Moduli per soci di associazioni e società

vitamin B, il centro di competenza svizzero per le associazioni, stima il loro numero attorno a 100 000. Fanno vivere il campo di calcio, la società di musica, l'associazione di quartiere, il gruppo dei genitori, la sezione locale di un partito e l'ordine professionale. Quasi tutte sono amministrate la sera da volontari che di giorno hanno un lavoro, con lo strumento che era gratuito quando l'ultimo segretario ha assunto la carica: un generatore di moduli gratuito, un foglio di calcolo su un disco personale e una chat in cui l'elenco dei soci circola due volte l'anno come allegato.

Non è negligenza. È ciò che accade quando una persona giuridica con veri doveri di protezione dei dati non ha né una funzione di conformità né un budget, e un comitato che cambia ogni tre anni. Schweizerform è costruito esattamente per questa situazione: moduli cifrati nel browser del socio prima che qualcosa lasci il dispositivo, invii cifrati conservati in Svizzera, leggibili solo con la chiave della cassaforte. Non possiamo leggere le vostre domande di adesione — né per l'assistenza, né per le statistiche, né su ordine di un'autorità, perché non abbiamo la chiave. Tutto esiste in tedesco, francese, italiano e inglese, il che per un'associazione cantonale o nazionale è la differenza fra un modulo e un ostacolo.

L'associazione è una persona giuridica con doveri e quasi nessuna capacità di conformità

Un'associazione ai sensi dell'art. 60 CC acquista la personalità giuridica non appena dagli statuti scritti risulti la volontà di esistere come corporazione — senza iscrizione a registro, senza notaio, senza capitale. Questa accessibilità spiega perché ce ne siano tante, e spiega anche perché tanti comitati scoprano con sorpresa che la nLPD si applica loro integralmente. Il diritto svizzero della protezione dei dati non conosce un'eccezione per le piccole associazioni. L'associazione è titolare del trattamento, il comitato ne risponde, e il fatto che tutti siano volontari cambia la propensione al rischio, non la posizione giuridica.

Che cosa è cambiato il 1° gennaio 2023, e che molti comitati non hanno ancora notato

La revisione legata al riciclaggio di denaro ha introdotto obblighi rivolti a poche associazioni, ma inseriti nel diritto generale delle associazioni. Secondo l'art. 61 cpv. 2 CC un'associazione deve ora iscriversi al registro di commercio se esercita un'impresa in forma commerciale per conseguire il suo scopo, se è soggetta a revisione oppure — il nuovo terzo caso — se raccoglie o distribuisce prevalentemente, in modo diretto o indiretto, valori patrimoniali all'estero destinati a scopi caritatevoli, religiosi, culturali, educativi o sociali, fatte salve le eccezioni pubblicate. Le associazioni iscritte devono tenere un elenco dei soci ai sensi dell'art. 61a CC, con cognome e nome o ditta e l'indirizzo, accessibile in ogni momento dalla Svizzera; le informazioni e i documenti giustificativi vanno conservati cinque anni dopo la cancellazione di un socio. L'art. 69 cpv. 2 CC esige una rappresentanza domiciliata in Svizzera e l'art. 327b CP punisce con la multa la violazione intenzionale di questi doveri.

Sul piano della protezione dei dati, la maggior parte delle associazioni rientra nell'eccezione dell'art. 24 OPDa all'obbligo di tenere un registro delle attività di trattamento, che vale per imprese e organizzazioni con meno di 250 collaboratori. L'eccezione decade però quando si trattano dati degni di particolare protezione su vasta scala o si effettua una profilazione a rischio elevato — e, come mostra la sezione successiva, l'elenco dei soci di un'associazione può essere degno di particolare protezione per la sua sola esistenza. La lista di controllo svizzera per una piccola organizzazione è in la checklist di conformità nLPD per i moduli.

L'elenco dei soci è spesso delicato per la sua sola esistenza

L'art. 5 lett. c nLPD elenca come degni di particolare protezione: i dati sulle opinioni o attività religiose, filosofiche, politiche o sindacali; i dati sulla salute, la sfera intima o l'appartenenza a una razza o etnia; i dati genetici; i dati biometrici che identificano in modo univoco una persona; i dati su perseguimenti e sanzioni penali e amministrative; e i dati su misure d'assistenza sociale. Mettete quell'elenco accanto a un registro dei soci. L'elenco dei soci di un'associazione religiosa è un dato sull'appartenenza religiosa. Quello della sezione di un partito è un dato sulle opinioni politiche. Quello di un sindacato è l'appartenenza sindacale. L'associazione non ha posto alcuna domanda delicata: delicata è l'appartenenza stessa.

Come si tiene una votazione dei soci verificata e al tempo stesso segreta?

