Ordinanza ingiunzione o revoca n. 42 del 29/01/2026

Videosorveglianza in istituto scolastico e trattamento illecito di dati personali

Il Garante ha adottato un’ordinanza-ingiunzione nei confronti della Provincia della Congregazione dei Fratelli delle Scuole Cristiane, titolare dell’Istituto San Giuseppe La Salle di Milano, a seguito di un reclamo presentato dai genitori di un minore coinvolto in un infortunio avvenuto in ambiente scolastico. Il procedimento ha riguardato l’uso di un sistema di videosorveglianza installato presso l’Istituto, nonché la successiva ripresa di un filmato tramite telefono cellulare e i trattamenti connessi al video dell’episodio.

Origine del procedimento e attività istruttoria

Il reclamo ex art. 77 GDPR ha segnalato che l’Istituto sarebbe stato in possesso di una registrazione dell’incidente e che il filmato non sarebbe stato acquisito direttamente dal sistema, ma mediante ripresa dello schermo di un computer con un telefono cellulare. I reclamanti hanno inoltre riferito che il video sarebbe stato consegnato a un investigatore privato incaricato dalla compagnia assicuratrice. Nel corso dell’istruttoria il Garante ha richiesto informazioni al titolare ai sensi dell’art. 157 del Codice privacy e ha poi contestato, con atto di avvio del procedimento ex art. 166, comma 5, del Codice, plurime violazioni in materia di liceità, trasparenza, informativa e valutazione di impatto.

Trattamento esaminato: impianto di videosorveglianza

Dalle dichiarazioni del titolare è emerso che il sistema di videosorveglianza era attivo dal 2019 e composto da due registratori, DVR1 e NVR2, per un totale di 24 telecamere. Le riprese interessavano aree esterne e interne dell’Istituto: cancelli carrai, parcheggio, scale esterne, portoni di ingresso e uscita, area sportiva, atri di accesso ai piani, atrio di sbarco dell’ascensore, corridoio e area antistante l’accesso alla cucina al quarto piano. Il sistema operava anche in orario diurno, quando la scuola era aperta e presenti studenti, personale e altri soggetti.

Liceità del trattamento e base giuridica

Il Garante ha escluso la liceità del trattamento. Ha ricordato che, in ambito scolastico, l’uso della videosorveglianza è ammissibile solo in casi di stretta indispensabilità, per la tutela dell’edificio e dei beni scolastici da atti vandalici, con riprese limitate alle aree interessate e telecamere interne attivabili solo a scuola chiusa. Nel caso concreto, l’attivazione del sistema durante le attività scolastiche ed extrascolastiche è stata considerata incompatibile con i principi di liceità, correttezza, trasparenza, necessità e proporzionalità.

Il titolare aveva invocato il legittimo interesse ex art. 6, par. 1, lett. f), GDPR, sostenendo l’esigenza di sicurezza e protezione dell’Istituto. Il Garante ha però ritenuto che tale base giuridica non fosse utilizzabile, sia per la presenza di minori, sia perché il contesto scolastico implica un interesse pubblico all’istruzione che non consente una videosorveglianza così ampia e diurna. È stato inoltre evidenziato che, in presenza di lavoratori, il trattamento ricadeva nella disciplina dell’art. 4 della l. 300/1970 e dell’art. 88 GDPR, con necessità di accordo sindacale o autorizzazione amministrativa, garanzie che il titolare non aveva attivato.

Controllo a distanza dei lavoratori e disciplina speciale

L’Autorità ha chiarito che non rilevano né la dichiarazione del titolare secondo cui il sistema non sarebbe stato destinato a controllare l’attività lavorativa, né la circostanza che i dipendenti ne fossero a conoscenza sin dall’assunzione. La videosorveglianza, anche se collocata in aree di transito o accesso, può infatti comportare una possibilità di controllo indiretto del personale e richiede il rispetto della disciplina lavoristica speciale. Il Garante ha richiamato anche la propria prassi applicativa, le Linee guida 3/2019 del Comitato europeo per la protezione dei dati e la giurisprudenza della Corte EDU e della Corte di giustizia, ribadendo che le esigenze di sicurezza non bastano, da sole, a giustificare il trattamento in assenza delle garanzie previste dalla legge.

