guida sul sito web del condominio.
Il quesito originale di Antonio di S. Giovanni Valdarno
Ciao a tutti, ho letto nel vostro blog che è possibile avere un sito web del condominio. Anche alcuni condomini dei miei condomini richiedono sempre con più insistenza servizi on-line. Premesso che l’art. 24 della riforma dispone una delibera assembleare espressa, non vi nascondo che ho paura di tutti gli aspetti legati alla privacy. Vi sono nelle norme tecniche ad hoc?
Antonio – S. Giovanni Valdarno
La nostra risposta ad Antonio: sì ai servizi online, ma con accessi controllati
Salve Antonio, grazie per averci scritto. È possibile rendere disponibili ai condòmini documenti e servizi digitali; tuttavia non è sufficiente affidarsi a un fornitore che prometta un sito «sicuro» o proteggere tutte le pagine con una sola password. Occorre progettare il sistema secondo le necessità effettive della gestione condominiale, classificare i documenti per riservatezza, identificare gli aventi diritto e stabilire procedure di accesso, conservazione, aggiornamento e revoca delle autorizzazioni.
Una precisazione normativa importante: il riferimento vigente alla richiesta assembleare del sito è l’articolo 71-ter delle disposizioni di attuazione del Codice civile, introdotto dall’articolo 25 della legge 220/2012. La domanda originale cita l’articolo 24 della riforma: conserviamo il quesito com’era stato posto, ma distinguiamo la numerazione della legge di riforma dalla disposizione oggi da applicare. Non esiste una norma tecnica unica che renda invulnerabile il sito; il GDPR richiede misure proporzionate al rischio.
Cosa prevede l’articolo 71-ter per il sito del condominio?
La legge 220/2012, articolo 25, ha introdotto l’articolo 71-ter: su richiesta dell’assemblea, che delibera con la maggioranza di cui all’articolo 1136, secondo comma, c.c., l’amministratore è tenuto ad attivare un sito internet condominiale che permetta agli aventi diritto di consultare ed estrarre copia digitale dei documenti previsti dalla delibera. Le relative spese sono a carico dei condòmini.
La norma non consente di rendere automaticamente pubblico tutto l’archivio. Anzi, individua gli aventi diritto e lega i documenti resi consultabili alla deliberazione assembleare. La messa online deve inoltre rispettare le regole su minimizzazione, sicurezza, riservatezza e diritti delle persone. La scelta del servizio tecnico è un mezzo per eseguire la delibera, non un’autorizzazione illimitata alla diffusione di dati personali.
Serve una delibera per ogni documento caricato?
La disposizione fa riferimento ai documenti previsti dalla delibera assembleare, che può individuare categorie e criteri di pubblicazione senza approvare necessariamente ogni singolo file in una nuova riunione. È opportuno definire in modo chiaro quali tipologie documentali siano consultabili e a chi, distinguendo la gestione ordinaria dalle informazioni riservate o non pertinenti. Se la delibera è vaga, è preferibile chiarire l’ambito prima di allargare gli accessi.
Il sito deve essere pubblico e indicizzabile da Google?
No. Un portale documentale condominiale può avere un’area di accesso riservata. I documenti destinati agli aventi diritto non devono diventare pagine liberamente consultabili dai motori di ricerca. Il semplice parametro noindex o il blocco tramite robots.txt non costituiscono misure di controllo degli accessi: per i file riservati servono autenticazione e autorizzazioni effettive.
GDPR nel condominio: quali dati si possono trattare?
Il GDPR richiede che i dati personali siano trattati in modo lecito, trasparente, pertinente, limitato alle finalità e protetto. Nell’amministrazione condominiale possono essere necessari nomi, recapiti, identificativi delle unità immobiliari, quote millesimali, posizioni contabili e informazioni per gli adempimenti amministrativi. Non per questo ogni dato è destinato a tutti i residenti o a chiunque navighi sul sito.
Il Garante Privacy riepiloga i principi fondamentali applicabili ai trattamenti. È essenziale distinguere raccolta, conservazione, consultazione da parte di un soggetto autorizzato e diffusione al pubblico: sono operazioni differenti che possono richiedere valutazioni differenti. La privacy non è un pretesto per impedire ogni controllo contabile legittimo, ma nemmeno un’autorizzazione a distribuire ogni informazione a chiunque.
