Privacy in parrocchia: il Decreto generale CEI e il GDPR in pratica

In parrocchia passano molti dati personali: chi chiede un sacramento, le famiglie del catechismo, i volontari, i malati da visitare. Alcuni sono delicati, perché rivelano la fede delle persone. Le regole non sono complicate, ma vanno conosciute.

Quali regole valgono

Valgono due testi, che vanno nella stessa direzione:

• il Regolamento europeo 2016/679 (GDPR), che vale per tutti;
• il Decreto generale della CEI del 24 maggio 2018, «Disposizioni per la tutela del diritto alla buona fama e alla riservatezza», che vale per gli enti ecclesiastici in Italia. Il GDPR stesso (art. 91) permette alle Chiese che hanno regole proprie di continuare ad applicarle, se sono in linea con il Regolamento.

Per i dettagli, l'ufficio giuridico o la cancelleria della tua diocesi sono il primo riferimento.

Chi è il titolare dei dati

Il titolare è la parrocchia, cioè l'ente, rappresentata dal parroco. Chi aiuta in segreteria, i catechisti, gli animatori trattano i dati per conto della parrocchia: sono persone autorizzate e devono ricevere indicazioni chiare su cosa possono fare.

Se la parrocchia usa un fornitore esterno che conserva i dati (un gestionale online, un servizio di posta), serve un accordo scritto che lo nomina responsabile del trattamento (art. 28 GDPR).

Quando serve il consenso

Per le attività religiose della parrocchia verso i propri fedeli e verso chi la frequenta, il GDPR permette di trattare i dati anche quando rivelano convinzioni religiose, purché non vengano comunicati all'esterno senza consenso (art. 9, par. 2, lett. d). È il caso dei registri dei sacramenti o delle iscrizioni al catechismo.

Il consenso serve invece quando si esce da questo perimetro. Ad esempio:

• pubblicare foto e video sul sito, sui social, sul bollettino;
• comunicare dati a soggetti esterni non ecclesiastici;
• inviare comunicazioni che non riguardano l'attività per cui la persona ha dato i dati.

Cosa dire alle persone: l'informativa

Quando raccogli dati (iscrizioni al catechismo, all'oratorio, ai campi, richiesta di un sacramento) consegna un'informativa breve e chiara:

• chi è il titolare e come contattarlo;
• per cosa servono i dati;
• per quanto tempo si conservano;
• a chi possono essere comunicati (ad esempio la diocesi);
• quali diritti ha la persona e a chi rivolgersi.

Molte diocesi mettono a disposizione modelli già pronti: chiedi prima di scriverne uno da zero.

I registri dei sacramenti

I registri non si cancellano. Chi chiede di uscire dalla Chiesa ottiene un'annotazione a margine dell'atto di battesimo, non la sua eliminazione. La persona può però chiedere di vedere i propri dati e di correggere quelli sbagliati, con un'annotazione.

Custodire i dati ogni giorno

• Registri e schede in armadi chiusi, non sulla scrivania aperta al pubblico.
• Computer con password personale e schermo bloccato quando ti allontani.
• Niente elenchi con nomi e telefoni appesi in bacheca.
• Nei gruppi WhatsApp tutti vedono i numeri di tutti: per gli avvisi preferisci le liste broadcast, e chiedi il permesso prima di aggiungere qualcuno.
• Ogni collaboratore vede solo ciò che gli serve, e quando smette di collaborare il suo accesso si chiude.
• I moduli che non servono più si distruggono, non si accumulano in sacrestia.

Se qualcosa va storto

Un computer rubato, una chiavetta persa, un'email con i dati delle famiglie mandata alle persone sbagliate: avvisa subito la curia. Ti dirà come procedere, anche per l'eventuale comunicazione all'autorità, che il GDPR chiede entro 72 ore quando c'è un rischio per le persone (art. 33).

Una lista di controllo

1. Sai chi in parrocchia tratta quali dati, e lo hai indicato per iscritto.
2. Consegni un'informativa quando raccogli dati nuovi.
3. Hai consensi separati per le foto e per ciò che esce dalle attività religiose.
4. Con i fornitori che conservano i dati hai un accordo scritto (art. 28).
5. Gli accessi dei collaboratori sono personali e si chiudono quando smettono.
6. Sai a chi telefonare in curia se perdi dei dati.