Ulteriore trattamento del filmato relativo al minore

Con riferimento all’episodio che ha coinvolto il figlio dei reclamanti, il titolare ha ammesso che una docente aveva ripreso lo schermo del computer con il proprio telefono cellulare, poiché non era possibile estrarre il filmato direttamente dal DVR. Ha sostenuto che il filmato fosse stato visionato solo dai genitori dell’alunno, da una docente e dalla coordinatrice della scuola primaria, e che fosse conservato in vista di eventuali richieste dell’autorità giudiziaria.

Il Garante ha ritenuto che, poiché il trattamento originario tramite videosorveglianza era illecito, anche il successivo trattamento del filmato dovesse considerarsi illecito. È stato richiamato l’art. 2-decies del Codice privacy sull’inutilizzabilità dei dati trattati in violazione della disciplina applicabile, oltre ai principi di cui all’art. 5, par. 1, lett. a) e b), e agli artt. 6 e 2-ter del Codice.

Trasparenza e informativa agli interessati

Sul piano dell’informativa, il Garante ha giudicato insufficiente la cartellonistica di primo livello. I cartelli prodotti non indicavano correttamente l’identità del titolare, le finalità e la base giuridica del trattamento, i tempi di conservazione, i diritti degli interessati e il rinvio a un’informativa estesa di secondo livello. Non è stato nemmeno provato che una informativa completa fosse effettivamente resa disponibile in modo facilmente accessibile.

Quanto ai lavoratori, il titolare ha prodotto soltanto un modello di informativa, senza prova certa della sua effettiva consegna o sottoscrizione prima dell’avvio del trattamento. Per questo il Garante ha ritenuto violati gli artt. 5, par. 1, lett. a), 12, par. 1, e 13 GDPR.

Valutazione di impatto sulla protezione dei dati

L’Autorità ha inoltre contestato la mancata DPIA. Secondo il Garante, il trattamento avrebbe richiesto una valutazione di impatto ex art. 35 GDPR, perché configurava una sorveglianza sistematica e coinvolgeva soggetti vulnerabili, in particolare minori e dipendenti, oltre a riguardare un contesto lavorativo nel quale il monitoraggio tramite strumenti tecnologici può determinare un controllo a distanza.

È stato osservato anche che una DPIA avrebbe consentito di valutare adeguatamente i tempi di conservazione delle immagini, fissati dal titolare in 8 giorni per il DVR1 e 14 giorni per l’NVR2, senza cancellazione automatica ma fino a esaurimento della memoria. La mancata valutazione è stata dunque qualificata come violazione autonoma dell’art. 35 GDPR.

Conclusioni, sanzione e misure accessorie

Il Garante ha dichiarato l’illiceità del trattamento effettuato dalla Provincia della Congregazione dei Fratelli delle Scuole Cristiane per la violazione degli artt. 5, par. 1, lett. a) e b), 6, 12, par. 1, 13, 35 e 88 GDPR, nonché degli artt. 2-ter e 114 del Codice privacy, in relazione all’art. 4 della l. 300/1970.

Poiché le violazioni derivavano da un’unica condotta, è stato applicato l’art. 83, par. 3, GDPR. La sanzione amministrativa pecuniaria è stata determinata in euro 12.000, tenendo conto della durata del trattamento dal 2019, dell’elevato numero di interessati, della presenza di minori e lavoratori, della colpa, dell’assenza di precedenti, della cooperazione con l’Autorità e del fatto che la violazione riguardava una sola struttura scolastica. È stata inoltre disposta la pubblicazione dell’ordinanza-ingiunzione sul sito del Garante e l’annotazione nel registro interno dell’Autorità.

Prescrizioni e rimedi

Il Garante ha rilevato che la condotta aveva esaurito i propri effetti, anche per lo spegnimento di tutte le telecamere dichiarato dal titolare, e ha quindi escluso ulteriori misure correttive ex art. 58, par. 2, GDPR. Per il filmato relativo all’infortunio del minore non sono state adottate misure correttive, in ragione della presenza di un contenzioso e dell’interessamento dell’autorità giudiziaria.

Il provvedimento è impugnabile dinanzi all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.