GDPR e fundraising: gestire i dati dei donatori in regola

Chi raccoglie fondi lavora ogni giorno con dati personali: nomi, email, importi donati, a volte la causale di un lascito o l'adesione a una campagna delicata. Il GDPR (Regolamento UE 2016/679) non è un ostacolo al fundraising: è la cornice dentro cui costruire una relazione di fiducia con i donatori. E la fiducia, nel non profit, è il capitale che muove tutto il resto.

Questa guida mette in fila ciò che serve davvero a un'associazione o a un ETS italiano per gestire la privacy dei donatori in regola, senza trasformare ogni decisione in una questione da studio legale. Non è una consulenza: per i casi dubbi conviene sempre confrontarsi con un professionista o con il proprio DPO. Ma per capire la sostanza, e per non commettere gli errori più comuni, basta ragionare con ordine.

GDPR e fundraising: di cosa stiamo parlando

Quando trattate i dati dei donatori — li raccogliete, li archiviate, li usate per inviare un ringraziamento o un appello — siete il titolare del trattamento. Significa che decidete perché e come quei dati vengono usati, e ne rispondete. È una responsabilità, ma anche un perimetro chiaro: tutto ruota attorno a poche idee.

• Liceità: ogni trattamento deve poggiare su una base giuridica valida (non solo il consenso, come vedremo).
• Minimizzazione: raccogliete solo i dati che vi servono davvero. Il campo "data di nascita" ha senso se serve a qualcosa; altrimenti è un rischio inutile.
• Limitazione della conservazione: i dati non si tengono per sempre. Si conservano finché servono allo scopo per cui sono stati raccolti.
• Trasparenza: il donatore deve sapere cosa fate dei suoi dati, in modo comprensibile.
• Integrità e riservatezza: i dati vanno protetti da accessi non autorizzati e da perdite.

Tenete a mente questi cinque principi: quasi ogni dubbio pratico si risolve tornando a uno di loro.

La base giuridica: non è sempre il consenso

È l'equivoco più diffuso. Molti pensano che senza una spunta sul consenso non si possa fare nulla. In realtà il GDPR prevede sei basi giuridiche, e per il fundraising ne contano soprattutto tre.

Consenso

Serve quando volete inviare comunicazioni promozionali o newsletter a chi non è (ancora) vostro donatore o sostenitore. Il consenso deve essere libero, specifico, informato e inequivocabile: niente caselle pre-spuntate, niente consensi "a pacchetto" che mescolano finalità diverse. E deve poter essere revocato con la stessa facilità con cui è stato dato.

Esecuzione di un contratto o misure precontrattuali

Quando qualcuno fa una donazione, gestire quei dati per registrare il dono, emettere la ricevuta e adempiere agli obblighi fiscali non richiede un consenso separato: è necessario per dare seguito al rapporto. Lo stesso vale per il tesseramento di un socio.

Legittimo interesse

È la base più utile — e più trascurata — nel fundraising. Il considerando 47 del GDPR cita esplicitamente il marketing diretto come possibile legittimo interesse del titolare. In pratica: a un donatore che vi ha già sostenuto potete, in molti casi, continuare a inviare aggiornamenti e richieste di sostegno appoggiandovi al legittimo interesse, purché abbiate fatto una valutazione di bilanciamento (il cosiddetto LIA) e garantiate sempre un'opt-out semplice.

Attenzione però: il legittimo interesse copre il canale postale e, con i dovuti distinguo, alcune comunicazioni. Per email, SMS e canali elettronici entra in gioco anche la disciplina ePrivacy, che in Italia tende a richiedere il consenso preventivo, con un'eccezione (il soft opt-in) per chi è già in rapporto con voi. È esattamente il tipo di nodo su cui un parere mirato ripaga il tempo speso.

L'informativa: il documento che non potete saltare

Ogni punto in cui raccogliete dati — il modulo di donazione sul sito, la scheda di tesseramento, il form di iscrizione alla newsletter — deve rimandare a un'informativa privacy chiara. Non è un adempimento formale: è il momento in cui spiegate al donatore, in modo onesto, cosa accadrà ai suoi dati.

Un'informativa fatta bene dice, senza giri di parole:

• chi siete (titolare) e come contattarvi, anche per le questioni privacy;
• quali dati raccogliete e per quali finalità;
• su quale base giuridica vi appoggiate per ciascuna finalità;
• per quanto tempo conservate i dati;
• a chi possono essere comunicati (es. il fornitore del software gestionale, il sistema di pagamento) e se escono dall'Unione Europea;
• quali diritti ha il donatore e come esercitarli.

Sul modulo di donazione online, in pratica, basta un testo breve e un link all'informativa completa. Se gestite i moduli con uno strumento dedicato come quello di Mira per le donazioni online, l'informativa e le caselle di consenso viaggiano insieme al modulo, e ogni acquisizione resta tracciata: utile il giorno in cui qualcuno chiede "dove avete preso i miei dati?".