È la domanda che blocca ogni discorso sulla digitalizzazione di un'associazione, e merita una risposta diretta anziché commerciale. Il requisito è realmente contraddittorio: un voto per socio, in modo verificabile, e nessun modo di collegare il voto a chi l'ha espresso. Qualsiasi modulo unico che autentichi il votante può, in linea di principio, collegare la scheda al votante. Non è un limite del nostro prodotto: è il motivo per cui il voto elettronico statale è un'intera disciplina regolamentata.

Che cosa esige davvero il diritto svizzero delle associazioni

• Art. 67 CC — tutti i soci hanno uguale diritto di voto nell'assemblea, e le risoluzioni sono prese a maggioranza dei voti dei soci presenti. Voto ponderato, deleghe e quorum esistono solo se li creano i vostri statuti.
• Art. 66 cpv. 2 CC — l'approvazione scritta di tutti i soci a una proposta equivale a una deliberazione dell'assemblea. Da leggere con attenzione: senza una norma statutaria, una decisione per via circolare richiede l'unanimità, non una maggioranza. È qui che falliscono la maggior parte delle votazioni online improvvisate.
• Un'assemblea puramente virtuale o ibrida richiede una base espressa negli statuti. Dopo la revisione del 2023 è l'aspettativa consolidata. Se gli statuti tacciono, modificateli prima in un'assemblea fisica — in quest'ordine.
• Art. 68 CC — un socio è escluso per legge dal voto su una deliberazione che riguardi un negozio o una lite fra l'associazione e lui stesso, il coniuge o un parente in linea retta.
• Art. 75 CC — ogni socio che non abbia acconsentito può impugnare in giudizio, entro un mese da quando ne ha avuto conoscenza, una deliberazione contraria alla legge o agli statuti. Una votazione online formalmente sciatta non è quindi solo imbarazzante: resta impugnabile per un mese da chiunque abbia perso.

Lo schema che funziona: separare chi conosce i soci da chi spoglia le schede

«Anonimo ma verificato» si ottiene con l'organizzazione, non con la crittografia. Un ruolo — di norma la segreteria soci o un ufficio elettorale — emette codici monouso a fronte del registro e non vede mai le schede. Un secondo ruolo apre il modulo cifrato e conta, vede le schede e mai il registro. Nessuno detiene entrambe le metà, e gli statuti o il verbale registrano chi fa cosa. È più lavoro di una stampa unione, ed è l'unica forma di voto segreto dei soci che regge a un'impugnazione ai sensi dell'art. 75 CC da parte di chi ha perso di poco.

Dove le associazioni usano Schweizerform

Domande di adesione e ammissione dei soci

Il punto d'ingresso classico, e quello in cui gli strumenti gratuiti costano di più. Una domanda di adesione a un'associazione religiosa, politica o sindacale è un dato delicato dal primo campo, e di regola porta con sé anche una relazione bancaria per la quota. Raccolta cifrata significa che la domanda è illeggibile per tutti tranne i membri di comitato che hanno la chiave — noi compresi, chi gestisce il dominio di posta della società compreso, e compreso un futuro segretario che non deve ereditare per impostazione predefinita quindici anni di pratiche. Lo stesso modulo in quattro lingue, e un'associazione nazionale smette di filtrare i propri soci per lingua.

Iscrizioni, tornei, campi e tagliandi

I moduli d'iscrizione sono il punto in cui arrivano dati sanitari senza che nessuno abbia deciso di raccoglierli: un campo allergie, una nota su un farmaco, un contatto d'emergenza, una domanda sulla capacità di nuotare in un modulo per il campo estivo. La regola che risparmia più grattacapi è chiedere l'accorgimento invece della patologia — «che cosa deve sapere la direzione del campo per tenere al sicuro suo figlio?» raccoglie ciò su cui agirete, e molto meno di ciò che poi dovreste proteggere. Trattazione completa in raccogliere dati sanitari nei moduli e nel caso d'uso iscrizione a eventi.

Sondaggi anonimi fra i soci

Le associazioni vivono la versione più difficile del problema dell'anonimato: si conoscono tutti, il comitato valutato controlla spesso lo strumento, e una sezione di undici soci produce restituzioni su celle da due. L'aritmetica di quando un gruppo è abbastanza grande da poter essere restituito è sviluppata in quante risposte servono perché un sondaggio sia davvero anonimo, e gli schemi di progettazione si trasferiscono direttamente dal caso d'uso sondaggi ai dipendenti — pubblicare la soglia con l'invito, non far circolare i commenti al di sotto, e affidare la chiave a un ruolo esterno al comitato se il sondaggio riguarda il comitato.

