Quando si parla di protezione dei dati pensiamo subito a leggi, adempimenti e forse anche multe, ma nel contesto dei servizi solidali la gestione accurata delle informazioni ha un significato molto più profondo, che va oltre la conformità legale: è una questione di etica, rispetto e fiducia.

Gli enti che offrono servizi solidali, che siano Caritas, associazioni, cooperative o altro, accolgono persone che solitamente si trovano in momenti particolari, che affrontano situazioni difficili e di vulnerabilità. Queste persone quando si rivolgono a un ente in cerca di sostegno si aprono, condividono non solo dati anagrafici ma anche dettagli privati e sensibili della propria vita: problemi economici, difficoltà familiari, storie personali complesse, condizioni di salute delicate. Ogni informazione non è un semplice dato: è un pezzetto di vita, una richiesta di aiuto e di supporto.

Le persone che si rivolgono a enti di supporto quindi non sono solo "utenti": sono persone che, per varie ragioni, stanno affrontando un periodo di difficoltà. Questa fragilità può essere economica, certo, ma spesso si estende ad altri ambiti: psicologico, sociale, di salute.

In questi contesti i dati condivisi hanno un valore umano importante, sono storie, disagi, richieste di aiuto. Una madre single che condivide la sua situazione familiare precaria, un anziano che racconta le sue fragilità di salute, un giovane che confida le sue difficoltà di inserimento nel mondo del lavoro. Tutte queste informazioni sono preziose, e la loro condivisione si basa su un patto implicito di fiducia. Chi le riceve ha il dovere morale di custodirle con la massima cura e rispetto, di non utilizzarle impropriamente e di assicurarsi che nessuno possa utilizzarle al di fuori dei servizi di sostegno. È necessario che venga prestata attenzione in modo da non tradire la fiducia degli utenti e da non ledere la loro dignità o il loro diritto alla riservatezza.

Il GDPR è basato su alcuni principi basilari che devono essere sempre tenuti presente e quindi guidare ogni trattamento di dati personali, vediamo insieme quali sono:

• liceità, correttezza e trasparenza: non si può fare un uso illecito dei dati ed è sempre necessario comunicare in modo chiaro agli utenti per quali ragioni i dati vengono raccolti e in che modo verranno utilizzati;
• limitazione delle finalità: deve sempre essere definita una finalità determinante, esplicita e legittima per la raccolta dei dati, non è possibile, ad esempio, raccogliere dati che “potrebbero servire in futuro”;
• minimizzazione dei dati: devono essere raccolti solo i dati strettamente necessari, non uno in più;
• esattezza: i dati devono essere esatti e, se necessario, aggiornati, non è possibile raccogliere dati incerti, approssimati o vecchi;
• limitazione della conservazione: i dati devono essere conservati per il tempo necessario a completare le finalità per cui sono raccolti. Non è possibile conservare dati una volta che il loro utilizzo non è più necessario;
• integrità e riservatezza: i dati devono essere conservati e trattati in modo da garantire che siano completi e corretti e che non possano essere utilizzati per trattamenti non autorizzati o illeciti. È necessario proteggere i dati dalla perdita, dalla distruzione e da danni, anche accidentali.

Oltre a stabilire questi principi, che di fatto sono obblighi che chi raccoglie i dati deve rispettare, il GDPR prevede anche una serie di diritti ben precisi per gli interessati:

• diritto di accesso: l'interessato ha il diritto di ottenere la conferma che sia in corso o meno un trattamento di dati personali che lo riguardano e, in tal caso, di ottenerne l'accesso;
• diritto di rettifica: l'interessato ha il diritto di correggere i dati personali inesatti che lo riguardano;
• diritto alla cancellazione (diritto all'oblio): l'interessato ha il diritto di ottenere la cancellazione dei dati personali che lo riguardano;
• diritto di limitazione di trattamento: l'interessato ha il diritto di richiedere e ottenere la limitazione del trattamento;
• diritto alla portabilità dei dati: l'interessato ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico, i dati personali che lo riguardano e ha il diritto se vuole di trasmettere tali dati a un altro titolare del trattamento;
• diritto di opposizione: l'interessato ha il diritto di opporsi in qualsiasi momento al trattamento dei dati personali che lo riguardano.

Per far sì che sia gli obblighi del titolare (chi raccoglie i dati) che i diritti dell’interessato vengano messi in pratica e garantiti, è necessario che l’ente sia seguito da una figura professionale competente e qualificata che possa seguire ogni aspetto legato alla tutela della riservatezza di dati così da assicurare la corretta applicazione del GDPR.

