Privacy sul sito della parrocchia: la guida semplice

"Non possiamo pubblicare quella foto, c'è la privacy." È una frase che in parrocchia si sente spesso, a volte a ragione e a volte per paura di sbagliare. La verità è che le regole sulla protezione dei dati non vietano di avere un sito o di raccontare la vita della comunità: chiedono di farlo con un po' di ordine.

Questo articolo è una guida informativa in parole semplici, non una consulenza legale. Serve a farsi le domande giuste; per i casi particolari rivolgetevi all'ufficio diocesano competente.

Quali regole valgono per una parrocchia

Per i dati personali valgono due livelli di norme:

• il Regolamento europeo sulla protezione dei dati (GDPR), che vale per tutti: aziende, associazioni, enti;
• il Decreto generale della Conferenza Episcopale Italiana del 24 maggio 2018, che applica il GDPR alla vita della Chiesa in Italia e tiene conto delle sue particolarità.

Non servono grandi studi per orientarsi. Bastano alcuni concetti.

Il titolare è la parrocchia

Il titolare del trattamento è chi decide perché e come si usano i dati: nel caso del sito della parrocchia è la parrocchia stessa, rappresentata dal parroco. Chi gestisce lo strumento tecnico (il sito, il gestionale, il server) agisce in suo nome. Questo ha una conseguenza pratica: chi usa il sito deve sapere che le scelte sui dati sono della parrocchia, non della piattaforma.

Una parrocchia, quindi, dovrebbe sapere almeno: quali dati raccoglie, per quale scopo, chi li può vedere e per quanto tempo li tiene.

L'informativa: dire chiaramente che cosa si fa

L'informativa è la pagina che spiega alle persone, in modo comprensibile, che cosa succede ai loro dati. Un buon testo risponde a poche domande: chi è il titolare e come si contatta, quali dati si raccolgono, perché, per quanto tempo si conservano, a chi possono andare e quali diritti hanno le persone (chiedere una copia, una correzione, la cancellazione).

Sul sito dei fedeli la pagina deve essere facile da trovare, di solito nel fondo di ogni pagina. E ogni volta che aggiungete un modulo (un'iscrizione, una richiesta di sala, un contatto) controllate che il testo dica davvero ciò che succede.

Le foto: i minori e il consenso

È il tema più delicato. Per le foto di persone riconoscibili, e in particolare di minori, la prudenza è d'obbligo:

• per pubblicare foto o video in cui un minore è riconoscibile serve di norma il consenso dei genitori, dato in modo chiaro e per iscritto, e che può essere ritirato;
• il consenso va riferito a un uso preciso ("foto delle attività sul sito della parrocchia"), non a un generico "tutto";
• se non avete il consenso, scegliete foto di spalle, di gruppo da lontano o di dettagli (le mani, i lavoretti, i cartelloni);
• evitate di scrivere nome e cognome accanto alla foto di un bambino.

Un'abitudine utile è raccogliere il consenso con il modulo di iscrizione all'anno di catechismo o al campo estivo, in una voce separata dalle altre. E se qualcuno chiede di togliere una foto, toglietela subito: è una richiesta che va sempre ascoltata.

Raccogliere solo ciò che serve

I moduli del sito sono il posto in cui si raccolgono più dati. Una regola semplice li riassume: chiedete il minimo. Per una richiesta di informazioni bastano nome e email; per un campo estivo, nome e età dei partecipanti e un recapito dei genitori.

Particolare attenzione ai dati sulla salute (allergie, intolleranze, terapie): sono dati particolari, quindi chiedeteli solo se servono davvero, per esempio per il menu di un ritiro, e non usateli per altri scopi. Se il modulo non ne ha bisogno, non aggiungete la domanda.

Quanto tempo si conservano i dati

Una domanda spesso dimenticata. I dati personali non si tengono "per sempre": si tengono per il tempo necessario allo scopo per cui sono stati raccolti. Alcuni esempi di buon senso:

• le risposte a un'iscrizione a un campo hanno senso finché il campo non è concluso;
• un'autorizzazione firmata dai genitori non serve più qualche settimana dopo la fine dell'attività;
• una richiesta di una sala non va tenuta anni.

Stabilite un tempo per ogni tipo di dato e mettetelo per iscritto. Nel gestionale de La Mia Parrocchia alcuni dati si eliminano già da soli: per esempio le autorizzazioni firmate e le risposte alle domande delle iscrizioni dopo 30 giorni dalla fine dell'evento, e le richieste di disponibilità degli spazi dopo 12 mesi. Resta vostra la responsabilità di decidere i tempi per i dati che gestite altrove, come i file esportati in Excel.

Chi può vedere cosa

Anche l'organizzazione interna conta. Non tutti i volontari devono vedere tutto: chi cura le notizie non deve per forza vedere le iscrizioni di un campo. Date a ciascuno solo i permessi che servono e togliete l'accesso a chi smette di collaborare. Un file Excel con i dati dei partecipanti, inoltrato per email o lasciato nel telefono, è uno dei rischi più comuni: usatelo, poi cancellatelo.

Cookie: quelli tecnici e quelli che chiedono il consenso

I cookie sono piccoli file che un sito salva nel browser. Per la normativa si distinguono due famiglie:

• i cookie tecnici, necessari al funzionamento (per esempio mantenere l'accesso di chi è collegato). Non richiedono il consenso, ma vanno citati nell'informativa;
• i cookie di analisi, pubblicità e profilazione (strumenti di statistica di terze parti, pulsanti dei social con tracciamento). Questi richiedono di norma il consenso preventivo delle persone.

Il consiglio più semplice per un sito parrocchiale è non aggiungere strumenti di tracciamento che non servono: meno cookie, meno obblighi, meno banner. Per sapere quanti leggono i vostri avvisi esistono statistiche anonime, senza cookie.

Da dove partire

Se non sapete rispondere a una di queste domande (chi è il titolare, che dati raccogliamo, per quanto li teniamo, chi li vede), non è un dramma: è il punto da cui partire. Per i casi particolari rivolgetevi all'ufficio diocesano competente. E se state aprendo le iscrizioni a un'attività con i minori, leggete anche come gestire le iscrizioni online a campi e ritiri.