Volontari, cariche e impegni onorifici

In Svizzera l'iscrizione di volontari che operano con minori comporta sempre più spesso un estratto speciale del casellario giudiziale — dati su perseguimenti e sanzioni penali, quindi delicati ai sensi dell'art. 5 lett. c nLPD. Registrate la conferma e la data della verifica invece di archiviare il documento, limitate la lettura a una o due persone nominate e tenete il dossier del volontario separato dall'elenco generale dei soci. Lo stesso vale per le carte che nessuno considera delicate: la disponibilità di un allenatore, i dati della licenza di condurre per il bus della società, i limiti di salute di un accompagnatore.

Note spese e indennità

I moduli spese contengono coordinate bancarie, e coordinate bancarie più un mittente plausibile sono la materia prima dei tentativi di frode su fatture che colpiscono di continuo le associazioni. Un modulo cifrato con un destinatario nominato è un miglioramento concreto rispetto alla nota inviata in fotografia al cassiere di turno. Tenete ciò che i conti richiedono e cancellate il resto: la conservazione la determina la contabilità dell'associazione, non la comodità dello strumento.

Federazioni mantello che raccolgono presso le società affiliate

Una federazione cantonale o nazionale che raccoglie rapporti annuali, domande di licenza o statistiche presso qualche centinaio di società affiliate ha un problema di distribuzione, non di conformità — finché non si accorge che quei rapporti contengono numeri di soci, finanze e talvolta dati personali di dirigenti, tutto in un'unica casella di posta. Un modulo cifrato per ciclo di rilevazione, in quattro lingue, con una data di cancellazione esplicita, sostituisce una cartella di e-mail che nessuno ha voglia di aprire.

Il problema del passaggio di consegne che nessuno scrive negli statuti

Le associazioni perdono la protezione dei dati al passaggio di consegne, non con un attacco. Il segretario si dimette e l'elenco soci resta nel suo account cloud privato. Il portatile del cassiere conserva il file degli arretrati. Il telefono del capo campo conserva tre anni di foto di figli altrui. Nulla è stato violato: i dati semplicemente non se ne sono mai andati. La cifratura non corregge un'abitudine organizzativa, ma cambia il significato di una consegna: l'accesso è una chiave e un'appartenenza a uno spazio di lavoro, ed entrambi si trasferiscono e si revocano con un atto deliberato e datato.

• Nominate due custodi della chiave della cassaforte nel regolamento del comitato, con una copia offline conservata dove il controllo è dell'associazione e non di una persona. Se la chiave va persa, gli invii sono irrecuperabili: è la stessa proprietà che tiene fuori tutti gli altri.
• Inserite la consegna nel ciclo annuale. L'assemblea elegge il nuovo comitato; nella stessa settimana cambiano appartenenze e custodia della chiave. Una consegna che aspetta un momento tranquillo non avviene.
• Usate il ruolo viewer per chi deve vedere senza toccare — revisori, consulenti cooptati, uscenti durante la transizione. I ruoli sono owner, admin, member e viewer, con viewer in sola lettura.
• Scrivete una regola di cancellazione per modulo e mettetela in agenda. La cancellazione è un atto deliberato, singolo o in blocco, e non una regola automatica per modulo: appartiene quindi all'ordine del giorno del comitato, allo stesso punto ogni anno.
• Tenete l'elenco dell'art. 61a CC, dove si applica, come l'unico elenco che fa fede e non come uno fra tanti. Tutto il resto è un modulo con una durata di vita.

Che cosa possiamo contare senza leggere nulla

La pagina pubblica del modulo non carica alcun servizio di analisi né beacon, e a un invio non sono associati indirizzo IP, user agent, referrer, geolocalizzazione o identificatore di cookie. Sul modulo cifrato resta il conteggio: quante persone l'hanno aperto, quante hanno inviato, quanto è durata la compilazione mediana e — per ogni domanda — quante fra chi l'ha vista vi hanno risposto. Per un'associazione basta a sapere se il modulo d'iscrizione è troppo lungo, a quale domanda si abbandona e se il promemoria nella newsletter ha funzionato. I contatori sono piatti e mai incrociati, registrati alla ricezione, mai decrementati, senza recupero retroattivo. Il ragionamento è in statistiche dei moduli senza tracciamento.

Primi passi per un'associazione

Un anno associativo dall'inizio alla fine

Obiezioni frequenti — e risposte realistiche

Siamo in quaranta e usiamo da anni uno strumento gratuito.

Per l'iscrizione alla gita di un club escursionistico è una scelta difendibile, e preferiamo dirlo. L'obiezione è più stretta: gli strumenti gratuiti conservano risposte leggibili su server di terzi, in una giurisdizione che di regola non è la Svizzera, e lo stesso account serve spesso sia per i moduli delicati sia per la gita. Se la vostra associazione è religiosa, politica o sindacale, se seguite attività giovanili o se trattate domande per casi di rigore, il calcolo cambia — non perché una multa sia probabile, ma perché un elenco soci di quel tipo, una volta divulgato, non è un evento reversibile per le persone che vi figurano. Il quadro giuridico è in Google Forms è legale in Svizzera.