Il professionista che solitamente si occupa di questo è il Responsabile della Protezione dei Dati (RPD), o Data Protection Officer (DPO): si tratta di una figura che, se presente, supervisiona la conformità al GDPR e fa da punto di contatto con il Garante e con gli interessati. In assenza di un DPO, è comunque indispensabile affidarsi a un altro professionista con le competenze necessarie per definire e verificare le modalità di trattamento dei dati.

Ormai, in quest’epoca, ovunque ci sia una raccolta di dati troviamo (quasi) sempre un software che viene utilizzato per registrarli e conservarli. Può trattarsi di un semplice foglio di calcolo, ma anche e soprattutto di un software gestionale che consenta una gestione efficiente. Nel momento in cui un ente solidale sceglie quale soluzione software utilizzare deve tenere presente che anche questi strumenti hanno l’obbligo di essere conformi al GDPR.

Ma come fare per valutare se un software è adeguato alle regole del GDPR oppure no? Un software conforme deve consentire l’esercizio dei diritti degli interessati, gestire e tracciare gli accessi, conservare i dati in modo sicuro. Il modo più semplice per sapere se questi requisiti sono rispettati è quello di chiedere al fornitore: molte software house possono fornire un certificato di conformità al GDPR, oppure rispondere a domande specifiche che il DPO (o il suo omologo) vorrà porre.

Oltre a verificare la conformità del software è necessario valutare anche se l’azienda che lo distribuisce ha la possibilità di accedere ai dati, anche semplicemente per finalità di assistenza tecnica e/o manutenzione: in questo caso sarà necessario nominare l’azienda stessa Responsabile del trattamento dei dati (o in alcuni casi a cotitolare). Questa nomina comporta la firma di un contratto specifico che disciplina i compiti, le responsabilità e le misure di sicurezza adottate dal Responsabile.

Alcune soluzioni non sono idonee ad essere utilizzate per raccogliere dati, ad esempio il molto diffuso Fogli di Google, nella sua versione con account personale (senza workspace) non è conforme, in quanto non c’è modo di nominare Google Responsabile del trattamento dei dati. Queste soluzioni andrebbero scartate a priori, scegliendo invece opzioni più adeguate.

Per noi di CariGest la riservatezza e la tutela dei dati, soprattutto in un settore così delicato come quello dei servizi solidali, sono aspetti fondamentali: non si tratta solo di un obbligo normativo, ma di un valore imprescindibile. Non diffonderemo mai i dati inseriti nel gestionale e non li utilizzeremo mai per scopi non previsti: la sicurezza dei dati dei tuoi utenti per noi è prioritaria.

Per garantire il massimo della sicurezza abbiamo implementato politiche rigorose per la gestione dei data breach, con tempestività nelle notifiche e nelle azioni correttive, in linea con le richieste del GDPR. Le nostre procedure di conservazione e cancellazione dei dati sono chiaramente definite e rispettano i principi di minimizzazione e limitazione della conservazione.

Possiamo fornirti un documento di conformità al GDPR, e se non fosse sufficiente, o se ci fossero quesiti specifici per la compilazione di un DPIA (Data Protection Impact Assessment, un documento che valuta l’impatto dei trattamenti sulla protezione dei dati), siamo disponibili a fornirti le informazioni utili per il tuo ente. Con l’intento di semplificare il tutto abbiamo predisposto un documento con le risposte alle domande che ci vengono poste più di frequente nell’ambito della valutazione dei rischi.

Ovviamente siamo assolutamente disponibili anche a essere nominati Responsabili del trattamento dei dati tramite l’accordo formale necessario.

La protezione dei dati non è un semplice adempimento burocratico, ma un atto concreto di tutela delle persone, in particolare quelle che si trovano in momenti di fragilità. Significa rispettare la loro dignità, salvaguardare la loro riservatezza e onorare la fiducia che ripongono nelle organizzazioni di supporto.

Con CariGest, i tuoi dati e, soprattutto, quelli dei tuoi utenti, sono davvero al sicuro. Siamo qui per supportarti in ogni fase, garantendo non solo la conformità alle normative, ma anche la serenità di operare con la massima etica e professionalità. Se vuoi saperne di più puoi contattarci, siamo disponibili a fornirti tutte le informazioni di cui hai bisogno.