Per quanto tempo si conservano i dati dei donatori

Qui si gioca una partita pratica importante. La regola è: si conservano finché servono. Ma "servono" va declinato per finalità.

• Dati fiscali e contabili (ricevute, attestati di erogazione liberale): vanno conservati per i termini previsti dalla normativa fiscale, tipicamente diversi anni. Qui la conservazione è un obbligo, non una scelta.
• Dati per finalità di relazione e fundraising: si tengono finché la relazione è viva. Per un donatore diventato inattivo da molto tempo ha senso prevedere una revisione periodica e, se non c'è più contatto, l'anonimizzazione o la cancellazione.
• Consensi e prove dei consensi: vanno conservati finché il trattamento è in corso, per poter dimostrare di averli ottenuti correttamente.

L'errore tipico è non avere alcuna politica di conservazione e accumulare contatti all'infinito. Un database che cresce senza criterio non è un patrimonio: è un'esposizione. Anche per questo la gestione ordinata dei contatti e delle donazioni in un unico sistema aiuta — sapere chi è chi, quando ha donato l'ultima volta e perché lo state ancora contattando è già metà del lavoro di compliance.

I diritti dei donatori (e cosa fare quando li esercitano)

Il GDPR dà alle persone una serie di diritti. Per il fundraising i più frequenti sono:

• Accesso: il donatore può chiedere quali suoi dati avete e ottenerne copia.
• Rettifica: può chiedere di correggere dati sbagliati (un'email, un indirizzo).
• Cancellazione ("diritto all'oblio"): può chiedere di rimuovere i suoi dati, salvo che esista un obbligo di conservarli (è il caso dei dati fiscali).
• Opposizione: può opporsi al trattamento per finalità di marketing diretto, in qualsiasi momento e senza dover motivare. Qui non c'è margine: l'opt-out va rispettato subito.

In pratica servono due cose: un indirizzo dove ricevere queste richieste (di solito una email dedicata, indicata nell'informativa) e la capacità tecnica di rispondere in tempi ragionevoli — il regolamento parla di un mese. Se per cancellare un donatore o registrare un'opposizione dovete cercarlo in tre fogli Excel diversi, il problema non è solo la fatica: è il rischio di dimenticarne una copia.

Sicurezza, fornitori e responsabili del trattamento

Proteggere i dati significa anche scegliere bene gli strumenti. Il software gestionale, il sistema di pagamento, l'eventuale piattaforma di invio email diventano responsabili del trattamento: trattano dati per vostro conto. Con ciascuno serve un accordo (DPA, l'art. 28 del GDPR) che disciplini cosa possono fare di quei dati.

Tre domande da porsi prima di affidare i dati dei donatori a un servizio:

• Dove sono conservati i dati? Se restano nell'Unione Europea, evitate la complessità dei trasferimenti extra-UE. Mira, ad esempio, tiene i dati su infrastruttura in Europa.
• Chi può accedervi? Vale anche per l'AI: in Mira gli strumenti di intelligenza artificiale lavorano senza vedere i dati identificativi delle persone — ragionano su importi, frequenze e comportamenti, non su nomi ed email. È il principio di minimizzazione applicato anche all'analisi.
• Esiste un accordo sul trattamento? Un fornitore serio lo mette a disposizione senza che dobbiate inseguirlo.

Errori comuni da evitare

• Trattare il consenso come l'unica base giuridica. Spesso il legittimo interesse o l'esecuzione del rapporto sono più solidi e adatti.
• Caselle pre-spuntate o consensi cumulativi. Non sono validi: il consenso deve essere un'azione attiva e specifica.
• Comprare o "scambiare" liste di contatti. Inviare appelli a persone che non vi conoscono, senza una base valida, è uno dei rischi più seri.
• Conservare tutto per sempre. Senza una politica di retention, il database diventa una passività.
• Ignorare un opt-out. Chi si oppone va escluso davvero, da tutte le liste, non solo dalla prossima campagna.
• Dati sparsi tra Excel, caselle email e quaderni. È impossibile garantire i diritti dei donatori se non sapete dove sono i dati.

Quest'ultimo punto è quello che, nella pratica, fa più differenza. Centralizzare i dati in un unico sistema non è solo comodo: è ciò che rende la compliance gestibile invece che teorica. Se volete approfondire come tenere in ordine la relazione con chi vi sostiene, trovate spunti utili anche negli articoli su come fidelizzare i donatori e su la segmentazione con il modello RFM — entrambi presuppongono dati puliti e ben governati.

In sintesi

Gestire i dati dei donatori in regola con il GDPR non richiede di diventare giuristi. Richiede di scegliere la base giuridica giusta per ogni cosa, scrivere un'informativa onesta, conservare i dati per il tempo necessario, rispettare i diritti delle persone e affidarsi a strumenti che tengano i dati al sicuro e in Europa. Fatto questo, la privacy smette di essere un freno e diventa quello che dovrebbe essere: un modo per meritarsi la fiducia di chi vi sostiene.

Domande frequenti su GDPR e fundraising