Hannibal Lecter, Crudelia De Mon e una ventenne inconsapevole iscritti a Futuro Nazionale, Biancaneve al Partito Democratico. Ce n’è abbastanza per chiedersi se sia normale che sia così facile iscrivere a un partito politico personaggi di fantasia o persone che non hanno mai scelto di iscrivervisi. La risposta breve è negativa: non c’è niente di normale e, anzi, che accada è sintomatico di una probabile – per non dir certa – diffusa disapplicazione della disciplina vigente, in particolare, quella in materia di protezione dei dati personali.
Mentre sui media mainstream infuria la polemica con inchieste giornalistiche che rimproverano a Futuro Nazionale di avere il “vizietto” delle iscrizioni facili e Roberto Vannacci, fondatore del partito, che replica che così fan tutti, qui vale la pena provare a raccontare cosa dice la legge, cosa i partiti politici, nessuno escluso, dovrebbero fare e cosa, invece, sta accadendo, a cominciare proprio dal partito al centro della polemica, Futuro Nazionale.
Anche perché quello che sembra continuare a sfuggire ai più nella discussione sulla questione è che se si accertasse che i dati in questione sono stati raccolti violando le regole, potrebbero dover esser cancellati con tutte le conseguenze del caso.
Indice degli argomenti
Iscrizioni ai partiti politici e dati sulle opinioni politiche
Il punto di partenza di questa riflessione è, necessariamente, la natura del dato personale relativo alla circostanza che una persona chiede di iscriversi e/o sia iscritta a un determinato partito.
L’iscrizione suggerisce adesione, condivisione, partecipazione a principi, ideali, posizioni politiche del partito in questione e, quindi, inesorabilmente tratteggia, connota, descrive il profilo di una persona. La etichetta, marchia, descrive come di destra o di sinistra, con certe idee sull’immigrazione, il nucleare, la guerra, il lavoro, la famiglia. Contribuisce, inesorabilmente, a tratteggiarne l’identità nella comunità in cui vive.
Nessun dubbio, quindi, che si tratti di un c.d. dato particolare, un dato idoneo a rivelare le opinioni politiche della persona in questione.
Il divieto dell’articolo 9 del GDPR
La regola generale, dunque, è quella di cui al primo comma dell’art. 9 secondo il quale: “È vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.”.
Tale regola, tuttavia, come è noto, conosce una serie di eccezioni dettate dallo stesso articolo 9, secondo il quale, per quanto qui rileva di più: “Il paragrafo 1 non si applica se si verifica uno dei seguenti casi: […] (d)il trattamento è effettuato, nell’ambito delle sue legittime attività e con adeguate garanzie, da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali, a condizione che il trattamento riguardi unicamente i membri, gli ex membri o le persone che hanno regolari contatti con la fondazione, l’associazione o l’organismo a motivo delle sue finalità e che i dati personali non siano comunicati all’esterno senza il consenso dell’interessato.”.
GDPR e iscrizioni ai partiti: consenso e adeguate garanzie
I partiti politici, quindi, in generale, possono trattare i dati personali dei loro iscritti anche in assenza di un esplicito consenso di questi ultimi a condizione di farlo con “adeguate garanzie” e, naturalmente, previa messa a disposizione degli interessati di un’informativa che chiarisca, tra l’altro, proprio la base giuridica del trattamento.
Nulla vieta, poi, a un partito politico, sempre previa idonea informativa agli interessati, di scegliere di trattare i dati dei suoi iscritti anziché sulla base della richiamata eccezione speciale, sulla base del consenso dei propri iscritti che, ai sensi della lettera (a) dello stesso comma 2 dell’art.9, rappresenta un’altra eccezione al divieto generale di trattamento di dati relativi, tra l’altro, a opinioni politiche.
Vale, a questo punto, la pena ricordare che le disposizioni in questione, ovvero quelle legittimanti il trattamento, sono, in realtà eccezioni alla regola generale del divieto del trattamento e, quindi, vanno interpretate con particolare rigore.
