Merita attenzione il recente provvedimento del Garante Privacy del 10 luglio 2025, non solo per la particolare sensibilità dei soggetti coinvolti (caso di un asilo nido privato), ma soprattutto perché tocca un nervo scoperto: il rapporto tra educazione, sicurezza e diritti fondamentali dei bambini.

Il caso nasce dal reclamo presentato ai sensi dell’art. 77 del Regolamento da un genitore, costretto – almeno sulla carta – a dare il consenso alla raccolta e all’utilizzo delle immagini della figlia minore come condizione per l’iscrizione all’asilo (“il rifiuto di fornire i dati” comporterebbe “l’impossibilità per l’Asilo Nido di accogliere la richiesta di somministrazione del servizio”).

I rilievi del Garante

Il trattamento delle foto dei minori

L’asilo aveva pubblicato sul proprio sito numerose foto dei bambini in diversi momenti e fasi della “giornata tipo” (e anche in contesti particolarmente delicati quali sonno, mensa, utilizzo dei servizi igienici, cambio pannolino, massaggi infantili), nonché aveva pubblicato sul profilo di “Google Maps” numerose immagini di minori accessibili a chiunque e senza alcuna limitazione nell’utilizzo.

Il Garante ha ricordato che i minori sono soggetti particolarmente “vulnerabili” quanto al trattamento dei dati personali, stante la mancata o ridotta consapevolezza in merito ai rischi, alle conseguenze e ai loro diritti in relazione al trattamento, per cui meritano una specifica protezione. La diffusione online delle immagini di minori, in special modo quando si tratta di neonati o infanti, può esporre gli interessati a rischi significativi, derivanti dal possibile uso illecito dei dati da parte di terzi, nonché dalle possibili ripercussioni nella futura vita sociale e sfera relazionale.

Dunque, l’Autorità ha concluso che la pubblicazione sul sito web delle numerosissime immagini di minori (anche ritratti in situazioni, momenti e attività caratterizzati da una particolare delicatezza o per propria natura destinati a rimanere riservati a tutela della dignità dei bambini), si pone in contrasto non solo con la disciplina in materia di protezione dei dati personali, ma, più radicalmente, con l’assetto, anche a livello costituzionale, dei diritti fondamentali della persona. La lesività della condotta in questione è, peraltro, ulteriormente amplificata dagli elevati rischi connessi alla maggiore esposizione delle immagini sul web e della riutilizzabilità delle stesse da parte di terzi, anche per possibili fini illeciti o reati a danno di minori. Ciò non consente, pertanto, di ricondurre il trattamento posto in essere nel caso di specie alle finalità di interesse pubblico che l’Asilo è chiamato a perseguire.

La validità del consenso

Del resto, l’Asilo non aveva nemmeno soddisfatto le condizioni di validità del consenso previste dalla normativa, che impone al titolare del trattamento di dimostrare che il consenso è stato effettivamente prestato all’interessato. Questo perché:

• la circostanza che nel modulo di informativa si prospettasse il conferimento delle immagini dei minori quale condizione per poter usufruire dei propri servizi, precludeva la possibilità di considerare il consenso dei genitori come liberamente prestato;
• a fronte della diffusione online da parte dell’Asilo di immagini dei minori ripresi in situazioni e contesti molto delicati, la generica prospettazione dell’utilizzo delle immagini contenuta nell’informativa non era idonea a rendere effettivamente edotti i genitori dell’utilizzo che l’Asilo faceva effettivamente delle immagini dei bambini;
• nell’informativa non vi era cenno alla comunicazione delle immagini dei minori ad altri genitori appartenenti al medesimo gruppo, anche mediante l’utilizzo di piattaforme in cloud, nonché alla pubblicazione delle immagini sul profilo di Google Maps dell’Asilo;
• i genitori erano stati chiamati ad esprimere il consenso mediante apposizione di un’unica firma, senza avere la possibilità di decidere se esprimere o meno il consenso al trattamento in relazione a specifiche e distinte operazioni e finalità di trattamento (comunicazione delle immagini agli altri genitori appartenenti alla medesima cerchia, anche mediante piattaforme in cloud; diffusione, anche online, delle immagini; trattamento dei dati relativi allo stato di salute; ecc.);
• il modulo raccoglieva il consenso al trattamento da parte di un solo genitore, mentre il trattamento di dati personali che consiste nella diffusione online di immagini di minori, nei casi in cui lo stesso sia ammissibile, richiede sempre il consenso di entrambi i genitori;

Conseguentemente, il trattamento dei dati personali doveva considerarsi effettuato in assenza di un idoneo presupposto di liceità, in violazione degli artt. 5, par. 1, lett. a), 6, parr. 1-3 e 7, par. 2, del Regolamento e 2-ter del Codice.

Il trattamento di dati mediante dispositivi video

Nel corso dell’istruttoria è stato accertato anche che l’Asilo si era dotato di un sistema di videosorveglianza che raccoglieva immagini dei minori, del personale educativo e di soggetti terzi (ad esempio, fornitori, genitori, visitatori).

Le telecamere erano operative durante l’orario in cui era offerto il servizio educativo e in diversi locali dell’Asilo, inclusi i bagni (limitatamente all’area lavandini), il refettorio, la “zona riposo e morbido”, il guardaroba, oltre ad una parte esterna della struttura, ritraendo, quindi, il personale dell’Asilo, inclusi gli educatori, nello svolgimento della propria attività lavorativa, connotata da una peculiare dimensione, anche relazionale, con i minori affidati alle loro cure.

Ebbene, secondo il Garante l’impiego dei predetti dispositivi video non aveva una base giuridica valida e configurava un controllo illecito a distanza del personale.