Dati anagrafici e recapiti dei condomini
La tenuta dell’anagrafe condominiale segue gli obblighi civilistici. Un portale può mostrare al singolo utente i suoi recapiti e i dati necessari alle funzioni assegnate, ma non deve pubblicare automaticamente numeri telefonici, indirizzi email personali o informazioni estranee alle finalità amministrative. Prima di inserire dati in una rubrica accessibile a tutti occorre verificare base giuridica, necessità e destinatari.
Dati di salute, disabilità o situazioni familiari
Una richiesta relativa all’abbattimento di barriere architettoniche o a un intervento urgente può contenere dati particolarmente delicati. In questi casi è necessario evitare la circolazione di certificazioni sanitarie o dettagli personali quando bastano informazioni meno invasive. Gli eventuali dati appartenenti a categorie particolari richiedono condizioni specifiche di liceità, cautele rafforzate e accessi strettamente limitati.
I dati personali dei fornitori
Fatture e contratti possono contenere dati di persone fisiche, professionisti o dipendenti di imprese. Anche quando un condomino ha titolo a esaminare le spese, ciò non giustifica la pubblicazione indiscriminata di IBAN, numeri privati e altre informazioni non necessarie. Il sistema deve permettere la consultazione utile alla trasparenza senza esporre dati eccedenti.
Chi è il titolare del trattamento: condominio o amministratore?
La qualificazione dei ruoli privacy dipende dalle finalità e dai mezzi del trattamento concretamente determinati, non soltanto dalla dicitura apposta in un contratto. Nell’amministrazione possono esserci trattamenti effettuati nell’interesse del condominio e attività autonome proprie dello studio professionale. È sbagliato dichiarare, senza analisi, che per qualunque dato del portale il condominio è sempre titolare e l’amministratore sempre responsabile, oppure il contrario.
Nel 2025 il Garante ha aperto una consultazione pubblica con provvedimento n. 209 del 10 aprile 2025 proprio su tali profili, compresa la possibile individuazione di trattamenti per i quali l’amministratore assume un ruolo autonomo. Questo documento è stato pubblicato come consultazione: non va presentato automaticamente come un nuovo obbligo definitivo per tutti i condomini senza verificarne gli esiti e gli eventuali provvedimenti successivi.
Perché individuare i ruoli prima di incaricare un fornitore IT?
Perché qualcuno deve decidere finalità, categorie dei dati, soggetti ammessi, tempi di conservazione e modalità di gestione dei diritti. Se un fornitore tratta dati personali per conto di un titolare, occorre valutare la designazione quale responsabile del trattamento ai sensi dell’articolo 28 GDPR e le istruzioni applicabili. Se invece un soggetto determina proprie finalità autonome, una semplice etichetta contrattuale non basta a cambiare il ruolo sostanziale.
Serve sempre un responsabile della protezione dei dati (DPO)?
Non esiste un obbligo generalizzato di nominare un DPO solo perché il condominio utilizza un’area riservata. La necessità va valutata secondo le condizioni dell’articolo 37 GDPR e la natura e scala delle attività svolte. Anche quando il DPO non è obbligatorio rimangono gli obblighi di conformità, informazione e sicurezza applicabili.
Quali documenti si possono caricare nell’area riservata?
Il vademecum del Garante sul condominio digitale chiarisce la necessità di rendere accessibili ai soggetti legittimati soltanto i documenti individuati dalla delibera assembleare. La guida risale al 2013 e va letta oggi insieme al GDPR, applicabile dal 2018: resta utile per il principio di accesso riservato e selettivo, non come unico riferimento aggiornato di tutti gli adempimenti.
| Documento | Possibile gestione | Controllo privacy |
|---|---|---|
| Verbali assembleari | Area riservata agli aventi diritto | Verificare destinatari e dati eccedenti |
| Rendiconti e riparti | Consultazione legittima in base al ruolo | Evitare accesso di esterni e dati non necessari |
| Fatture e giustificativi | Consultazione secondo diritti e procedure | Controllare allegati e informazioni personali |
| Pratiche legali | Accesso specifico e valutato | Proteggere dettagli riservati e dati di terzi |
| Documenti sanitari o familiari | Non caricare per impostazione predefinita | Valutare necessità e base giuridica speciale |
| Contatti dei residenti | Mostrare solo i dati necessari | Evitare una rubrica pubblica non giustificata |
Si possono mostrare tutti i verbali indistintamente?
