Studio Cravero ConsultingAggiornato al 19 agosto 2026
La base sociale: il trattamento che nessuno mappa
Il libro soci non è solo un adempimento civilistico: è un trattamento di dati personali a tutti gli effetti, e si porta dietro una serie di trattamenti collegati che raramente compaiono nel registro dell'art. 30.
- Libro soci e domande di ammissione, con la documentazione a corredo
- Assemblee: convocazioni, deleghe, verbali, elenchi dei presenti e delle votazioni
- Ristorni e distribuzione: dati economici individuali collegati alla partecipazione
- Prestito sociale, dove previsto, con i dati finanziari che comporta
- Comunicazioni ai soci e strumenti di consultazione
- Bilancio sociale e obblighi di pubblicità, con attenzione a cosa viene reso pubblico
La base giuridica di questi trattamenti è di norma l'esecuzione del contratto sociale o l'obbligo di legge, non il consenso. Confondere i due piani porta a chiedere consensi inutili e, cosa peggiore, a non individuare la base giuridica corretta per i trattamenti che ne hanno davvero bisogno.
Soci lavoratori: due rapporti, due trattamenti
La legge 142/2001 stabilisce che il socio lavoratore instaura con la cooperativa un ulteriore e distinto rapporto di lavoro. Sul piano della protezione dei dati questo significa che gli stessi dati anagrafici possono essere trattati per due finalità diverse, con basi giuridiche diverse e tempi di conservazione diversi.
Cooperative sociali: la soglia di attenzione più alta
Le cooperative sociali di tipo A, che gestiscono servizi socio-sanitari ed educativi, trattano dati sanitari degli assistiti: minori, anziani, persone con disabilità, persone in condizione di fragilità. È un trattamento di categorie particolari su larga scala, e questo rende la nomina del DPO quasi sempre obbligatoria ai sensi dell'art. 37, par. 1, lett. c.
Le cooperative di tipo B, che svolgono attività finalizzate all'inserimento lavorativo di persone svantaggiate, trattano informazioni sulla condizione di svantaggio: anche queste rientrano tra le categorie particolari, e la documentazione che le riguarda va gestita con misure rafforzate e accessi limitati.
In entrambi i casi vanno curati con particolare attenzione i rapporti con gli enti pubblici committenti: nelle convenzioni e negli appalti va chiarito chi è titolare e chi responsabile del trattamento, perché è il punto su cui si concentrano le contestazioni.
Gli adempimenti, in ordine di priorità
- Valutazione dell'obbligo di DPO, che per le sociali di tipo A è quasi sempre positiva
- Registro dei trattamenti che comprenda base sociale, lavoro, servizi erogati e fornitori
- Informative distinte per soci, soci lavoratori, dipendenti non soci, assistiti e loro familiari
- Nomine dei responsabili: gestionali, consulenti del lavoro, centri servizi, enti committenti
- Valutazione d'impatto sui trattamenti di dati sanitari e sulla videosorveglianza
- Autorizzazioni e istruzioni al personale che accede ai dati degli assistiti
- Formazione documentata, con attenzione al turnover tipico del settore
Se la cooperativa usa strumenti di intelligenza artificiale — per la gestione dei turni, per la selezione del personale o per l'analisi dei servizi erogati — si aggiungono gli obblighi dell'AI Act. I sistemi usati per assunzione e valutazione dei lavoratori rientrano tra quelli ad alto rischio dell'Allegato III.
Domande frequenti
Una cooperativa deve nominare il DPO?
Dipende dai trattamenti. Le cooperative sociali di tipo A, che trattano dati sanitari degli assistiti su larga scala, rientrano quasi sempre nell'obbligo previsto dall'art. 37 par. 1 lett. c. Per le altre cooperative la valutazione va fatta caso per caso, considerando l'ampiezza della base sociale e la natura dei servizi erogati.
Il libro soci va inserito nel registro dei trattamenti?
Sì. È un trattamento di dati personali fondato sull'obbligo di legge e sull'esecuzione del contratto sociale, e va documentato come tutti gli altri, insieme ai trattamenti collegati: assemblee, deleghe, ristorni, prestito sociale e comunicazioni ai soci.
I dati del socio lavoratore si gestiscono come quelli di un dipendente?
In parte. Il socio lavoratore ha con la cooperativa un rapporto associativo e uno di lavoro, distinti ai sensi della legge 142/2001. Ne derivano trattamenti con basi giuridiche e tempi di conservazione diversi, che vanno tenuti separati nel registro e nelle policy di conservazione.
Nelle convenzioni con gli enti pubblici chi è il titolare?
Va stabilito espressamente. In molti affidamenti la cooperativa opera come responsabile del trattamento per conto dell'ente, in altri è titolare autonoma per una parte dei trattamenti. La qualificazione dipende da chi determina finalità e mezzi, e va formalizzata nella convenzione prima dell'avvio del servizio.
Serve il consenso dei soci per le comunicazioni sociali?
Di norma no. Le comunicazioni funzionali al rapporto sociale — convocazioni, informazioni sull'attività, adempimenti statutari — si fondano sull'esecuzione del contratto. Il consenso serve invece per finalità ulteriori, come newsletter promozionali o iniziative commerciali non collegate alla vita sociale.
Le cooperative che usano IA per i turni hanno obblighi in più?
Sì. Se il sistema si limita a ottimizzare gli orari resta a rischio minimo, ma se valuta prestazioni o comportamenti dei lavoratori rientra nell'Allegato III dell'AI Act tra i sistemi ad alto rischio. In ogni caso si applica l'obbligo di alfabetizzazione del personale, in vigore dal 2 febbraio 2025.
Approfondimenti: GDPR per la sanità · valutazione d'impatto · registro dei trattamenti · servizio DPO esterno.
A cura del Dott. Pietro Cravero, DPO certificato (IDcert, Master II livello in Trattamento dei Dati Personali — Università Roma Tre). Studio Cravero Consulting ricopre il ruolo di DPO esterno per aziende, studi professionali ed enti pubblici in tutta Italia. Chi sono.
La tua cooperativa ha mappato anche la base sociale?
Nella maggior parte dei registri che vedo, i trattamenti sui soci mancano. La prima call è gratuita e serve a capire cosa manca davvero.