Studio Cravero ConsultingAggiornato al 19 agosto 2026
Chi tratta cosa, in un'associazione
- Soci e tesserati: libro soci, quote, assemblee, deleghe
- Donatori: anagrafiche, storico delle erogazioni, ricevute per la detrazione fiscale
- 5 per mille: elenchi dei sostenitori che hanno acconsentito alla comunicazione dei dati
- Volontari: registro obbligatorio, dati per l'assicurazione, rimborsi spese
- Beneficiari dei servizi: nelle ODV che assistono persone fragili, spesso dati sanitari
- Newsletter e raccolta fondi: contatti raccolti a eventi, online, in occasione di campagne
- Personale dipendente, dove presente
- Immagini di eventi e attività, pubblicate su sito e social
L'esenzione dell'art. 9 e i suoi limiti
Molte associazioni chiedono ai soci un consenso che la norma non richiede, e poi si trovano nell'impossibilità di gestire il rapporto se qualcuno lo revoca. La previsione dell'art. 9, par. 2, lett. d consente il trattamento dei dati particolari dei membri, degli ex membri e di chi ha contatti regolari con l'ente, ma a tre condizioni precise:
- deve avvenire nell'ambito delle legittime attività dell'associazione
- devono esserci garanzie adeguate, cioè misure organizzative e di sicurezza documentate
- i dati non possono essere comunicati all'esterno senza il consenso dell'interessato
Donatori e raccolta fondi
La gestione del donatore ha due piani distinti che vanno tenuti separati.
Il primo è l'adempimento fiscale e contabile: registrare l'erogazione, emettere la ricevuta, conservare la documentazione. Si fonda sull'obbligo di legge e non richiede consenso.
Il secondo è la relazione con il donatore: newsletter, richieste di rinnovo, campagne, profilazione della propensione a donare. Qui la base giuridica va scelta con attenzione — consenso o legittimo interesse a seconda del caso — e l'informativa deve dire chiaramente cosa accadrà dopo la donazione. Una persona che dona una volta non ha automaticamente accettato di ricevere comunicazioni per sempre.
Sul 5 per mille: gli enti ricevono dall'Agenzia delle Entrate i dati dei contribuenti che hanno espressamente acconsentito alla comunicazione. Quei dati possono essere usati per ringraziare e informare, ma restano soggetti a informativa e a limiti di conservazione, e non si fondono automaticamente con la base dati dei donatori diretti.
Volontari e beneficiari
Il registro dei volontari è un obbligo di legge per gli enti del terzo settore, collegato all'obbligo assicurativo. I dati raccolti vanno limitati a quanto serve per quelle finalità: non è necessario, ad esempio, conservare curricula dettagliati o informazioni sanitarie non pertinenti.
Discorso diverso per i beneficiari dei servizi. Le ODV che assistono minori, anziani, persone con disabilità o in condizione di fragilità trattano dati sanitari e informazioni su condizioni personali delicate. Qui servono misure rafforzate, accessi limitati alle sole persone che ne hanno bisogno, e una valutazione sull'obbligo di DPO che in questi casi può risultare positiva.
Il minimo indispensabile
- Registro dei trattamenti: obbligatorio salvo eccezioni che raramente si applicano, perché il trattamento di dati particolari o non occasionale fa scattare l'obbligo comunque
- Informative distinte per soci, donatori, volontari e beneficiari
- Nomine dei responsabili: piattaforma di gestione soci, servizio di invio newsletter, commercialista, hosting
- Autorizzazioni per chi accede ai dati, inclusi i volontari con ruoli amministrativi
- Gestione delle immagini di eventi e attività, con consenso per la pubblicazione
- Valutazione sull'obbligo di DPO, positiva per gli enti che trattano dati sanitari su larga scala
- Formazione di chi opera con i dati, volontari compresi
Un'ultima nota su chi usa strumenti di intelligenza artificiale per redigere bandi, comunicazioni o rendicontazioni: l'obbligo di alfabetizzazione del personale previsto dall'art. 4 dell'AI Act si applica anche agli enti non profit, senza soglie dimensionali.
Domande frequenti
Un'associazione deve tenere il registro dei trattamenti?
Quasi sempre sì. L'esenzione per gli enti sotto i 250 dipendenti non si applica quando il trattamento non è occasionale o riguarda categorie particolari di dati: due condizioni che in un'associazione ricorrono di norma, tra libro soci, donatori e volontari.
Serve il consenso dei soci per trattare i loro dati?
Per l'attività associativa ordinaria no: la base giuridica è l'esecuzione del contratto associativo. Per i dati particolari dei membri, l'art. 9 par. 2 lett. d consente il trattamento senza consenso nell'ambito delle legittime attività dell'ente, con adeguate garanzie e a condizione che i dati non escano dall'associazione.
Possiamo pubblicare l'elenco dei soci sul sito?
Non senza consenso. L'esenzione dell'art. 9 copre il trattamento interno, non la comunicazione a terzi: la pubblicazione rende i dati accessibili a chiunque e richiede quindi una base giuridica autonoma, che di norma è il consenso specifico degli interessati.
I dati del 5 per mille si possono usare per le newsletter?
Con cautela. L'Agenzia delle Entrate trasmette i dati dei contribuenti che hanno espressamente acconsentito alla comunicazione all'ente. Quei dati possono essere usati per ringraziare e informare sull'attività, ma restano soggetti a informativa e limiti di conservazione, e non si fondono automaticamente con l'anagrafica dei donatori diretti.
Un'ODV che assiste persone fragili deve nominare il DPO?
Va valutato con attenzione, e l'esito è spesso positivo. Il trattamento di dati sanitari o relativi a condizioni di fragilità su larga scala rientra nell'obbligo dell'art. 37 par. 1 lett. c. Contano il numero di persone assistite, la continuità del servizio e la natura dei dati raccolti.
I volontari devono essere formati sulla privacy?
Sì, se accedono a dati personali. La formazione non dipende dalla natura del rapporto ma dall'accesso ai dati: un volontario che gestisce l'anagrafica soci o assiste beneficiari deve ricevere istruzioni scritte e formazione documentata, esattamente come un dipendente.
Approfondimenti: GDPR per la PA · GDPR per cooperative · registro dei trattamenti · informative privacy.
A cura del Dott. Pietro Cravero, DPO certificato (IDcert, Master II livello in Trattamento dei Dati Personali — Università Roma Tre). Studio Cravero Consulting ricopre il ruolo di DPO esterno per aziende, studi professionali ed enti pubblici in tutta Italia. Chi sono.
La tua associazione ha registro e informative aggiornati?
Nella maggior parte degli enti che seguo mancava almeno uno dei due. La prima call è gratuita e serve a capire da dove partire.