L’accesso deve seguire i diritti attribuiti ai soggetti e la disciplina del documento, senza trasformare la cartella «Verbali» in uno spazio accessibile a estranei. È opportuno controllare che i documenti contengano solo dati necessari alla finalità comune, soprattutto quando riportano informazioni sanitarie, giudiziarie o altri dettagli personali estranei alla discussione assembleare.
La delibera assembleare sostituisce la base giuridica GDPR?
No. La delibera costituisce il presupposto civilistico per la realizzazione del portale nei termini dell’articolo 71-ter, ma non elimina la necessità di individuare la base giuridica e rispettare le altre condizioni del GDPR per ogni trattamento. L’assemblea non può autorizzare una diffusione illecita di dati personali semplicemente votando a maggioranza.
Chi può entrare nel portale: proprietari, inquilini e delegati?
Non basta che una persona abiti nell’edificio: il portale deve verificare quale diritto essa abbia rispetto a ciascun documento. Proprietari, titolari di diritti reali, conduttori e delegati possono avere posizioni differenti secondo la natura dell’informazione e gli obblighi civilistici. La funzionalità «un account per ogni appartamento con accesso completo a tutto» rischia di attribuire più diritti di quelli effettivamente spettanti.
Il proprietario può vedere i giustificativi delle spese?
Il diritto di consultazione previsto dall’articolo 1130-bis c.c. e le indicazioni del Garante tutelano la trasparenza sulle spese condominiali. È però necessario predisporre modalità sicure, senza pubblicare i file su URL aperte. Quando documenti contengono dati non pertinenti di terzi, l’amministrazione deve valutare il bilanciamento tra diritto di accesso e tutela dei dati.
Il conduttore può usare lo stesso account del proprietario?
È preferibile evitare credenziali condivise. A seconda del rapporto e dei diritti concretamente spettanti, si possono prevedere account e permessi distinti. Usare il medesimo login rende difficile sapere chi ha consultato o scaricato determinati atti e può far emergere informazioni destinate solo al proprietario.
Quando va revocato l’accesso?
Al trasferimento dell’unità, alla cessazione di un rapporto di locazione rilevante, alla scadenza di una delega o alla conclusione dell’incarico professionale occorre verificare e aggiornare le autorizzazioni. I diritti non devono restare attivi per inerzia. La disattivazione dell’account deve riguardare anche eventuali link di condivisione, token, dispositivi e credenziali di accesso amministrativo.
Morosità condominiale: chi può vedere i nomi e gli importi?
Il diritto dei condòmini alla trasparenza delle spese e delle posizioni debitorie non coincide con la possibilità di pubblicare online l’elenco dei morosi senza protezione. Il Garante ha chiarito che i dati sulla morosità possono essere pertinenti nei rapporti interni fra soggetti legittimati, ma la loro diffusione in spazi accessibili a terzi è eccessiva. Questo criterio vale anche per una bacheca digitale o una pagina web.
In pratica, un prospetto contabile può essere messo a disposizione di chi ha il diritto di consultarlo, mediante canali protetti e secondo le regole applicabili. Non è invece prudente pubblicare un elenco con nomi, interno e debito su un sito pubblico «perché tutti devono sapere chi non paga». Si veda il provvedimento del Garante sulla pubblicazione della morosità nella bacheca condominiale.
Posso oscurare tutti i nominativi per non avere problemi?
Non necessariamente. Oscurare indiscriminatamente dati indispensabili alla verifica dei riparti può ostacolare diritti legittimi. È necessario invece definire chi consulta, per quale finalità e quali dati sono necessari. La medesima informazione può essere appropriata in un rendiconto riservato e inappropriata su una pagina accessibile al pubblico.
Morosità e gruppi WhatsApp
Pubblicare l’elenco dei morosi in un gruppo di messaggistica non equivale a caricarlo in un’area riservata con autenticazione e permessi. Nei gruppi possono essere presenti familiari, ex residenti o soggetti senza titolo; i messaggi possono essere inoltrati facilmente. Per comunicazioni individuali o documenti sensibili è preferibile utilizzare canali che consentano di limitare i destinatari e mantenere una traccia appropriata.
Le misure tecniche richieste dal GDPR: cosa deve fare il fornitore?
