Ordinanza ingiunzione o revoca n. 725 del 27/11/2025

Istituto Comprensivo "G. Falcone" Rende-Quattromiglia: video promozionale sui social con immagine di minore e rapporto non formalizzato con l'influencer

Il provvedimento riguarda un istituto scolastico pubblico che ha commissionato a un influencer un video promozionale per la scuola, poi diffuso sui social dell'influencer e contenente la ripresa di una minore. Il procedimento è stato avviato a seguito di reclamo dei genitori dell'alunna.

Fatti e origine del reclamo

I reclamanti hanno riferito che, all'inizio dell'anno scolastico, la dirigente aveva sottoposto alle famiglie vari modelli da sottoscrivere, tra cui una liberatoria per videoriprese degli alunni durante gite o eventi didattici. Pur avendo firmato, i genitori hanno contestato che ciò non potesse valere per un successivo video promozionale, realizzato da un soggetto terzo qualificato come influencer e diffuso su Instagram, Facebook, TikTok e altri profili social.

Nel video, girato all'interno dell'istituto, compariva per pochi secondi la figlia dei reclamanti seduta al pianoforte e ripresa di spalle. I genitori hanno lamentato di non avere prestato un consenso specifico per tale diffusione e di non essere stati informati della pubblicazione sui social.

Attività istruttoria e difese dell'Istituto

L'Istituto ha sostenuto che il progetto di promozione delle attività scolastiche rientrasse nelle finalità istituzionali e che il trattamento trovasse base nell'art. 6, par. 1, lett. e), GDPR e nell'art. 2-ter del Codice. Ha inoltre affermato che:

• il video mostrava pochi secondi di ripresa della minore, di spalle e non riconoscibile;
• la partecipazione dell'influencer era volontaria, gratuita e limitata a un video una tantum;
• erano state fornite informativa alle famiglie e richiesta di consenso scritto;
• il video era stato rimosso dai canali social dopo la segnalazione dei genitori.

L'Istituto non ha tuttavia presentato memorie difensive nel procedimento.

Quadro normativo richiamato

Il Garante ha richiamato la disciplina applicabile ai trattamenti svolti da soggetti pubblici, evidenziando che essi sono leciti solo se necessari per adempiere un obbligo legale o per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, e che la base giuridica deve essere prevista da norme di legge, regolamento o atti amministrativi generali ai sensi dell'art. 2-ter del Codice.

È stato inoltre ribadito che:

• la diffusione e comunicazione di dati personali da parte di soggetti pubblici è consentita solo se prevista da una norma di legge, regolamento o atto amministrativo generale;
• il trattamento deve rispettare i principi di liceità, correttezza e trasparenza di cui all'art. 5, par. 1, lett. a), GDPR;
• il responsabile del trattamento deve essere nominato con contratto o atto giuridico ai sensi dell'art. 28 GDPR.

Valutazione sulla diffusione del video

L'Autorità ha osservato che la ripresa di una persona, anche se di spalle e con volto non visibile, può comunque costituire dato personale quando elementi di contesto permettano l'identificazione. Nel caso concreto, il video, pubblicato sui profili social dell'influencer per promuovere l'Istituto, conteneva immagini della minore e integrava quindi una diffusione di dati personali.

Il Garante ha escluso che la liberatoria sottoscritta dai genitori potesse coprire tale trattamento, poiché essa faceva riferimento a riprese per finalità didattiche, documentali o di partecipazione ad attività scolastiche, non alla pubblicazione su social network esterni all'Istituto. Inoltre, il consenso, per essere valido, deve essere libero, specifico, informato e inequivocabile; nel caso esaminato, mancava un'informazione trasparente sulla diffusione sui social.

È stato anche richiamato il principio secondo cui, in materia di minori, il consenso genitoriale incontra comunque il limite del superiore interesse del minore, incompatibile con la pubblicazione del video per finalità promozionali.

Mancata designazione dell'influencer

Dall'istruttoria è emerso che l'influencer aveva realizzato il video su incarico dell'Istituto e nell'interesse della scuola. Secondo il Garante, in una simile situazione l'influencer avrebbe dovuto essere formalmente disciplinato come responsabile del trattamento, mediante contratto o altro atto giuridico contenente istruzioni e indicazioni essenziali sul trattamento.

Poiché dagli atti non risultava tale regolamentazione, il Garante ha ravvisato la violazione dell'art. 28 GDPR.

Esito del procedimento

L'Autorità ha concluso che il trattamento era illecito per violazione degli artt. 5, par. 1, lett. a), 6, parr. 1-3, e 28 GDPR, oltre che dell'art. 2-ter del Codice privacy. Ha altresì rilevato che, poiché il video era stato rimosso, non ricorrevano i presupposti per ulteriori misure correttive ex art. 58, par. 2, GDPR.

Sanzione e criteri di quantificazione

È stata applicata una sanzione amministrativa pecuniaria di euro 2.000,00. Nella quantificazione il Garante ha considerato, ai sensi dell'art. 83, par. 2, GDPR:

• la natura, gravità e durata limitata della violazione, poiché il video mostrava pochi secondi di ripresa di spalle;
• l'erroneo convincimento dell'Istituto di aver acquisito un consenso sufficiente e della non riconoscibilità dell'alunna;
• l'assenza di categorie particolari di dati;
• la rimozione del video dopo la segnalazione;
• l'assenza di precedenti violazioni pertinenti;
• il grado di cooperazione con l'Autorità;
• le limitate dimensioni e risorse economiche di un istituto scolastico.

Il Garante ha ritenuto la sanzione effettiva, proporzionata e dissuasiva, applicando anche l'art. 83, par. 3, GDPR poiché le violazioni derivavano da un'unica condotta.

Ulteriori disposizioni

Il provvedimento dispone la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante, in considerazione del fatto che la vicenda riguarda dati personali di una minore, quindi di un soggetto particolarmente vulnerabile. È inoltre prevista l'annotazione nel registro interno dell'Autorità.

È ammesso ricorso all'autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011 entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all'estero.