Glossario
GDPR applicato alle società sportive
Regolamento (UE) 2016/679, regolamento generale sulla protezione dei dati
Di Team Clybo’ ·Pubblicato il ·Aggiornamento editoriale: ·Prossima revisione prevista:
Questo articolo spiega la normativa spagnola: si applica solo alle società con sede fiscale in Spagna.
Il GDPR si applica a ogni società sportiva in Spagna che tratta dati personali di atleti, tutori o staff. La società è sempre il Titolare del trattamento; i fornitori di servizi (come Clybo’) sono Responsabili del trattamento con contratto firmato. I dati dei minori sono soggetti a regole speciali.
Quadro normativo
In Spagna si applicano due norme principali:
- Regolamento (UE) 2016/679, noto come GDPR, direttamente applicabile in tutti gli Stati membri.
- Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), la legge organica spagnola che adegua il GDPR alla legislazione nazionale.
Ruoli: società o fornitore
| Ruolo | Chi | Responsabilità |
|---|---|---|
| Titolare del trattamento | La società sportiva | Decide quali dati vengono trattati e per quale scopo. È il responsabile ultimo nei confronti dell’AEPD (l’autorità spagnola per la protezione dei dati). |
| Responsabile del trattamento | Fornitori come Clybo’, Stripe, la banca | Tratta i dati per conto della società seguendo le sue istruzioni, con un DPA firmato (art. 28 GDPR). |
| Interessato | L’atleta, il tutore, lo staff | Esercita i propri diritti (accesso, rettifica, cancellazione, opposizione, limitazione, portabilità) nei confronti della società Titolare. |
Basi giuridiche più comuni in una società sportiva
- Esecuzione di un contratto (art. 6.1.b): trattare dati per iscrivere l’atleta, incassare la quota, organizzare gli allenamenti. Non richiede il consenso.
- Obbligo legale (art. 6.1.c): emettere fatture (VeriFactu) e adempiere agli obblighi verso la Seguridad Social (previdenza sociale spagnola) per lo staff.
- Legittimo interesse (art. 6.1.f): invio di comunicazioni organizzative, prevenzione delle frodi.
- Consenso (art. 6.1.a): foto destinate alla pubblicazione, comunicazioni commerciali, cookie non essenziali.
Dati dei minori
L’articolo 8 GDPR e l’articolo 7 LOPDGDD disciplinano la protezione rafforzata dei minori. Punti chiave per una società sportiva:
- Sotto i 14 anni, il consenso è prestato da chi esercita la responsabilità genitoriale.
- Le informazioni rivolte al minore devono essere comprensibili (linguaggio chiaro, pittogrammi se opportuno).
- I dati sulla salute (allergie, infortuni) rientrano nelle categorie particolari di dati (art. 9 GDPR) e richiedono una base giuridica specifica.
- Le immagini in cui il minore è riconoscibile richiedono un consenso espresso e revocabile.
Diritti dell’interessato
- Accesso: sapere quali dati che lo riguardano vengono trattati.
- Rettifica: correggere i dati inesatti.
- Cancellazione: eliminare i dati non più necessari.
- Opposizione: opporsi al trattamento basato sul legittimo interesse.
- Limitazione: sospendere il trattamento durante una contestazione.
- Portabilità: ricevere i dati in un formato strutturato e riutilizzabile.
La società deve rispondere a queste richieste entro un mese (prorogabile fino a tre mesi se la complessità lo giustifica). L’interessato può sempre presentare reclamo all’Agencia Española de Protección de Datos.
Violazioni di sicurezza
Se si verifica una violazione di sicurezza che riguarda dati personali, la società ha 72 ore di tempo dal momento in cui ne viene a conoscenza per notificarla all’AEPD (art. 33 GDPR). Se comporta un rischio elevato per i diritti, occorre comunicarla anche agli interessati senza ingiustificato ritardo.
Come lo gestisce Clybo’
Clybo’ firma con ogni società un DPA (Data Processing Agreement) conforme all’articolo 28 GDPR: definisce obblighi, sub-responsabili, misure di sicurezza e procedura in caso di violazione. Applichiamo la cifratura AES-256 a riposo, TLS 1.3 in transito, Row-Level Security nel database per club_id e un registro delle attività per le operazioni sensibili. Se ti serve una copia del DPA prima di sottoscrivere il servizio, scrivici a privacidad@clybo.app.
Domande frequenti su GDPR applicato alle società sportive
Mi serve il consenso del tutore per incassare la quota del minore?
No, la base giuridica abituale è l’esecuzione di un contratto (art. 6.1.b GDPR), non il consenso. Iscrivere il minore alla società comporta un contratto la cui esecuzione richiede l’incasso della quota. Il consenso è riservato agli invii commerciali o alle foto destinate alla pubblicazione.
Qual è l’età minima perché un minore possa dare il consenso da solo?
In Spagna, 14 anni (art. 7 LOPDGDD, la legge organica spagnola sulla protezione dei dati). Al di sotto di questa età, il consenso è prestato da chi esercita la responsabilità genitoriale o la tutela.
Mi serve un Responsabile della protezione dei dati (DPO)?
No, salvo che si trattino categorie particolari di dati su larga scala. La maggior parte delle società non è obbligata a designarlo, ma è comunque buona pratica nominare un referente interno per la privacy.
Posso pubblicare foto degli allenamenti sui social network?
Ti serve il consenso espresso del tutore per le immagini in cui i minori sono riconoscibili. Raccogli il consenso per iscritto nel modulo di iscrizione e consenti di revocarlo in qualsiasi momento.
Come ti aiuta Clybo’
Clybo’ riunisce la gestione di atleti, incassi e documentazione della società. Consulta le guide di assistenza e le condizioni di ogni piano. I servizi fiscali vanno sottoscritti a parte e la loro disponibilità dipende dal territorio fiscale della società e dalla relativa attivazione tecnica e giuridica.
Prova Clybo’ gratis per 30 giorni