Verifica dell’identità nelle iscrizioni ai partiti politici
Questo rigore, nel caso della vicenda all’origine della polemica – l’iscrizione di personaggi di fantasia e persone inconsapevoli – riguarda, in particolare, l’identificazione, da parte del titolare del trattamento, ovvero il partito o movimento politico, degli interessati che richiedono l’iscrizione e che vengono, per questo, poi inseriti nel registro degli iscritti.
Che il partito applichi l’eccezione di cui alla lettera (a) o (d) del comma 2 dell’art.9, infatti, identificare in maniera solida chi richiedendo di iscriversi presta il consenso al trattamento del dato relativo alla propria iscrizione o chi richiedendo di iscriversi rientra nell’elenco tassativo delle persone i cui dati possono essere trattati anche in assenza di consenso è un fatto imprescindibile, un obbligo al quale non c’è partito che possa sottrarsi.
Lo è nel caso del consenso e lo è, verrebbe da dire a maggior ragione, nell’ipotesi di cui alla lettera (d) del comma 2 dell’art.9 nella quale la relazione speciale tra l’interessato e il partito diventa l’unico presupposto legittimante un trattamento tanto in deroga al divieto di trattamento di dati particolari che alla regola generale del consenso.
La sentenza della Corte di giustizia UE
E che in capo al titolare del trattamento gravi l’obbligo in questione lo ha ricordato, di recente, anche la Corte di Giustizia dell’Unione europea nella Causa C-492-23 con la Sentenza del 2 dicembre 2025.
Il caso riguardava la pubblicazione su un sito di annunci di un annuncio attraverso il quale una donna offriva prestazioni sessuali, annuncio che era stato pubblicato da un terzo, all’insaputa della donna, all’evidente fine di lederne dignità e reputazione.
La sostanza, però, non cambia.
Le misure tecniche e organizzative adeguate
I Giudici della Corte hanno messo nero su bianco che il titolare del trattamento – il gestore del sito di annunci nel caso di specie e il partito politico in quello del quale ci stiamo occupando – “ha l’obbligo di acquisire l’identità di tale utente inserzionista e di verificare se quest’ultimo sia la persona i cui dati sensibili figurano in tale annuncio” e hanno aggiunto che lo stesso titolare “deve disporre, in applicazione degli articoli 24 e 25 di tale regolamento, misure tecniche e organizzative adeguate che gli consentano non solo di acquisire, ma anche di verificare l’identità degli utenti inserzionisti prima della pubblicazione di tali annunci, e ciò segnatamente al fine di poter determinare se quest’ultimo sia la persona i cui dati sensibili figurano in detti annunci. Siffatte misure devono segnatamente consentire… di limitare il rischio di un trattamento illecito dei dati personali nei confronti dell’interessato”.
E hanno poi concluso che, il gestore del sito “deve rifiutare la pubblicazione dell’annuncio in questione, circostanza che deve garantire attuando misure tecniche e organizzative adeguate.”.
Difficile contestare che la stessa regola valga per i partiti politici in sede di raccolta delle domande di iscrizione e, quindi, in sede di inizio del trattamento di dati egualmente particolari.
Nel caso del consenso perché la fattispecie è perfettamente sovrapponibile a quella sulla quale si sono pronunciati i giudici della Corte di Giustizia UE, nel caso dell’eccezione di cui alla lettera (d) del comma 2 dell’art.9, perché è addirittura la stessa previsione a subordinare la legittimità del trattamento in assenza di consenso alla circostanza che il partito politico adotti “adeguate garanzie”.
Futuro Nazionale e le regole GDPR sulle iscrizioni
Le regole, dunque, si sono e sono chiare.