L’autorità ha ricordato che i trattamenti di dati conseguenti all’impiego degli strumenti tecnologici nei luoghi ove si svolge anche l’attività lavorativa trovano la propria base giuridica nella disciplina di settore di cui all’art. 4 della l. n. 300/1970 e che l’osservanza di tale disposizione è condizione di liceità del trattamento.

Nel caso di specie, i trattamenti non potevano essere ricondotti alle finalità richiamate nella disciplina di settore in materia di impiego di strumenti tecnologici sul luogo di lavoro, perché si concretizzavano in un monitoraggio diretto delle modalità con le quali il personale svolgeva l’attività lavorativa, al fine di prevenire e accertare la commissione di eventuali reati.

L’art. 4, comma 1, dello Statuto dei Lavoratori stabilisce che “gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale” (comunque con accordo sindacale o autorizzazione dell’Ispettorato del lavoro).

L’obiettivo perseguito dall’asilo non risultava riconducibile, quindi, alle tassative finalità dell’art. 4 (finalità “organizzative e produttive”, “di sicurezza del lavoro” e “di tutela del patrimonio aziendale”), che ammette un controllo a distanza dell’attività lavorativa solo incidentale, ossia in occasione del perseguimento di tali legittime finalità, così assumendo un carattere tipicamente indiretto e preterintenzionale. L’impianto dell’asilo, invece, finiva di fatto per controllare direttamente l’attività degli educatori e a prevenire eventuali reati: finalità non ammesse dalla legge (perché non possono essere perseguite dall’Asilo, ma solo dalle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali; non, dunque, dal datore di lavoro, che non può avviare siffatte iniziative all’interno della propria realtà organizzativa).

Redazione della DPIA

Inoltre, comportando il trattamento posto in essere rischi specifici per i diritti e le libertà sia dei lavoratori e sia dei minori ospitati, in considerazione della particolare “vulnerabilità” degli interessati, il trattamento dei dati personali da parte dell’asilo mediante il sistema di videosorveglianza imponeva la redazione di una preliminare valutazione d’impatto sulla protezione dei dati, nel caso completamente omessa, con conseguente violazione anche dell’art. 35 del GDPR.

Il Responsabile della protezione dei dati

Infine, il Garante ha accertato anche la violazione sia dell’art. 37, par. 7, del Regolamento, non avendo l’Asilo provveduto ad effettuare la comunicazione dei dati di contatto dell’allora RPD all’Autorità, né avendo pubblicato o comunque reso noti i dati di contatto del RPD agli interessati, sia dell’art. 38, par. 6, del Regolamento, avendo l’Asilo assegnato tale incarico a un soggetto che, in ragione del proprio ruolo di Dirigente e legale rappresentante, si trovava in posizione di conflitto d’interessi (l’asilo aveva dichiarato che la dirigente scolastica e sua legale rappresentante svolgeva all’epoca dei fatti anche il ruolo di RPD ).

Il consenso non basta

In definitiva, neppure il consenso dei genitori può giustificare la pubblicazione online di immagini dei bambini in situazioni delicate.
Il Garante ha precisato che il consenso deve essere libero, informato e specifico. Ma, soprattutto, che c’è un limite invalicabile: il superiore interesse del minore. Non basta quindi avere una firma: se il trattamento espone i bambini a rischi sproporzionati (uso illecito delle foto, lesione della dignità, esposizione indefinita sul web), è illecito a prescindere.

Parimenti, il Garante ha ricordato che la videosorveglianza non può essere attivata senza rispettare l’art. 4 dello Statuto dei Lavoratori. Le telecamere, specie in un contesto educativo, non possono trasformarsi in strumenti di controllo diretto dell’attività lavorativa, né tantomeno invadere spazi in cui i minori hanno diritto alla massima riservatezza.

Cosa insegna il provvedimento

Dunque, il Garante lancia un messaggio forte a tutte le strutture educative, pubbliche o private:

• l’uso delle immagini deve essere limitato, proporzionato e mai a fini promozionali se rischia di ledere la dignità dei minori;
• la videosorveglianza va valutata con una DPIA accurata e installata solo in spazi e modalità strettamente necessarie.

Il provvedimento costituisce l’ennesima conferma che il GDPR non è un esercizio burocratico, ma una carta dei diritti calata nella realtà quotidiana. Chi gestisce servizi educativi – che siano scuole, asili o centri ricreativi – ha il dovere di trattare i dati dei bambini con la stessa cura con cui custodisce la loro incolumità fisica. Perché la domanda è: possiamo davvero parlare di “educazione” se non partiamo dal rispetto della dignità e della privacy dei più piccoli?

Consigli per scuole e asili

1. Foto e immagini: meno è, meglio è:
   • non pubblicare mai online foto dei bambini in momenti intimi o delicati;
   • se servono immagini per documentare le attività, usare sistemi chiusi e sicuri (piattaforme con accesso riservato ai soli genitori interessati);
   • il consenso dei genitori non basta se l’uso non è nell’interesse del minore.
2. Videosorveglianza: solo se necessaria e regolata:
   • telecamere solo in spazi strettamente indispensabili e non in aree sensibili (bagni, spogliatoi, zone di riposo);
   • DPIA (Valutazione d’impatto) per bilanciare sicurezza e diritti fondamentali;
   • niente controlli diretti sull’attività educativa nel rispetto dell’art. 4 dello Statuto dei Lavoratori.
3. Organizzazione e ruoli chiari:
   • nominare un Responsabile della Protezione dei Dati (RPD) indipendente, con competenze specifiche e senza conflitti di interesse;
   • aggiornare periodicamente le informative privacy, redatte in modo chiaro e facilmente comprensibile per i genitori;
   • documentare sempre le decisioni prese in materia di dati personali: la “responsabilizzazione” è il cuore del GDPR.

Garante Privacy – Provvedimento del 10 luglio 2025