Prescrizioni del Garante n. 726 del 13/11/2025

Komplett Società Cooperativa: diffusione online di immagini di minori senza valido consenso

Il provvedimento riguarda Komplett Società Cooperativa e la pubblicazione sul proprio sito internet di un video contenente immagini riconoscibili di due minori partecipanti a un centro estivo. L’Autorità ha esaminato una segnalazione della madre dei minori e ha verificato la liceità del trattamento, concentrandosi sulla validità del consenso prestato dai genitori e sulla chiarezza della modulistica utilizzata dalla Società.

Origine del procedimento e fatti contestati

La segnalazione, trasmessa il 3 settembre 2023, lamentava che la Società avesse raccolto e diffuso online immagini dei figli minori dell’istante, in particolare tramite un video pubblicato sul sito internet e sui canali social. Secondo quanto rappresentato, il video mostrava i minori impegnati in attività di gioco presso le strutture del centro estivo e sarebbe stato pubblicato senza il consenso preventivo degli esercenti la responsabilità genitoriale.

L’istruttoria è stata avviata con richieste di informazioni del 22 dicembre 2023 e del 14 maggio 2024. La Società ha risposto con note del 19 gennaio 2024 e del 14 giugno 2024, precisando che all’iscrizione al centro estivo veniva sottoposta l’informativa privacy e raccolto un consenso per il trattamento dei dati dei minori, comprensivo dell’autorizzazione a riprese video e fotografiche.

Trattamento esaminato e ricostruzione dei fatti

Komplett Società Cooperativa ha spiegato di operare dal 2008 nel settore dei servizi di pulizia e di aver progressivamente ampliato la propria offerta, includendo servizi educativi e centri estivi. Nel caso concreto, le immagini dei bambini erano state raccolte nell’ambito delle attività del centro estivo, con l’obiettivo dichiarato di produrre un breve video per i genitori e, occasionalmente, di utilizzarlo anche per promuovere il servizio.

Dagli accertamenti è emerso che il video oggetto di contestazione è stato pubblicato il 29 agosto 2023 e rimosso il 4 settembre 2023, dopo la segnalazione dell’interessata. La Società ha ammesso che la presenza riconoscibile dei minori nel filmato era dovuta a un errore dell’operatore che aveva omesso di tagliare o oscurare alcuni fotogrammi. È stato anche rilevato che i minori erano visibili solo per alcuni secondi, mentre nella maggior parte del video comparivano di schiena o sfocati.

Violazioni accertate e norme di riferimento

Il Garante ha ritenuto accertata l’illiceità del trattamento per violazione:

• dell’art. 5, par. 1, lett. a) GDPR, per il mancato rispetto dei principi di liceità, correttezza e trasparenza;
• dell’art. 6, par. 1, lett. a) GDPR, per l’assenza di un valido consenso quale base giuridica del trattamento.

L’Autorità ha richiamato la nozione di dato personale dell’art. 4, n. 1 GDPR, evidenziando che le immagini di una persona fisica identificabile costituiscono dati personali. Ha inoltre ribadito che, in caso di trattamento di dati personali relativi a minori, è necessaria una particolare attenzione alla protezione rafforzata prevista dal regolamento e che il consenso deve essere informato e prestato da entrambi i genitori, anche in caso di affidamento condiviso.

Insufficienza del consenso e criticità della modulistica

Nel corso del procedimento la Società non ha fornito prova dell’acquisizione del consenso di entrambi i genitori per la raccolta e la diffusione online delle immagini dei minori. La stessa ha confermato che la madre non aveva autorizzato l’uso delle immagini dei figli nel modulo denominato "Rilascio consenso per Minori".

Il Garante ha ritenuto che la formula di consenso predisposta dalla Società non fosse sufficientemente chiara ed esaustiva. In particolare, la clausola relativa all’uso di immagini e video riportava una formula generica, facendo riferimento alla diffusione tramite "social network, eventi, ecc.", senza descrivere in modo preciso l’effettivo ambito di divulgazione, che nel caso concreto comprendeva anche il sito web della Società. È stata quindi esclusa la possibilità di ritenere validamente acquisito un consenso specifico e inequivocabile ai sensi degli artt. 6 e 7 GDPR.

L’Autorità ha inoltre osservato che la previsione secondo cui l’autorizzazione sarebbe valida fino al compimento dei 18 anni del minore andava collocata, eventualmente, tra le condizioni generali del modulo e non nella singola clausola di consenso, poiché poteva generare confusione sulla portata del diritto di revoca. È stato richiamato l’art. 7, par. 3 GDPR, che consente la revoca del consenso in qualsiasi momento.

Valutazioni del Garante e misure adottate

Pur rilevando la violazione, il Garante ha preso atto di diversi elementi favorevoli alla Società:

• la violazione ha riguardato solo due interessati;
• la diffusione online è durata per un periodo limitato, dal 29 agosto al 4 settembre 2023;
• la condotta è stata ritenuta prevalentemente riconducibile a un errore umano;
• la Società ha collaborato con l’Autorità;
• non risultano precedenti violazioni;
• il video è stato rimosso spontaneamente e sono state adottate misure interne per evitare il ripetersi di episodi analoghi.

Alla luce di tali elementi, il Garante ha qualificato la fattispecie come "violazione minore" ai sensi dell’art. 83, par. 2 e del considerando 148 GDPR.

Provvedimenti finali

Il Garante ha adottato le seguenti misure:

• ha rilevato l’illiceità del trattamento ai sensi dell’art. 57, par. 1, lett. f) GDPR;
• ha ammonito Komplett Società Cooperativa ai sensi dell’art. 58, par. 2, lett. b) GDPR;
• ha ingiunto alla Società, ai sensi dell’art. 58, par. 2, lett. d) GDPR, di conformarsi entro 30 giorni dalla notifica, rielaborando la modulistica privacy secondo le indicazioni fornite nel provvedimento e trasmettendo un riscontro documentato ai sensi dell’art. 157 del Codice;
• ha avvertito che l’eventuale mancato riscontro può comportare l’applicazione della sanzione di cui all’art. 83, par. 5, lett. e) GDPR;
• ha disposto l’annotazione nel registro interno dell’Autorità;
• ha previsto la pubblicazione del provvedimento sul sito internet del Garante.

Implicazioni operative

Il provvedimento evidenzia che, per trattamenti che comportano la raccolta e la diffusione di immagini di minori, il titolare deve:

• acquisire un consenso chiaro, specifico e inequivocabile;
• indicare con precisione finalità e canali di diffusione;
• evitare formulazioni generiche o ambigue;
• predisporre moduli distinti e comprensibili per ciascun trattamento;
• garantire la possibilità di revoca in ogni momento.

Per gli operatori del settore educativo, ricreativo e associativo, la decisione conferma la necessità di una governance documentale rigorosa quando si pubblicano immagini di minori, anche se l’uso principale del materiale è interno o promozionale.