Ordinanza ingiunzione o revoca n. 410 del 10/07/2025

Asilo nido privato "La Combricola Dei Birichini Di Betty": diffusione online di immagini di minori, videosorveglianza illecita, informative carenti e RPD in conflitto d'interessi

Il Garante ha definito un procedimento avviato a seguito del reclamo di un genitore e di verifiche d'ufficio nei confronti di un asilo nido privato. L'istruttoria ha riguardato la pubblicazione e circolazione di foto di minori, l'uso di un sistema di videosorveglianza nei locali della struttura e la corretta individuazione del Responsabile della protezione dei dati.

Origine del procedimento e attività istruttoria

Il reclamante lamentava che, in sede di iscrizione della figlia, l'asilo avesse richiesto la presa visione e accettazione di un'informativa contenente un consenso per la raccolta e l'utilizzo delle immagini della minore, presentato come condizione per l'erogazione del servizio. Segnalava inoltre la presenza di un sistema di videosorveglianza idoneo a riprendere personale scolastico e bambini durante l'attività educativa.

Nel corso dell'istruttoria, l'asilo ha sostenuto che il consenso all'uso delle immagini fosse facoltativo e che i minori fossero comunque ammessi anche in caso di diniego. Ha spiegato che le foto venivano condivise in uno spazio virtuale su Google Photo accessibile ai genitori dei soli bambini appartenenti al medesimo gruppo, e che l'impianto di videosorveglianza era stato installato con fondi pubblici regionali per prevenire abusi, maltrattamenti e reati ai danni dei minori, oltre che per tutelare sicurezza e patrimonio.

Il Garante ha inoltre accertato, tramite verifiche d'ufficio, la presenza sul sito web dell'asilo e sul profilo Google Maps di numerose immagini di minori ritratti in diverse fasi della giornata, anche in contesti delicati come sonno, mensa, servizi igienici, cambio pannolino e massaggi.

Trattamento delle foto dei minori: consenso non valido e diffusione non lecita

L'Autorità ha ritenuto che la pubblicazione online delle immagini di numerosi neonati e infanti fosse incompatibile con il superiore interesse del minore e con la disciplina privacy. La finalità effettiva è stata letta come promozionale più che didattica, e comunque non idonea a giustificare una diffusione così ampia e invasiva.

Il Garante ha escluso che il trattamento potesse fondarsi validamente sul consenso dei genitori, per più ragioni:

• il consenso era presentato come condizione per l'accesso al servizio, quindi non era libero;
• l'informativa era generica e non rendeva edotti gli interessati dell'effettiva portata della diffusione;
• il consenso non era granulare, perché richiesto con un'unica firma per trattamenti e finalità differenti;
• per la diffusione online di immagini di minori, ove ammissibile, sarebbe necessario il consenso di entrambi i genitori.

La condotta è stata qualificata come violazione degli artt. 5, par. 1, lett. a), 6, parr. 1-3, 7, par. 2, e 2-ter del Codice.

Informativa ai genitori: violazione del principio di trasparenza

L'informativa resa agli esercenti la responsabilità genitoriale è stata considerata non conforme agli artt. 12 e 13 GDPR. In particolare, mancavano o risultavano incoerenti:

• l'indicazione chiara del RPD e dei relativi dati di contatto;
• le basi giuridiche delle diverse finalità di trattamento;
• la descrizione precisa dei contesti di comunicazione e diffusione delle immagini;
• la corretta rappresentazione delle conseguenze del mancato conferimento dei dati;
• i tempi di conservazione dei dati personali, salvo un richiamo errato alle immagini da videosorveglianza.

È stata quindi accertata una violazione del principio di liceità, correttezza e trasparenza, con riguardo agli artt. 5, par. 1, lett. a), 12 e 13 GDPR.

Videosorveglianza nei locali dell'asilo: base giuridica assente e controllo a distanza illecito

Il sistema di videosorveglianza riprendeva minori, personale educativo, lavoratori e terzi in più aree della struttura: bagni limitatamente alla zona lavandini, refettorio, zona riposo, guardaroba e area esterna. Il Garante ha ritenuto che la disciplina regionale richiamata dall'asilo fosse soltanto una norma di finanziamento e non una base giuridica idonea a legittimare il trattamento ai sensi dell'art. 6 GDPR e dell'art. 2-ter del Codice.

