Ordinanza ingiunzione o revoca n. 274 del 17/04/2026

Istituto scolastico paritario: pubblicazione illecita di immagini di minori sui canali web e social

Il provvedimento riguarda l'Istituto "Ancelle della Compagnia della Regina dei Gigli", destinatario di un reclamo per la pubblicazione sul sito istituzionale e sui profili Facebook e Instagram di fotografie e video di minori, inclusi i figli del reclamante. Il Garante ha concluso per l'illiceità del trattamento e ha irrogato una sanzione amministrativa pecuniaria, disponendo anche la pubblicazione dell'ordinanza ingiunzione sul proprio sito.

Origine del procedimento e contestazioni del reclamante

Il procedimento è stato aperto a seguito del reclamo di un genitore, che ha lamentato che l'istituto avesse diffuso numerose immagini dei bambini senza il consenso prestato in sede di iscrizione. Il reclamante ha precisato di non aver autorizzato l'uso e la pubblicazione delle immagini, né sul sito web né sui canali social della scuola.

Attività istruttoria e difese del titolare

L'istituto ha dichiarato di utilizzare sito internet e profili social per promuovere le attività scolastiche, pubblicando recite, campi e altre iniziative. Ha affermato che le immagini erano state rimosse immediatamente dopo la segnalazione e che erano state adottate ulteriori misure: verifica dell'inaccessibilità dei link, esclusione dai motori di ricerca e comunicazione a Google della non disponibilità delle foto.

Nelle memorie difensive ha sostenuto che:

• il trattamento avrebbe riguardato solo due minori appartenenti allo stesso nucleo familiare;
• la violazione sarebbe derivata da un errore materiale e colposo, causato dalla modifica manuale del modulo di iscrizione da parte del genitore senza comunicazione all'ufficio amministrativo;
• i genitori avrebbero preso atto della rimozione dei contenuti e dichiarato di non voler intraprendere ulteriori azioni;
• l'istituto avrebbe introdotto misure organizzative e di controllo, tra cui moduli di consenso granulari, un registro interno delle esclusioni e formazione specifica del personale coordinata dal RPD.

Normativa applicabile richiamata dal Garante

Il Garante ha richiamato gli artt. 5, par. 1, lett. a), 6, parr. 1-3, 7 e 83 del GDPR, nonché l'art. 2-ter del Codice privacy. Ha ricordato che, per i trattamenti effettuati da soggetti pubblici o assimilati, la base giuridica deve essere prevista da una norma di legge, regolamento o atto amministrativo generale e deve riguardare un compito di interesse pubblico o connesso all'esercizio di pubblici poteri.

Illiceità della pubblicazione di foto e video di minori

Secondo l'Autorità, la raccolta e la pubblicazione di immagini dei minori sul sito istituzionale e sui social dell'istituto costituivano trattamento e diffusione di dati personali senza un idoneo fondamento normativo. Il Garante ha osservato che tali attività non rientrano nelle finalità di interesse pubblico proprie dell'istituto scolastico e che non era stata indicata alcuna specifica base giuridica idonea a legittimarle.

L'Autorità ha inoltre precisato che la pubblicazione di immagini qualificate come "didattiche" ma sostanzialmente promozionali non è compatibile con l'attività educativa affidata alla scuola. È stato anche richiamato il principio di particolare protezione dei dati dei minori, in ragione della loro vulnerabilità.

Inidoneità del consenso nel caso concreto

Il Garante ha ricordato che il consenso, in presenza di finalità di interesse pubblico, non rappresenta normalmente una base giuridica adeguata, anche per lo squilibrio tra interessato e titolare. In ogni caso, l'istituto non aveva dimostrato la validità del consenso ai sensi dell'art. 7 GDPR.

Nel caso concreto, il diniego risultava espresso in modo chiaro: il genitore aveva modificato il modulo di iscrizione barrando il consenso con un "NO" e aveva annullato la liberatoria all'uso delle immagini. Per l'Autorità, tali elementi rendevano inequivoca la volontà di non autorizzare il trattamento.

Valutazione finale del Garante

Il Garante ha ritenuto che le dichiarazioni dell'istituto non fossero sufficienti a superare i rilievi formulati nell'avvio del procedimento e ha escluso l'archiviazione. Ha quindi dichiarato illecito il trattamento per violazione degli artt. 5, par. 1, lett. a), 6, parr. 1-3, e 7 del GDPR e dell'art. 2-ter del Codice.

L'Autorità ha preso atto favorevolmente delle misure adottate successivamente, in particolare della rimozione delle immagini dal sito e dai social e delle verifiche sui motori di ricerca.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Il Garante ha ritenuto applicabile la sanzione dell'art. 83, par. 5, GDPR, con importo massimo astrattamente pari a 20 milioni di euro. Ai fini della quantificazione concreta ha considerato, ai sensi dell'art. 83, par. 2:

• la natura, gravità e durata della violazione, con diffusione di dati riferita a diversi interessati;
• il profilo soggettivo, essendo l'errore derivato dal convincimento dell'istituto di aver acquisito il consenso;
• la circostanza che non fossero coinvolte categorie particolari di dati;
• la rimozione dei contenuti dopo la segnalazione;
• l'assenza di precedenti violazioni pertinenti;
• il grado di cooperazione con l'Autorità;
• le ridotte dimensioni e limitate risorse economiche del titolare.

Ritenendo la gravità complessiva di livello medio, il Garante ha determinato la sanzione in euro 4.000,00.

Dispositivo

Il provvedimento:

• dichiara l'illiceità del trattamento effettuato dall'istituto;
• ordina il pagamento di euro 4.000,00 a titolo di sanzione amministrativa pecuniaria;
• richiama la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni, ai sensi dell'art. 166, comma 8, del Codice;
• ingiunge il pagamento entro 30 giorni dalla notifica, in mancanza di definizione della controversia;
• dispone la pubblicazione dell'ordinanza ingiunzione sul sito del Garante, in considerazione della presenza di dati personali di minori;
• dispone l'annotazione del provvedimento nel registro interno dell'Autorità.

Tutela giurisdizionale

Avverso il provvedimento è ammesso ricorso all'autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all'estero.