L’articolo 32 GDPR non prescrive un singolo software né promette l’assenza assoluta di vulnerabilità. Richiede misure tecniche e organizzative adeguate al rischio, tenendo conto dello stato dell’arte, dei costi di attuazione, della natura dei trattamenti e dei rischi per le persone. Secondo il Garante, la sicurezza va valutata caso per caso: non si può sostituire questa analisi con una generica promessa commerciale di sistema invulnerabile.
Autenticazione e autorizzazione non sono la stessa cosa
L’autenticazione verifica l’identità dell’utente; l’autorizzazione stabilisce quali dati quell’utente può vedere. Anche un sistema con login perfettamente funzionante può esporre fatture o posizioni contabili di altri condomini se i controlli sui documenti sono errati. I permessi devono essere verificati sul server per ogni richiesta di file, e non soltanto nascondendo pulsanti nell’interfaccia.
Password, autenticazione a più fattori e sessioni
È buona pratica usare credenziali individuali, password robuste e memorizzate in modo sicuro, procedure di recupero affidabili, limiti ai tentativi di accesso e protezione delle sessioni. L’autenticazione a più fattori è particolarmente raccomandabile per amministratori e operatori con accesso esteso. Gli account amministrativi non dovrebbero essere condivisi indiscriminatamente fra collaboratori dello studio.
HTTPS, aggiornamenti, backup e ripristino
Il portale deve usare connessioni cifrate (HTTPS), sistemi aggiornati e backup protetti. Ma un backup esistente non garantisce che il ripristino funzioni: occorre testarlo periodicamente. Aggiornamenti del CMS, plugin, infrastruttura e dipendenze devono seguire una procedura controllata, preferibilmente con inventario dei componenti e possibilità di ripristino. Un sito può essere compromesso anche se il dominio mostra il simbolo del lucchetto.
Registri di accesso e monitoraggio
Per individuare accessi anomali può essere utile registrare eventi pertinenti, come login, tentativi falliti e accessi amministrativi, con durata e dettaglio proporzionati. Anche i log possono contenere dati personali e non devono essere conservati senza limiti. Va definito chi li consulta, per quali finalità e come proteggerli da alterazioni.
Come evitare che fatture e verbali finiscano su Google
Un errore frequente è proteggere la pagina dell’area riservata ma lasciare i file PDF in una cartella pubblica con un indirizzo indovinabile o condivisibile. In quel caso il login non impedisce l’accesso diretto a chi conosce il link. Anche motori di ricerca o strumenti di anteprima possono raggiungere file che il gestore non ha effettivamente protetto.
Il file deve richiedere una verifica dei permessi
La soluzione consiste nel far passare ogni richiesta di documento attraverso il controllo server-side dei diritti dell’utente, oppure nell’usare meccanismi equivalenti di accesso temporaneo, revocabile e correttamente circoscritto. Per dati riservati non sono misure sufficienti da sole l’assenza di link nel menu, il nome casuale del file o un semplice meta tag noindex.
Attenzione ad allegati, anteprime e cache
Un’applicazione può proteggere l’originale ma esporre miniature, anteprime, file temporanei o copie nella cache. Occorre controllare come vengono serviti tutti i derivati e come opera la cache per utenti diversi. Un verbale riservato a un condominio non deve poter essere restituito erroneamente a un utente autenticato di un altro stabile.
Test pratico prima del lancio
Creare account di prova con ruoli distinti: proprietario del condominio A, proprietario del condominio B, conduttore, amministratore e utente non autenticato. Verificare che ciascuno veda soltanto i documenti dovuti, compresi i link diretti ai PDF e gli allegati scaricati. Ripetere i test dopo aggiornamenti importanti. Questa verifica funzionale non sostituisce ulteriori controlli tecnici quando il rischio lo richiede.
Il contratto con la web agency: quali garanzie chiedere?
Quando il portale è gestito da una società esterna, il contratto dovrebbe distinguere chiaramente fornitura del software, hosting, assistenza, gestione degli accessi, backup, subfornitori e trattamento dei dati. Non basta la formula «la web agency rispetta il GDPR» senza indicare attività e responsabilità reali. Per i trattamenti effettuati per conto del titolare vanno valutati gli accordi dell’articolo 28 GDPR e le istruzioni al fornitore.
Dove sono conservati i dati e chi può accedervi?
