GDPR e Cannabis Social Club in Italia: la guida completa alla protezione dei dati

Un Cannabis Social Club tratta dati personali sensibili ai sensi dell'art. 9 GDPR: le informazioni sul consumo di cannabis hanno una relazione diretta con la salute di ogni socio. Questo comporta obblighi rafforzati rispetto a una normale associazione. Questa guida spiega concretamente cosa deve fare la vostra associazione.

Perché i dati di un CSC sono dati di salute

L'art. 9 GDPR vieta in linea di principio il trattamento dei dati sanitari. Il consumo di cannabis — quantità, frequenza, prodotti — può essere classificato come dato sanitario. L'eccezione applicabile è l'art. 9, par. 2, lett. d): organizzazioni non profit con finalità connessa alla salute dei propri soci. Ma questa eccezione viene con condizioni: garanzie adeguate, limitazione ai soci, nessuna condivisione senza consenso.

6 obblighi GDPR per la vostra associazione

1. Base giuridica documentata

Per ogni trattamento di dati dovete identificare e documentare la base giuridica. Per i dati dei soci: art. 6, par. 1, lett. b) (esecuzione del contratto di associazione) combinato con art. 9, par. 2, lett. d). Questa base giuridica deve essere esplicitata nella vostra informativa.

2. Registro delle attività di trattamento (art. 30 GDPR)

Siete obbligati a tenere un registro di tutti i trattamenti: gestione soci, registro distribuzioni, comunicazioni, contabilità. Il registro deve essere disponibile su richiesta del Garante per la protezione dei dati personali.

3. Informativa per i soci (art. 13 GDPR)

Ogni socio deve ricevere, al momento dell'iscrizione, un'informativa chiara che spieghi: quali dati vengono raccolti, per quale finalità, su quale base giuridica, per quanto tempo sono conservati e quali sono i suoi diritti. La consegna deve essere documentata — preferibilmente con firma al momento dell'iscrizione.

4. Diritti degli interessati

Ogni socio ha il diritto di accesso (art. 15), rettifica (art. 16), cancellazione (art. 17), limitazione (art. 18), portabilità (art. 20) e opposizione (art. 21). Il vostro sistema deve permettere di soddisfare queste richieste entro un mese.

5. Misure tecniche e organizzative (art. 32 GDPR)

Obbligatorie: cifratura del database e delle trasmissioni, controllo degli accessi per ruolo (non tutti i dipendenti devono vedere tutti i dati), backup regolari e politica di cancellazione dopo il termine di conservazione.

6. Contratto con il responsabile del trattamento

Utilizzate un software di terze parti per gestire i dati dei soci? Quel fornitore è un responsabile del trattamento ai sensi dell'art. 28 GDPR. Avete bisogno di un accordo sul trattamento dei dati (DPA). I fornitori seri lo offrono di default.