Ordinanza ingiunzione o revoca n. 35 del 29/01/2026

Università Telematica e-Campus: uso illecito di riconoscimento biometrico nei corsi abilitanti all’insegnamento

Il Garante per la protezione dei dati personali ha esaminato il trattamento di dati biometrici effettuato dall’Università Telematica e-Campus nell’ambito di un corso per l’abilitazione all’insegnamento svolto ai sensi dell’art. 13 del d.P.C.M. 4 agosto 2023. Il procedimento è stato avviato a seguito di segnalazione e ha riguardato l’uso di un sistema di riconoscimento facciale per verificare l’identità e la presenza degli studenti durante le lezioni online sincrone.

Origine del procedimento e ricostruzione dei fatti

L’istruttoria ha ricostruito un trattamento articolato in più fasi: registrazione dello studente, acquisizione della fotografia del volto e del documento di identità, creazione di modelli biometrici e verifica successiva della presenza tramite webcam. L’Ateneo ha inizialmente sostenuto di non conservare dati biometrici, ma solo dati grezzi; successivamente ha descritto una diversa architettura tecnica, nella quale i modelli biometrici venivano generati e poi cancellati, mentre alcuni dati grezzi potevano essere conservati per un periodo limitato.

Il sistema era stato utilizzato a partire da marzo 2024 e, secondo quanto emerso, ha continuato a operare fino all’11 novembre 2024, seppure con modalità variate nel tempo. Il trattamento interessava i partecipanti ai corsi abilitanti all’insegnamento, in un contesto in cui il numero dei partecipanti alle lezioni veniva indicato dall’Ateneo in 400/500 per aula.

Base giuridica e inidoneità del consenso

Il punto centrale del provvedimento riguarda la base giuridica del trattamento. Il Garante ha escluso che i dati biometrici potessero essere trattati sulla base del consenso degli interessati ai sensi dell’art. 9, par. 2, lett. a), GDPR. In particolare, ha rilevato che il consenso non era libero, poiché il mancato assenso impediva la partecipazione al corso e il conseguimento del titolo, e che il contesto era connotato da uno squilibrio strutturale tra titolare e interessati.

L’Autorità ha richiamato anche l’art. 7, par. 4, GDPR e i considerando pertinenti, osservando che il consenso non può dirsi liberamente prestato quando l’erogazione di un servizio viene condizionata al trattamento di dati non necessari. Non ha inoltre ritenuto sufficiente l’argomento secondo cui gli interessati avrebbero potuto scegliere altri corsi presso altri enti.

Insufficienza delle fonti invocate dall’Ateneo

L’Ateneo aveva richiamato le linee guida ANVUR sui percorsi di formazione degli insegnanti e il d.P.C.M. 4 agosto 2023. Il Garante ha però precisato che tali fonti non costituiscono una base giuridica idonea per un trattamento di dati biometrici, mancando una previsione normativa espressa che disciplini il ricorso al riconoscimento facciale in quel contesto.

Per l’Autorità, trattandosi di un trattamento effettuato da un soggetto che svolge un compito di interesse pubblico, le basi giuridiche rilevanti sono quelle di cui all’art. 6, par. 1, lett. c) ed e), GDPR e, per le categorie particolari di dati, l’art. 9, par. 1, lett. g), in combinato con le norme nazionali di settore. Nel caso concreto, tuttavia, tali presupposti non risultavano integrati da una disciplina specifica che autorizzasse il trattamento biometrico.

Violazioni dei principi di liceità, minimizzazione e conservazione

Il Garante ha quindi dichiarato l’illiceità del trattamento per violazione dei principi di liceità, correttezza e trasparenza, nonché per assenza di base giuridica. Ha altresì ritenuto violati i principi di minimizzazione e limitazione della conservazione, oltre al principio di protezione dei dati fin dalla progettazione e per impostazione predefinita.

In particolare, la conservazione dei dati per dodici mesi è stata giudicata sproporzionata rispetto alle finalità perseguite. Se il controllo biometrico aveva esito positivo, non vi era alcuna ragione per conservare i dati dopo il corso o l’esame; se aveva esito negativo, l’accertamento dell’identità poteva comunque essere svolto con modalità tradizionali, senza necessità di mantenere a lungo i dati raccolti. Le stesse considerazioni sono state estese anche al mantenimento del cosiddetto Dataset Grezzo 2 fino alla prova orale.

Mancata valida valutazione di impatto

L’Autorità ha inoltre contestato la violazione dell’art. 35 GDPR. Il trattamento coinvolgeva dati biometrici e si svolgeva su larga scala, con un numero elevato di interessati; pertanto, secondo il Garante, avrebbe richiesto una valutazione di impatto prima dell’avvio.

L’Ateneo aveva inizialmente dichiarato di non aver ritenuto necessario predisporre una DPIA. Solo in corso di istruttoria è stato prodotto un documento, che però è stato considerato inidoneo a provare l’adempimento nei tempi richiesti, perché privo di data certa e di sottoscrizione. Ne è derivata la conferma della violazione dell’art. 35 GDPR.

Valutazione complessiva e sanzione

Il Garante ha ritenuto che le dichiarazioni difensive dell’Ateneo non fossero sufficienti a giustificare l’archiviazione. Poiché le violazioni derivavano da un’unica condotta, è stato applicato l’art. 83, par. 3, GDPR. Le violazioni più gravi ricadevano nell’art. 83, par. 5, con un tetto teorico fino a 20 milioni di euro.

Nella quantificazione della sanzione, l’Autorità ha considerato:

• la natura colposa della violazione;
• il fatto che il trattamento riguardasse solo i partecipanti al corso;
• la delicatezza dei dati biometrici;
• la durata del trattamento da marzo a novembre 2024;
• l’assenza di precedenti pertinenti;
• la cooperazione dell’Ateneo, che aveva poi sospeso il sistema.

Alla luce di tali elementi, è stata inflitta una sanzione amministrativa pecuniaria di euro 50.000.

Dispositivo e adempimenti conseguenti

Con il provvedimento il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dall’Università Telematica e-Campus;
• ordinato il pagamento della sanzione di euro 50.000;
• ricordato la possibilità di definizione agevolata della controversia con pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, Codice privacy;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito del Garante e del provvedimento sul sito dell’Autorità;
• disposto l’annotazione nel registro interno.

Il provvedimento è impugnabile davanti all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.