Il condominio o chi ne cura legittimamente la gestione deve conoscere l’ubicazione e le caratteristiche del servizio, eventuali trasferimenti internazionali, subfornitori e modalità di assistenza. L’accesso tecnico del personale del fornitore dovrebbe essere limitato alle necessità reali e tracciabile. Una società di hosting non deve poter usare i dati condominiali per proprie finalità commerciali soltanto perché li ospita.
Che cosa accade alla cessazione del contratto?
Occorre prevedere l’esportazione dei dati in formati utilizzabili, la consegna dei documenti, le modalità di revoca degli accessi, l’eventuale cancellazione o restituzione nei limiti degli obblighi di legge e la gestione dei backup residui. La continuità è importante perché un condominio può cambiare sia amministratore sia fornitore del portale: non deve rimanere prigioniero di un archivio inaccessibile.
Chi risponde se il fornitore sbaglia?
Le responsabilità dipendono da ruolo concreto, condotta, istruzioni, misure adottate e disciplina applicabile. Un contratto non può eliminare automaticamente gli obblighi imposti dal GDPR a chi assume un determinato ruolo. Per questo va verificata la gestione del rischio, oltre alla ripartizione commerciale delle attività.
Informativa privacy e consenso: cosa serve davvero?
Chi utilizza il portale deve ricevere informazioni adeguate sui trattamenti di dati personali, secondo gli articoli 13 e 14 GDPR ove applicabili: finalità, basi giuridiche, destinatari, conservazione, diritti e recapiti dei soggetti rilevanti. Ma non tutti i trattamenti condominiali richiedono il consenso: la gestione di obblighi legali o di rapporti giuridici può poggiare su basi differenti, da valutare caso per caso.
Spunta «accetto la privacy» obbligatoria?
Una spunta di consenso non è una soluzione universale. Se il trattamento è necessario per adempiere un obbligo legale, chiedere un consenso come se fosse liberamente revocabile può creare confusione. Meglio separare la presa visione dell’informativa da un consenso eventualmente richiesto per finalità facoltative e realmente basate su tale presupposto.
Cookie e strumenti di analisi del portale
Se il sito usa cookie o strumenti di tracciamento non strettamente necessari, vanno verificati gli obblighi di informazione e, ove richiesto, di consenso. Un’area riservata che utilizza soltanto cookie tecnici essenziali può avere esigenze differenti da un sito che integra pubblicità, analytics non esenti o tracciatori di terze parti. Va verificata la tecnologia realmente installata, non copiato un banner generico.
Per quanto tempo conservare i dati nel portale?
Il GDPR richiede di non conservare dati personali più a lungo del necessario alle finalità, fatta salva l’applicazione di obblighi legali, documentali o esigenze di difesa dei diritti. In ambito condominiale l’articolo 1130-bis c.c. prevede, per scritture e documenti giustificativi, la conservazione per dieci anni dalla relativa registrazione. Questo non autorizza automaticamente a conservare per dieci anni qualsiasi log, fotografia o copia temporanea prodotta dal portale.
Documenti amministrativi e file temporanei
Occorre distinguere l’archivio ufficiale da anteprime, file di lavoro, copie locali e cache. Per i documenti contabili si applicano i termini legali pertinenti; per i file tecnici serve una politica di conservazione motivata. Le categorie e i tempi dovrebbero essere conosciuti da chi gestisce il servizio e implementati nella configurazione del portale.
Il cambio amministratore comporta la cancellazione di tutta la documentazione?
No. La documentazione del condominio deve essere trasferita in modo completo e sicuro al successore, nei limiti degli obblighi applicabili. Bisogna però revocare gli accessi non più autorizzati, aggiornare i ruoli e verificare quali copie possano restare legittimamente presso lo studio uscente. Per i documenti storici e gli originali consulta la guida alla conservazione della contabilità condominiale e al passaggio di consegne.
Cosa fare se il sito viene violato o mostra dati a persone sbagliate?
Un data breach può consistere non solo nel furto di un archivio, ma anche nell’accesso non autorizzato a una singola fattura, nella pubblicazione involontaria di un documento riservato, nella perdita di un dispositivo o nell’indisponibilità dei dati dopo un attacco. Occorre limitare subito l’incidente, documentare ciò che è accaduto e valutare i rischi per le persone interessate.