Ma sono rispettate? Qui il discorso smette, necessariamente, di poter essere generale e diventa particolare perché andrebbe verificato caso per caso. Certo, se quanto emerso sin qui risultasse vero, se risultasse confermato che Annibal Lecter, Crudelia De Mon, Biancaneve e una ventenne inconsapevole, nello spazio di qualche settimana, sono stati iscritti a due diversi partiti politici, il dubbio – almeno il dubbio – di una diffusa applicazione delle regole sarebbe difficile da respingere.
E un giro sul sito di Futuro Nazionale, il partito al centro della prima inchiesta giornalistica e, poi, della polemica, in effetti rafforza questo dubbio.
L’informativa sulla base giuridica del trattamento
Basta leggere l’informativa secondo la quale i dati relativi, tra l’altro, proprio alla gestione delle iscrizioni sono tarttati sulla base del “legittimo interesse del Titolare a promuovere la propria missione associativa (art. 6, par. 1, lett. f GDPR) e per adempiere a obblighi precontrattuali e contrattuali (art. 6, par. 1, lett. b GDPR).”.
Anche a prescindere dalla circostanza che la formulazione ambigua e perplessa dell’informativa non consente di capire quale delle due dovrebbe essere, secondo lo stesso partito, la base giuridica del trattamento dei dati degli iscritti, il punto è che nessuna delle due può esserlo, essendo, evidentemente, entrambe basi giuridiche valide solo per il trattamento di dati personali comuni ma non anche di dati personali particolari come, appunto, quelli relativi alle opinioni politiche e, quindi, all’iscrizione di un partito politico.
L’assenza di verifica dell’identità
Nel processo di iscrizione, peraltro, non esiste nessuna forma di verifica dell’identità del richiedente l’iscrizione.
Chiunque, insomma, può iscrivere chiunque al partito di Roberto Vannacci sebbene – e questo va detto- inserendo il proprio numero di carta di credito ai fini del solo versamento della quota associativa.
Per carità, nessuno dovrebbe neppure provare a iscrivere chiunque altro a un partito politico senza il suo consenso.
Farlo è, evidentemente, illegale.
E, però, al tempo stesso, è fuor di dubbio che il partito politico in questione dovrebbe fare qualcosa di più per scongiurare il rischio che le sue liste si riempiano di iscritti inconsapevoli o, addirittura, inesistenti.
Iscrizioni ai partiti senza verifica: il rischio cancellazione
Ma se le cose stanno così quali sono o, almeno, dovrebbero essere le conseguenze?
I dati personali di quanti hanno chiesto – o, a maggior ragione, non hanno mai chiesto -l’iscrizione al partito del mondo al contrario, in effetti, appaiono esser stati raccolti in aperta violazione di ogni più basilare regola sul trattamento dei personali con la conseguenza che, anche in considerazione della loro natura di dati particolari e dell’innegabile rilevanza, anche in termini democratici, dei dati in questione, in effetti, all’esito dell’accertamento nelle sedi opportune – il Garante per la protezione dei dati personali o il Tribunale – sarebbe legittimo ipotizzare un ordine di definitiva cancellazione con conseguente azzeramento del registro degli iscritti al Partito.
Un piccolo terremoto, non figlio di questioni o beghe politiche, del colore dei partiti, delle idee e opinioni ma semplicemente del necessario rispetto di regole a tutela di un diritto fondamentale come il diritto alla protezione dei dati personali.
Gli altri partiti e i controlli sull’identità degli iscritti
Che poi la questione riguardi solo Futuro Nazionale e non anche altri partiti è un’altra storia.
La situazione, sui siti di altri partiti, a un primissimo esame non approfondito sembra migliore sul versante delle basi giuridiche del trattamento e della completezza e esattezza dell’informativa ma non troppo diversa sul versante dell’adempimento all’obbligo di identificazione di iscrivendi e iscritti.
I più fanno qualcosa di più ma, in effetti, nessuno sembra fare abbastanza.
Partecipa alla community