Il nostro comitato cambia ogni tre anni. Qualcuno perderà la chiave.

È l'obiezione più realistica di questa pagina, e il rimedio è organizzativo anziché tecnico: due custodi nominati, una copia offline sotto controllo dell'associazione, un passaggio di consegne scritto nel regolamento del comitato e una prova prima del primo modulo reale. Se il vostro comitato non può impegnarsi a tanto, la cifratura end-to-end è l'architettura sbagliata per voi, e uno strumento convenzionale con un contratto pulito e una conservazione breve è l'alternativa onesta.

L'elenco dei soci ci serve comunque in un foglio di calcolo.

Vero — e dove si applica l'art. 61a CC siete tenuti per legge ad averlo. L'esportazione CSV è inclusa in ogni piano, Excel, PDF e ZIP nei piani a pagamento, e la decifratura avviene nel vostro browser: l'unica copia in chiaro è il file che avete scelto di salvare. Il punto non è che i dati non escano mai; è che la copia principale è illeggibile per il fornitore e che la copia esportata è una copia che avete prodotto consapevolmente e riposto dove avete deciso, invece di un archivio permanentemente leggibile che sta su una piattaforma per impostazione predefinita.

Possiamo finalmente tenere l'assemblea online?

In parte, e l'ordine conta. Verificate prima gli statuti: un'assemblea puramente virtuale o ibrida vi richiede una base espressa e, in mancanza, l'art. 66 cpv. 2 CC impone per una decisione scritta l'accordo di tutti i soci, non di una maggioranza. Modificate gli statuti in un'assemblea regolarmente convocata e poi digitalizzate. Iscrizioni, deleghe, consultazioni e votazioni non contestate funzionano bene su moduli cifrati; una votazione contestata su scioglimento, fusione o esclusione è esattamente la deliberazione che qualcuno impugnerà entro il mese ai sensi dell'art. 75 CC — e merita un'assemblea fisica o un fornitore specializzato.

Da noi nessuno compila un modulo sul telefono.

Alcuni non lo faranno, e una variante cartacea è una legittima misura di accessibilità e non un fallimento: un'associazione con età media settantacinque anni risolve un problema diverso da una i cui soci ne hanno quindici. Ciò che un modulo cifrato dà al percorso cartaceo è un posto sicuro dove mettere il risultato della trascrizione. Lo schema peggiore non è la carta: è la carta fotografata e mandata in chat sul telefono privato di un membro di comitato.

Dove Schweizerform non è la risposta giusta

• Non siamo un gestionale soci. Nessuna fatturazione delle quote, nessun sollecito, nessuna contabilità, nessun portale soci, nessun rinnovo automatico. Siamo lo strato di raccolta; il vostro gestionale o il vostro foglio di calcolo resta dov'è.
• Non siamo un sistema di voto elettronico. Nessuna verificabilità, nessuna certificazione, nessuna protezione da un comitato che correli gli orari. Usateci per le votazioni di routine, non per uno scioglimento contestato.
• Nessuna analisi delle risposte lato server. Niente incroci, niente cruscotti filtrati dal vivo, niente punteggi. Tutto avviene dopo la decifratura, davanti a una persona.
• Nessuna regola di conservazione automatica per modulo. La cancellazione è un atto. In un'associazione significa che appartiene all'ordine del giorno.
• La perdita della chiave è irreversibile, il che, per un organo la cui direzione ruota, è un rischio reale che la custodia deve coprire prima del primo modulo.

In sintesi sui moduli per associazioni e società

Un'associazione è una persona giuridica ai sensi dell'art. 60 CC, pienamente soggetta alla nLPD e, da gennaio 2023, tenuta all'obbligo di elenco dei soci dell'art. 61a CC assistito da una multa — amministrata da volontari che cambiano ogni pochi anni. Il suo elenco soci può essere delicato per la sola esistenza, la sua sezione giovanile raccoglie forse numeri AVS di minorenni per Gioventù+Sport, e il suo atto politicamente più carico dell'anno è una votazione che deve essere insieme verificata e segreta.

Lo strato di raccolta è la parte che potete sistemare in un pomeriggio. Cifrare nel browser del socio, tenere la chiave della cassaforte presso l'associazione e non presso una persona, separare l'insieme dei lettori dalle persone di cui un modulo parla, e scrivere una data di cancellazione accanto a ogni modulo. Ciò che un modulo cifrato non può essere — una banca dati soci, un sistema di fatturazione, una piattaforma di voto certificata — preferiamo che lo sappiate prima della prossima assemblea anziché dopo.