Il Garante spiega gli obblighi di notifica delle violazioni: il titolare, se è probabile che vi sia un rischio per diritti e libertà delle persone, deve notificare l’incidente all’Autorità senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza. Se il rischio è elevato possono essere necessari anche avvisi agli interessati. Non ogni incidente impone automaticamente una notifica, ma tutti richiedono una valutazione e documentazione adeguate.
Esempio: un condomino vede le fatture di un altro stabile
Il portale consente a un utente del condominio A di aprire un PDF del condominio B sostituendo un numero nell’indirizzo del file. Questo è un problema di autorizzazione, anche se entrambi gli utenti erano autenticati correttamente. Bisogna sospendere l’accesso irregolare, verificare quali documenti siano stati esposti, preservare gli elementi utili all’analisi, valutare l’impatto e correggere l’errore prima di ripristinare il servizio.
Come preparare una procedura d’incidente
Prima che accada un problema, definire chi può intervenire, i recapiti del fornitore tecnico e del referente privacy, come disabilitare account o file, come conservare log e prove, chi prende decisioni sulle notifiche e come informare gli interessati quando necessario. Una procedura testata riduce i tempi di risposta e gli errori, ma non sostituisce la valutazione del singolo incidente.
Videosorveglianza, bacheche e messaggistica: non tutto va sul portale
Alcune informazioni possono essere condivise legittimamente in un contesto ristretto, mentre diventano eccessive se pubblicate su un sito o in un gruppo di messaggi. La videosorveglianza richiede valutazioni specifiche su finalità, inquadrature, informativa, tempi di conservazione e soggetti autorizzati all’accesso. Non basta che le telecamere siano state pagate dal condominio per rendere liberamente visibili le riprese a tutti i residenti.
Le registrazioni delle telecamere vanno pubblicate nell’area riservata?
In generale sarebbe una scelta molto rischiosa: la disponibilità delle immagini deve essere valutata in base a finalità, necessità e disciplina applicabile. Non è opportuno trasformare il portale in una videoteca di ingressi e spostamenti delle persone. L’accesso alle registrazioni dovrebbe essere riservato ai soggetti legittimati nei casi necessari.
Avvisi in bacheca e comunicazioni condominiali
La bacheca fisica o digitale può ospitare comunicazioni generali come orari di manutenzione o avvisi sui servizi. Non dovrebbe però esporre dettagli individuali non necessari, come solleciti di pagamento nominativi in spazi aperti a terzi. La stessa attenzione vale per allegati inviati in gruppi WhatsApp o email con molti destinatari.
Come scegliere e collaudare un portale sicuro: checklist pratica
- Delibera: verificare che l’assemblea abbia individuato tipologie documentali, destinatari e modalità di attivazione coerenti con l’articolo 71-ter.
- Inventario dati: classificare verbali, contabilità, fatture, anagrafe, pratiche e dati particolari.
- Ruoli privacy: analizzare chi determina finalità e mezzi e chi tratta dati per conto altrui.
- Fornitore: controllare contratto, eventuale accordo articolo 28, subfornitori, hosting, supporto, esportazione e cancellazione.
- Accessi: attribuire credenziali personali e permessi distinti per condominio, categoria di utente e documento.
- File: verificare che PDF, immagini, anteprime e copie nella cache non siano accessibili tramite URL dirette non autorizzate.
- Sicurezza: proteggere connessioni, autenticazioni, server e software; applicare aggiornamenti controllati e misure adeguate al rischio.
- Backup: eseguire e verificare periodicamente il ripristino degli archivi.
- Informativa: fornire informazioni chiare sui trattamenti; non usare il consenso come soluzione automatica per qualsiasi finalità.
- Conservazione: distinguere documenti ufficiali, copie temporanee, log e contenuti non più necessari.
- Subentro: prevedere esportazione degli archivi e revoca tempestiva degli accessi alla cessazione di incarichi o diritti.
- Incidenti: preparare una procedura per accessi indebiti, file esposti, perdita di dati e valutazione di eventuali notifiche GDPR.
Questi controlli non si sostituiscono a un audit tecnico e giuridico quando il portale gestisce volumi elevati o informazioni particolarmente delicate. Sono la base per verificare che il servizio non si limiti a un’area privata solo in apparenza.
Domande frequenti su privacy e sito del condominio
Si possono caricare i verbali dell’assemblea su un sito?