Sul piano lavoristico, il trattamento è stato ricondotto all'art. 4 dello Statuto dei lavoratori e all'art. 114 del Codice. L'Autorità ha escluso la liceità perché l'impianto non era finalizzato solo a esigenze organizzative, produttive, di sicurezza del lavoro o tutela del patrimonio aziendale, ma a un monitoraggio diretto della prestazione lavorativa e alla prevenzione/accertamento di possibili reati, finalità che esulano dal perimetro consentito. Il Garante ha richiamato la necessità di tutela della vita privata nei luoghi di lavoro, la giurisprudenza nazionale ed europea e le proprie precedenti indicazioni in materia di videosorveglianza.

Informative video e omessa prova di avvenuta consegna ai lavoratori

L'asilo aveva affisso cartelli di primo livello, ma questi sono risultati carenti perché:

• non aggiornati sotto il profilo normativo;
• privi di indicazione chiara dei tempi di conservazione;
• incompleti sui diritti degli interessati e sulle modalità di esercizio;
• privi di un chiaro rinvio all'informativa estesa.

Anche l'informativa di secondo livello è stata ritenuta inidonea, perché indicava genericamente il "legittimo interesse" come base giuridica, in contrasto con quanto emerso in istruttoria, e non richiamava compiutamente la disciplina di settore. Quanto ai lavoratori, l'asilo ha prodotto solo un modello di informativa senza data certa e senza prova effettiva della consegna prima dell'avvio del trattamento.

DPIA omessa

Il Garante ha accertato l'omessa valutazione d'impatto ex art. 35 GDPR. Il trattamento comportava infatti un monitoraggio sistematico, in un contesto ad alto rischio, di soggetti vulnerabili: minori e dipendenti. La particolare delicatezza del contesto educativo e il carattere invasivo della videosorveglianza rendevano necessaria una previa analisi dei rischi e delle misure da adottare.

Responsabile della protezione dei dati: designazione in conflitto e mancata comunicazione dei contatti

L'asilo aveva indicato come RPD la dirigente scolastica e legale rappresentante. Il Garante ha ritenuto violati gli artt. 37, par. 7, e 38, par. 6, GDPR perché:

• i dati di contatto del RPD non erano stati comunicati all'Autorità;
• i dati di contatto non erano stati resi noti agli interessati;
• la funzione era stata attribuita a un soggetto in evidente conflitto di interessi, essendo titolare di poteri decisionali sulle finalità e i mezzi dei trattamenti.

Esito, misure correttive e sanzione

L'Autorità ha ritenuto che le dichiarazioni e le iniziative successivamente assunte dall'asilo non fossero sufficienti a giustificare l'archiviazione. Ha quindi confermato l'illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), 6, 7, 12, par. 1, 13, 35, 37, par. 7, e 38, par. 6, del GDPR e dell'art. 2-ter del Codice.

Sono state adottate le seguenti misure:

• limitazione del trattamento, con divieto di ogni ulteriore diffusione online delle foto dei minori;
• cancellazione delle foto dei minori dagli archivi;
• obbligo di comunicare entro 30 giorni le iniziative intraprese per dare esecuzione alle prescrizioni.

Ai fini sanzionatori, il Garante ha applicato l'art. 83, par. 5, GDPR, considerando l'unicità della condotta e la gravità delle violazioni. Pur in presenza di buona cooperazione e assenza di precedenti, ha valorizzato negativamente la delicatezza delle immagini diffuse, la vulnerabilità dei soggetti coinvolti, il carattere colposo della condotta e il monitoraggio continuo dei lavoratori. La sanzione è stata determinata in euro 10.000,00.

Pubblicazione del provvedimento e rimedi

È stata disposta la pubblicazione dell'ordinanza ingiunzione sul sito del Garante e l'annotazione delle violazioni nel registro interno. Avverso il provvedimento è possibile proporre ricorso all'autorità giudiziaria ordinaria nei termini di legge.