Ordinanza ingiunzione o revoca n. 134 del 13/03/2025

Istituto Alberghiero Mediterraneo di Pulsano: diffusione su YouTube di immagini di minori senza base giuridica

Il provvedimento riguarda l’Istituto Alberghiero Mediterraneo di Pulsano, destinatario di un reclamo relativo alla pubblicazione su YouTube di un video natalizio nel quale comparivano alunni, tra cui il figlio della reclamante. Il Garante ha esaminato la liceità della diffusione delle immagini in ambito scolastico e ha concluso per l’illiceità del trattamento, con irrogazione di sanzione amministrativa pecuniaria.

Origine del reclamo e svolgimento dell’istruttoria

La reclamante ha riferito che il video era stato pubblicato sulla piattaforma YouTube senza consenso e senza aver firmato alcuna autorizzazione alla pubblicazione. Nel corso dell’istruttoria l’Istituto ha dichiarato di avere rimosso tempestivamente il video dal canale YouTube non appena ricevuto il reclamo e ha sostenuto che le immagini fossero state trattate per finalità istituzionali della scuola, nell’ambito di attività didattiche, formative e di inclusione.

L’Istituto ha inoltre affermato che la docente aveva informato gli alunni circa la natura dell’attività e che era stato chiesto chi volesse parteciparvi; secondo la versione difensiva, l’alunno coinvolto avrebbe dichiarato di avere già compiuto quattordici anni e di volere aderire alla ripresa e alla successiva pubblicazione.

Trattamento contestato e qualificazione giuridica

L’Autorità ha accertato che l’Istituto aveva pubblicato sul canale YouTube della scuola un video di auguri natalizi nel quale apparivano alcuni alunni, tra cui il figlio della reclamante. Tale operazione è stata qualificata come diffusione di dati personali, ai sensi dell’art. 4, par. 1, n. 1, GDPR, in quanto le immagini consentivano l’identificazione degli interessati.

Poiché il titolare è un soggetto pubblico, il trattamento doveva trovare fondamento in una norma di legge, regolamento o atto amministrativo generale, e risultare necessario per un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi dell’art. 6, par. 1, lett. c) ed e), par. 2 e 3, GDPR, nonché dell’art. 2-ter del Codice.

Violazioni accertate

Il Garante ha rilevato che:

• l’Istituto non ha indicato alcuna specifica base giuridica idonea a legittimare la diffusione delle immagini dei minori sul canale YouTube;
• il consenso non può costituire, nel caso di specie, la base giuridica del trattamento svolto da un soggetto pubblico;
• l’art. 2-quinquies del Codice è stato richiamato in modo inconferente, poiché riguarda il consenso dei minori in relazione all’offerta diretta di servizi della società dell’informazione;
• l’informativa richiamata nel modulo di iscrizione menzionava eventuali foto o riprese audio-video sul sito istituzionale, ma non la pubblicazione su YouTube;
• non risultava un consenso espresso in modo chiaro e distinto per immagini e video, come richiesto dall’art. 7 GDPR e dalle Linee guida 5/2020 sul consenso.

Sulla base di tali elementi, il trattamento è stato ritenuto in violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), parr. 2 e 3, lett. b), GDPR, nonché dell’art. 2-ter, commi 1 e 3, del Codice.

Valutazioni del Garante sulla difesa dell’istituto

L’Autorità ha preso atto favorevolmente della rimozione del video e ha considerato positivamente la cooperazione del titolare. Tuttavia, le memorie difensive non sono state ritenute sufficienti a superare i rilievi iniziali né a giustificare l’archiviazione del procedimento.

Il Garante ha anche osservato che la condotta ha avuto per oggetto una diffusione online di dati di minori tramite YouTube, strumento caratterizzato da elevata accessibilità e visibilità, con conseguente maggiore rischio di perdita di controllo sui dati personali.

Sanzione e criteri di quantificazione

Poiché la violazione è derivata da un’unica condotta, il Garante ha applicato l’art. 83, par. 3, GDPR. La sanzione massima teorica è stata ricondotta all’art. 83, par. 5, GDPR, con un tetto fino a 20.000.000 euro.

Ai fini della quantificazione concreta sono stati considerati, tra gli altri:

• la natura, gravità e durata della violazione, con coinvolgimento di minori;
• l’erroneo convincimento dell’Istituto di avere acquisito il consenso;
• l’assenza di categorie particolari di dati;
• la tempestiva cancellazione del video;
• l’assenza di precedenti violazioni pertinenti;
• il grado di cooperazione con l’Autorità;
• l’elevata accessibilità del canale YouTube.

All’esito, la sanzione è stata determinata in euro 2.000,00, ritenuta effettiva, proporzionata e dissuasiva.

Provvedimenti finali e rimedi

Il Garante ha:

• dichiarato l’illiceità del trattamento;
• ordinato all’Istituto il pagamento della sanzione amministrativa pecuniaria di euro 2.000,00;
• precisato la facoltà di definizione agevolata mediante pagamento della metà dell’importo entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;
• disposto l’annotazione del provvedimento nel registro interno dell’Autorità.

È stato inoltre indicato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.