Gestione della privacy nel club di calcio: guida per le società

Gestire la privacy in una società di calcio dilettantistica vuol dire sapere quali dati dei calciatori raccogli, perché puoi trattarli, chi può vederli e per quanto tempo li tieni. Non ti serve un ufficio legale. Ti servono un’informativa chiara, consensi separati, accessi limitati e pochi documenti tenuti in ordine. In questa guida trovi cosa chiede il GDPR a una ASD o a una SSD, le regole del Garante su foto e minori, una checklist da applicare prima dei prossimi tesseramenti e le risposte ai dubbi che dirigenti, allenatori e giocatori ci fanno più spesso.

In breve

• Una società tratta dati anagrafici, sanitari e immagini dei tesserati, spesso minorenni. I dati sulla salute sono “categorie particolari” e richiedono le cautele più alte.
• L’informativa dice chi è il titolare, per quali finalità usa i dati e quali diritti ha il calciatore. I consensi facoltativi, come le foto promozionali, vanno tenuti separati da quelli per iscrizione e tesseramento.
• Per pubblicare sui social foto di ragazzi sotto i 14 anni serve il consenso preventivo di entrambi i genitori. Dai 14 anni decide il ragazzo.
• App, gestionali, fotografi e piattaforme che trattano dati per conto del club vanno vincolati con un contratto, e il registro dei trattamenti va tenuto aggiornato.
• Se i dati finiscono nelle mani sbagliate hai 72 ore per notificarlo al Garante, salvo che il rischio sia improbabile.

Indice

• Quali dati raccoglie una società sui calciatori
• Su quale base puoi trattare i dati dei calciatori
• Informativa e consensi: cosa scrivere e come separarli
• Foto, video e social: la regola dei 14 anni
• Dati sanitari e spogliatoi: chi vede cosa
• Fornitori, app e piattaforme
• Registro dei trattamenti e accountability
• I diritti dei calciatori e come rispondere
• Data breach: cosa fare nelle prime 72 ore
• La checklist per la prossima stagione
• Privacy e recruiting: il nostro punto di vista
• Cerchi giocatori senza disperdere dati?
• Domande frequenti
• Fonti

Quali dati raccoglie una società sui calciatori

Un club tratta più dati di quanto pensi. Le organizzazioni sportive raccolgono dati identificativi come nome, cognome e indirizzo e dati relativi alla salute degli atleti, anche minorenni, per finalità come il tesseramento. A questi si aggiungono foto e video: una federazione come la FIDAL dichiara nella propria informativa di trattare foto e video per finalità promozionali e di comunicazione e di archiviare immagini di eventi pubblici a fini informativi e storici.

Ecco una mappa dei dati che passano di solito dalla segreteria di una società dilettantistica:

Una nota che molti club trascurano: anche le valutazioni tecniche scritte dallo staff sono dati personali. Il foglio Excel con i voti ai ragazzi del provino rientra nella privacy tanto quanto il modulo di tesseramento.

Su quale base puoi trattare i dati dei calciatori

Il Regolamento UE 2016/679 (GDPR) ammette un trattamento solo se poggia su una base giuridica dell’articolo 6: esecuzione di un contratto o di un rapporto, obbligo di legge, interesse legittimo, consenso e poche altre. Per i dati sulla salute l’articolo 9 parte da un divieto e consente il trattamento solo nei casi che elenca. In pratica, per una società di calcio le basi si distribuiscono così:

• Iscrizione e tesseramento: servono a instaurare il rapporto con il calciatore e a rispettare le regole della federazione o dell’ente di affiliazione. Qui non chiedi un consenso “facoltativo”: senza quei dati il tesseramento non si fa.
• Certificato di idoneità: è un dato sanitario. Lo tratti solo per verificare che il giocatore possa praticare e per le coperture assicurative, non per altro.
• Foto e video promozionali, newsletter, sponsor: si reggono sul consenso, che deve essere libero, specifico e revocabile.

Quando la partecipazione dipende davvero dal dato, la conseguenza va scritta chiaramente. Il modulo della FIGC per le giovani calciatrici, per esempio, avverte che il rifiuto del consenso al trattamento dei dati del minore comporta l’impossibilità di partecipare agli eventi organizzati dalla Federazione.

Se hai un trattamento che non rientra in nessuna di queste caselle, come un sistema di riconoscimento all’ingresso o un’app che traccia i dati GPS in allenamento, fermati prima di attivarlo e fatti affiancare da un consulente privacy o dallo sportello del tuo ente di affiliazione.