Sì, nei limiti dell’articolo 71-ter e dei diritti degli interessati, mediante un’area riservata ai soggetti legittimati e con controlli sui dati presenti nei documenti.
Basta un’unica password per tutti i condòmini?
Non è una soluzione consigliabile: impedisce di attribuire gli accessi, complica le revoche e può concedere a tutti lo stesso livello di permesso. Preferire credenziali personali e autorizzazioni differenziate.
La pagina protetta da password può lasciare il PDF pubblico?
No. Anche il documento scaricabile deve essere effettivamente protetto; il mero noindex non impedisce a chi possiede il link di aprirlo.
È obbligatorio chiedere consenso a ogni condomino per gestire le spese?
Non necessariamente: molti trattamenti necessari alla gestione possono avere basi giuridiche diverse dal consenso. È essenziale identificare e documentare il presupposto corretto.
Si può pubblicare l’elenco dei morosi online?
Non in una pagina aperta al pubblico. L’informazione rilevante può essere accessibile, alle condizioni applicabili, a chi ha un diritto concreto di consultazione, senza diffusione a estranei.
Un inquilino può vedere tutti i conti e i verbali?
Non automaticamente. Il livello di accesso va definito in funzione dei diritti legati al rapporto e dei singoli documenti, senza condividere indiscriminatamente l’account del proprietario.
Il condominio deve nominare sempre un DPO?
No. L’obbligo di designazione dipende dalle condizioni dell’articolo 37 GDPR, non dalla semplice presenza di un portale web.
Il GDPR impone un software particolare?
No. Richiede misure proporzionate al rischio e l’effettiva protezione dei dati; non certifica come sicuro un prodotto sulla sola base del suo nome.
La web agency può trattenere tutti i dati al cambio fornitore?
La consegna e l’eventuale cancellazione o restituzione devono essere regolate in funzione del ruolo del fornitore, dei contratti e degli obblighi legali. Un portale dovrebbe prevedere l’esportazione dei documenti di pertinenza del condominio.
Se una fattura viene vista per errore da un estraneo devo notificare il Garante?
Occorre valutare il rischio derivante dall’incidente. La notifica è dovuta alle condizioni dell’articolo 33 GDPR, in generale entro 72 ore dalla conoscenza nei casi previsti; in presenza di rischio elevato può servire anche la comunicazione agli interessati.
Le nuove linee guida del Garante del 2025 sono già una legge?
No. Il provvedimento di aprile 2025 è una consultazione pubblica su un documento di indirizzo. Per applicare eventuali determinazioni successive occorre verificare la versione e lo stato giuridico effettivi della fonte.
Fonti ufficiali e aggiornamenti
Per verificare le regole aggiornate consulta la legge 220/2012, articolo 25, che introduce l’articolo 71-ter; il vademecum del Garante sul condominio digitale, pubblicato nel 2013 e da leggere alla luce del GDPR; i principi fondamentali GDPR; il quadro degli obblighi di sicurezza del Garante; la pagina ufficiale sulle violazioni dei dati personali; e il provvedimento n. 209/2025 sulla consultazione in materia di condominio. Prima di applicare una regola a un caso concreto, verificare norme vigenti, ruoli del trattamento e successive determinazioni delle Autorità.
In sintesi: cosa consigliamo ad Antonio
Antonio, puoi proporre servizi online ai condòmini, ma devi distinguere l’attivazione del sito dalla protezione delle informazioni custodite nel portale. La delibera deve definire i documenti accessibili; il progetto tecnico deve garantire accessi riservati, autorizzazioni per ciascun soggetto, difesa dei file anche tramite link diretti, backup e controlli regolari. La privacy non impedisce la trasparenza contabile: richiede che la trasparenza sia esercitata fra gli aventi diritto, senza esposizione ingiustificata di dati a terzi.
Prima di stipulare un contratto con un fornitore, è utile verificare la disciplina GDPR effettivamente applicabile e predisporre procedure di consegna dei dati al cambio amministratore. Per la gestione degli archivi contabili puoi leggere anche i registri obbligatori e il passaggio dei documenti al nuovo amministratore.
Un saluto,
Lo Staff di regimeminimi.com
Richiedi informazioni sui nostri servizi di apertura, contabilità e gestione fiscale della Partita IVA.
- Apertura della Partita IVA
- Gestione del regime forfettario
- Gestione della contabilità semplificata
Caterina
Servizio clienti