Art. 91 GDPR — Norme di protezione dei dati vigenti presso chiese e associazioni religiose

Commento

Tutela dell'autonomia delle chiese

L'art. 91 GDPR tutela le norme di protezione dei dati delle chiese e delle associazioni religiose già in vigore al momento dell'entrata in vigore del GDPR. Le chiese e le associazioni religiose che, al momento dell'entrata in vigore del Regolamento, applichino norme esaurienti relative alla protezione dei dati personali possono continuare ad applicarle, purché siano rese compatibili con il GDPR. La logica è di rispettare l'autonomia delle confessioni religiose nel disciplinare i propri trattamenti.

Norme vigenti al momento del GDPR

Le norme vigenti coperte sono quelle adottate prima dell'entrata in vigore del GDPR (25 maggio 2016 per i requisiti generali, applicabile dal 25 maggio 2018). Tipicamente disciplinano: dati dei fedeli (registri di battesimo, matrimonio, sacramenti), dati del personale religioso, dati di sostenitori e collaboratori. Le normative variano per confessione e tradizione.

Compatibilità con il GDPR

La compatibilità con il GDPR è condizione: le norme religiose devono essere rese compatibili. Ciò significa che i principi del Regolamento (liceità, finalità, minimizzazione, sicurezza, accountability) e i diritti degli interessati devono essere garantiti, anche se attraverso strumenti specifici delle confessioni. Le confessioni hanno adattato i propri regolamenti.

Autorità di controllo specifica

Il par. 2 prevede che le chiese e le associazioni religiose che applicano norme esaurienti siano soggette al controllo di un'autorità di controllo indipendente, che può essere specifica, purché soddisfi le condizioni del Capo VI (artt. 51 ss.). È deroga rispetto alla regola generale dell'Autorità nazionale: le confessioni possono avere autorità di controllo proprie. In pratica, soluzione adottata raramente.

In Italia: la disciplina della Chiesa Cattolica

In Italia, la Chiesa Cattolica applica il Decreto generale CEI 'Disposizioni per la tutela del diritto alla buona fama e alla riservatezza' del 1999, integrato e rivisto con la prassi GDPR. Le altre confessioni con Intese (Tavola Valdese, Comunità Ebraiche, ecc.) hanno proprie discipline. Le confessioni senza Intesa applicano direttamente GDPR e Codice Privacy.

Coordinamento con il Garante

Il coordinamento con il Garante è il punto operativo. Per i trattamenti delle confessioni religiose, il Garante è competente in generale, salvo che la confessione abbia propria autorità di controllo riconosciuta (caso non realizzato in Italia). Il Garante ha pubblicato chiarimenti su trattamenti specifici (registri parrocchiali, sacramenti, ex appartenenza). Casi delicati: registro dei battesimi e diritto all'oblio per ex membri.

Regola pratica e checklist operativa

Compliance art. 91: per confessioni: (i) adattamento delle norme proprie al GDPR; (ii) informative ai fedeli; (iii) policy su sacramenti e registri; (iv) gestione dei diritti (oblio bilanciato con tradizione); (v) coordinamento con Garante; (vi) formazione del personale.

Accountability e documentazione

Tutti gli adempimenti relativi a questa disposizione devono essere documentati ai fini del principio di accountability di cui all'art. 5, par. 2 GDPR: integrazione nel registro dei trattamenti (art. 30), valutazione del rischio in DPIA quando applicabile (art. 35), formazione del personale autorizzato al trattamento (art. 29), audit periodici e tracciamento delle decisioni. Le sanzioni amministrative di cui all'art. 83 GDPR e la responsabilità civile dell'art. 82 presuppongono la dimostrazione, da parte del titolare, di aver adottato misure tecniche e organizzative adeguate. La consulenza del DPO, ove designato, è strumento prezioso per la corretta declinazione operativa.

Coordinamento con il Codice Privacy italiano

L'applicazione di questa disposizione in Italia avviene in coordinamento con il D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) come modificato dal D.Lgs. 101/2018 di adeguamento al GDPR. Il Codice integra il Regolamento europeo nelle materie specifiche lasciate alla discrezionalità degli Stati membri: lavoro (art. 88 D.Lgs. 196/2003), sanità (artt. 75 ss.), ricerca scientifica e statistica (artt. 99-110), giornalismo (art. 137), archivi (artt. 99-103), trattamento di categorie particolari (art. 2-septies), dati di condanne penali (art. 2-octies), limitazioni (art. 2-undecies). I provvedimenti generali e le regole deontologiche approvati dal Garante per la protezione dei dati personali hanno valore precettivo e devono essere considerati. La giurisprudenza della Cassazione e del Tribunale di Roma (competente per ricorsi ex art. 152 D.Lgs. 196/2003) ha consolidato la prassi interpretativa nazionale, coerente con la giurisprudenza CGUE. Per il consulente privacy, l'approccio sistematico richiede integrazione di GDPR, Codice Privacy e provvedimenti del Garante in un framework unitario di compliance.