Informativa e consensi: cosa scrivere e come separarli

L’informativa è il primo documento che un genitore o un calciatore legge, quindi deve essere comprensibile senza un avvocato accanto. Il Centro Sportivo Italiano raccomanda alle società un’informativa chiara e consensi facoltativi separati da quelli legati a iscrizione e tesseramento.

Un’informativa completa per un club contiene almeno:

1. Chi è il titolare: denominazione della società, sede, un contatto email dedicato alla privacy. L’informativa FIDAL, ad esempio, indica la Federazione come titolare per i propri trattamenti; il tuo club è titolare per i suoi.
2. Finalità e base giuridica di ciascun uso: tesseramento, gestione sportiva, assicurazione, comunicazione.
3. Destinatari: federazione o ente di promozione, compagnia assicurativa, medico sociale, fornitori di software.
4. Tempi di conservazione, anche solo come criterio (“per la durata del tesseramento e per il periodo richiesto dagli obblighi amministrativi”).
5. Diritti del calciatore e possibilità di reclamo al Garante.

Sul modulo, una regola semplice: una casella per ogni consenso facoltativo, nessuna casella pre-spuntata. “Acconsento alla pubblicazione di foto e video sui canali social della società” è un consenso. “Acconsento all’invio di offerte degli sponsor” è un altro. Se li unisci, nessuno dei due vale davvero.

Foto, video e social: la regola dei 14 anni

È il punto in cui i club sbagliano più spesso, perché pubblicare la foto della vittoria degli Esordienti sembra innocuo. Il Garante ha ribadito che per pubblicare sui social immagini di minori di 14 anni serve il consenso preventivo di entrambi i genitori, mentre dai 14 anni il ragazzo può decidere da solo sulla diffusione online delle proprie immagini.

Non è teoria. Nel novembre 2025 l’Autorità ha ammonito una cooperativa per aver pubblicato immagini riconoscibili di minori senza un valido presupposto di liceità. Una società sportiva che fa lo stesso sulla pagina Instagram del settore giovanile si espone allo stesso rischio.

Come comportarti in pratica:

• Raccogli le due firme all’atto dell’iscrizione per gli under 14, con il modulo che spiega dove finiranno le immagini: sito, social, materiale cartaceo.
• Tieni un elenco dei ragazzi senza consenso e condividilo con chi gestisce i social. In alternativa, sfoca o ritaglia.
• Evita di associare nome e foto dei più piccoli quando non serve. Una foto di gruppo senza tag è meno invasiva di un post con nome, cognome e anno di nascita.
• Video di partite e provini: la stessa logica vale per highlight e dirette. Un video che resta nell’archivio tecnico dello staff è un uso diverso da un video pubblicato.

Dati sanitari e spogliatoi: chi vede cosa

Il CSI raccomanda di limitare l’accesso ai dati sanitari e alle immagini e di disciplinare con un contratto i fornitori che trattano dati per conto della società. Tradotto per un club:

• Il certificato completo lo vedono la segreteria e, se c’è, il medico sociale.
• L’allenatore ha bisogno di sapere se il giocatore è idoneo e fino a quando, più le informazioni utili in emergenza, come un’allergia. Non della diagnosi.
• Niente certificati nel gruppo WhatsApp della squadra, né scansioni salvate sul telefono personale del dirigente accompagnatore.

Anche gli spazi fisici contano. Con un provvedimento del 3 settembre 2026 il Garante ha ricordato che la videosorveglianza dentro gli spogliatoi è di regola eccessivamente invasiva e viola riservatezza e dignità delle persone. Se hai problemi di furti, le telecamere vanno sugli accessi, non dove i ragazzi si cambiano. Lo stesso vale per i dati biometrici: il Garante ha sanzionato per 20.000 euro una società sportiva che rilevava le impronte digitali per controllare la presenza dei dipendenti.

Fornitori, app e piattaforme

Oggi pochi club gestiscono tutto su carta. Ogni volta che un soggetto esterno tratta dati per conto tuo, il GDPR lo chiama responsabile del trattamento e l’articolo 28 richiede un contratto che dica cosa può fare con quei dati. Nella stagione tipo di una società dilettantistica sono responsabili:

• il gestionale per iscrizioni e quote;
• l’app per convocazioni e comunicazioni con le famiglie;
• il servizio cloud dove la segreteria archivia i documenti;
• il fotografo o il videomaker delle partite;
• il consulente che tiene la contabilità.

Prima di firmare chiedi a ogni fornitore dove sono conservati i dati, chi può accedervi, come li cancella a fine rapporto e come ti avvisa in caso di violazione. Per le piattaforme di recruiting il discorso è leggermente diverso: lì è il calciatore a creare il proprio profilo e a decidere cosa mostrare, e il club vede ciò che la piattaforma gli rende visibile. Abbiamo spiegato nel dettaglio quali dati vedono le società sui calciatori quando cercano rinforzi online.

Registro dei trattamenti e accountability

Molti presidenti pensano che il registro dei trattamenti riguardi solo le aziende grandi. Il Garante chiarisce invece che chi tratta dati sanitari, come un’associazione sportiva, ha obblighi specifici come la tenuta del registro dei trattamenti, anche in strutture piccole.

Alla base c’è il principio di responsabilizzazione dell’articolo 5 del GDPR: il titolare deve rispettare le regole ed essere in grado di dimostrarlo. Per un club, “dimostrarlo” significa avere in un’unica cartella:

• il registro dei trattamenti aggiornato a ogni nuova attività (un nuovo canale social, un nuovo software);
• le informative con la data di versione;
• i moduli di consenso firmati, ordinati per stagione;
• i contratti con i fornitori;
• la procedura interna per le violazioni dei dati e il registro degli incidenti;
• un elenco delle richieste ricevute dai tesserati e delle risposte date.

Lo stesso articolo 5 impone di non conservare i dati più del necessario. Decidi delle regole e scrivile: per esempio, video e valutazioni dei giocatori provati e non tesserati cancellati a fine stagione, certificati scaduti eliminati quando non servono più agli obblighi amministrativi.

I diritti dei calciatori e come rispondere

I tesserati possono chiedere accesso, rettifica, cancellazione e limitazione del trattamento rivolgendosi al titolare. Il GDPR, all’articolo 12, chiede di rispondere senza ingiustificato ritardo e comunque entro un mese, prorogabile solo nei casi complessi e motivando la proroga.

Ignorare una richiesta costa caro. Nel febbraio 2026 il Garante ha sanzionato una società sportiva per l’omesso riscontro alla richiesta di un interessato. Una procedura minima per non arrivarci:

1. Indica nell’informativa un solo indirizzo email per le richieste privacy e controllalo.
2. Verifica l’identità di chi chiede, soprattutto se a scrivere è un genitore separato o un ex tesserato.
3. Annota data di arrivo e scadenza del mese.
4. Rispondi per iscritto, anche quando la risposta è un no motivato: per esempio, non puoi cancellare dati che devi conservare per obblighi contabili.

Data breach: cosa fare nelle prime 72 ore

Una violazione dei dati non è solo un attacco informatico. Nella vita di un club è più spesso lo smartphone del dirigente perso con le foto dei certificati, l’email con l’elenco degli under 15 inviata alla mailing list sbagliata, la pagina social della squadra rubata da un hacker.

Il titolare deve notificare la violazione al Garante entro 72 ore, salvo che sia improbabile un rischio per le persone, e avvisare tempestivamente gli interessati se il rischio per i loro diritti e libertà è elevato. Cosa fare subito:

1. Contieni il danno: cambia le password, blocca il dispositivo, chiedi al destinatario sbagliato di cancellare l’email.
2. Valuta il rischio: quali dati, di quante persone, se ci sono minori o dati sanitari.
3. Decidi sulla notifica e, se serve, avvisa le famiglie con un messaggio chiaro su cosa è successo e cosa state facendo.
4. Annota tutto nel registro degli incidenti, anche quando decidi di non notificare.

La checklist per la prossima stagione

Prima dei tesseramenti, dieci controlli che una segreteria può fare in un pomeriggio:

1. Informativa aggiornata, con titolare, finalità, destinatari, conservazione e diritti.
2. Moduli con consensi facoltativi separati e nessuna casella pre-spuntata.
3. Doppia firma dei genitori per le immagini degli under 14.
4. Elenco dei ragazzi senza consenso alle foto, condiviso con chi gestisce i social.
5. Certificati medici accessibili solo a segreteria e medico sociale.
6. Nessun dato sanitario nei gruppi di messaggistica.
7. Contratti firmati con gestionale, app, cloud e fotografo.
8. Registro dei trattamenti rivisto.
9. Regole di cancellazione scritte per video, valutazioni e documenti scaduti.
10. Una persona incaricata di leggere l’email privacy e di gestire le violazioni.

Se accogli nuovi giocatori, ripassa anche i passaggi pratici del tesseramento del calciatore online: è il momento in cui si raccolgono più dati in meno tempo.

Privacy e recruiting: il nostro punto di vista

Nel calcio dilettantistico il problema della privacy nasce spesso prima del tesseramento. Un giocatore che cerca squadra manda il suo video a cinque direttori sportivi via WhatsApp, lascia il numero in una bacheca, pubblica la sua disponibilità in un gruppo aperto. Da quel momento non sa più chi ha i suoi dati né cosa ne farà. Il club, dall’altra parte, si ritrova in chat curriculum, video e recapiti di ragazzi che non ha mai incontrato, senza nessuna regola per conservarli o cancellarli.

Abbiamo costruito MATCH11 partendo da qui. Il contatto tra calciatori e società è diretto, senza intermediari che fanno girare i profili. I profili sono reali e verificati, con foto e video di presentazione che il giocatore sceglie di caricare. La visibilità e la privacy dei dati si gestiscono in modo chiaro: è il calciatore a decidere cosa mostrare, e la conversazione resta nella chat interna invece di finire su numeri personali. Se qualcosa non va, c’è un sistema di segnalazione.

Crediamo che un buon recruiting e una buona gestione della privacy vadano nella stessa direzione: meno dati sparsi, più controllo per chi li condivide, più fiducia per chi li riceve. Un giocatore che sa dove sono le sue informazioni si propone con più serenità, e un club che non accumula dati inutili rischia meno.

— Thomas La Porta

Cerchi giocatori senza disperdere dati?

Se sei una società e vuoi trovare rinforzi senza raccogliere video e numeri in chat sparse, scopri come funziona MATCH11: registrazione, profili verificati, contatto diretto e organizzazione dei provini sulla piattaforma. Con AI Scout il matching basato sull’intelligenza artificiale ti suggerisce i profili più in linea con quello che cerchi. Se sei un calciatore, parti da un profilo calciatore che funziona e decidi tu cosa rendere visibile.

Domande frequenti

Una piccola ASD deve davvero tenere il registro dei trattamenti?

Se tratta dati sanitari, come i certificati di idoneità, sì. Il Garante indica il registro tra gli obblighi delle associazioni che trattano questi dati, anche quando sono piccole. Basta un documento ordinato che elenchi trattamenti, finalità, categorie di dati, destinatari e tempi di conservazione.

Posso pubblicare la foto di squadra dei Pulcini sulla pagina del club?

Solo con il consenso preventivo di entrambi i genitori di ogni bambino ritratto, perché sono minori di 14 anni. Per chi non ha il consenso, escludilo dallo scatto, sfoca il volto o rinuncia alla pubblicazione. Una foto pubblicata senza base valida espone la società a provvedimenti del Garante.

L’allenatore può tenere i certificati medici sul proprio telefono?

Meglio di no. All’allenatore serve sapere se il giocatore è idoneo e fino a quando, non il contenuto del certificato. Il documento completo resta alla segreteria o al medico sociale, in un archivio con accesso limitato.

Un ex calciatore può chiedere di cancellare i suoi video dai canali del club?

Sì, può chiedere la cancellazione e, se i video si basavano sul suo consenso, revocarlo. La società deve rispondere entro un mese. Se alcuni dati vanno conservati per obblighi di legge, va spiegato per iscritto quali e perché.

Chi è il titolare del trattamento: la società o la federazione?

Dipende dal trattamento. La federazione è titolare dei dati che tratta per il tesseramento federale, come dichiara ad esempio l’informativa FIDAL. La società è titolare dei dati che raccoglie e usa per le proprie attività: iscrizioni, convocazioni, social, archivio della segreteria.

Fonti

Implementazione del GDPR nel settore sportivo: lo stato dell’arte FIDAL, informativa privacy per i tesserati 2026 Regolamento UE 2016/679 (GDPR), EUR-Lex FIGC SGS, liberatoria per minorenni CSI, gestire la privacy dei tesserati in una ASD/SSD Garante Privacy, newsletter del 17 giugno 2026 Garante Privacy, provvedimento del 13 novembre 2025 Garante Privacy, provvedimento del 3 settembre 2026 Federprivacy, impronte digitali e società sportiva Garante Privacy, doveri: come trattare correttamente i dati Garante Privacy, provvedimento del 12 febbraio 2026 Garante Privacy, data breach

Raccomandati

• Quali dati vedono le società sui calciatori?
• Tesseramento calciatore online: guida pratica 2026/2027
• Chat tra calciatori e società che fa Match
• Profilo calciatore: cosa cercano davvero i club