La tutela dei dati personali dei minori rappresenta una delle sfide più delicate del diritto alla privacy. Un recente provvedimento del Garante per la protezione dei dati personali ha messo in luce gravi violazioni commesse da un asilo nido, che aveva installato telecamere senza adeguate garanzie e diffuso online fotografie di bambini molto piccoli, anche in momenti intimi della loro vita quotidiana.

Il caso, oltre a richiamare l’attenzione sul rispetto del Regolamento (UE) 2016/679 (GDPR) e del Codice Privacy (d.lgs. 196/2003), offre importanti spunti di riflessione per enti locali e operatori privati che gestiscono servizi educativi per l’infanzia.

Il caso

Il caso nasce da un reclamo presentato da un genitore. Secondo la denuncia:

• l’asilo richiedeva la sottoscrizione di un’informativa privacy che, di fatto, condizionava l’iscrizione all’accettazione dell’uso delle immagini dei bambini;
  
• le fotografie venivano condivise in spazi digitali (Google Photo) accessibili a tutti i genitori della stessa classe (“bubble”), non solo ai genitori del singolo minore;
  
• sul sito web e su Google Maps erano pubblicate numerose foto di bambini, anche in situazioni intime: durante il sonno, al momento del cambio del pannolino, nell’uso dei servizi igienici o durante i pasti;
  
• era attivo un impianto di videosorveglianza installato con fondi regionali, che riprendeva anche zone sensibili (refettorio, area riposo, guardaroba, bagni – limitatamente ai lavandini).

Il Garante ha accertato che tali trattamenti avvenivano in violazione dei principi di liceità, correttezza e trasparenza, esponendo i bambini – soggetti particolarmente vulnerabili – a rischi significativi.

Le risposte dell’asilo

Durante l’istruttoria l’asilo ha invece sostenuto che:

• l’iscrizione non era realmente subordinata al consenso sull’uso delle immagini;
• le foto erano accessibili solo ai genitori autorizzati, tramite link riservati;
• le telecamere erano state installate per tutelare i bambini da possibili abusi, sulla base di una legge regionale;
• le immagini venivano conservate per un tempo limitato (inizialmente dichiarato 72 ore, poi corretto a 24 ore).

In seguito alle contestazioni del Garante, l’asilo ha dichiarato di aver:

• sospeso il sito web e avviato la rimozione delle immagini pubblicate;
• disattivato l’impianto di videosorveglianza in attesa di nuova valutazione;
• nominato un nuovo Responsabile della protezione dei dati (RPD/DPO) esterno e con adeguata competenza;
• avviato una DPIA – Data Protection Impact Assessment (art. 35 GDPR) per valutare i rischi connessi alla videosorveglianza.
  

Le violazioni riscontrate

Il Garante ha rilevato più profili di violazione:

• Foto dei minori:
  
  • pubblicazione online in contrasto con i principi di necessità e proporzionalità (artt. 5 e 6 GDPR);
    
  • consenso non valido, poiché presentato come condizione di iscrizione;
    
  • informativa generica e incompleta (artt. 12 e 13 GDPR).
    
• Videosorveglianza:
  
  • mancanza di una valida base giuridica (art. 114 Codice Privacy; art. 4 Statuto dei lavoratori);
    
  • installazione anche in aree sensibili;
    
  • assenza di una DPIA obbligatoria (art. 35 GDPR).
    
• Responsabile della protezione dei dati (RPD/DPO):
  
  • nominato nella figura della dirigente scolastica, con evidente conflitto di interessi (art. 38, par. 6, GDPR);
    
  • mancata comunicazione dei dati di contatto al Garante e agli interessati (art. 37, par. 7, GDPR).
    

La decisione del Garante

Il Garante ha conseguentemente disposto:

• la limitazione del trattamento, vietando la diffusione online delle foto dei minori;
• la cancellazione delle immagini dagli archivi;
• una sanzione pecuniaria di 10.000 euro, ritenuta proporzionata, effettiva e dissuasiva;
• la pubblicazione del provvedimento sul sito del Garante, vista la gravità e la delicatezza dei dati trattati.

Indicazioni operative: come comportarsi in casi simili

Il provvedimento offre spunti preziosi per chi opera nei servizi educativi:

• evitare la diffusione pubblica di foto di minori, soprattutto in momenti intimi (es. sonno, cambio pannolino, mensa);
• acquisire un consenso realmente libero e informato, distinto per finalità specifiche (didattica, documentazione interna, promozione);
  
• fornire informative chiare e trasparenti, differenziando comunicazione interna (ai genitori) e diffusione pubblica;
• limitare le telecamere a reali esigenze di sicurezza, con autorizzazione sindacale o dell’Ispettorato del lavoro;
• effettuare sempre una DPIA, soprattutto quando si usano sistemi di videosorveglianza in contesti con soggetti vulnerabili;
• designare un DPO indipendente, evitando conflitti di interessi con ruoli gestionali o dirigenziali.
  

Conclusioni

Il provvedimento del Garante ribadisce un principio fondamentale: il superiore interesse del minore prevale su ogni altra finalità, anche sull’eventuale consenso dei genitori o su norme regionali di finanziamento.

La protezione dei dati personali dei bambini non è solo un obbligo legale, ma un dovere etico verso i più piccoli, che non hanno strumenti per difendersi.

Per scuole, enti e operatori educativi questo caso è un monito:

• la prudenza deve guidare ogni trattamento di dati dei minori;
• la tecnologia (foto, video, piattaforme cloud) può essere un aiuto didattico, ma deve essere usata con rigore e responsabilità;
• la conformità al GDPR non è un adempimento formale, ma una garanzia di tutela della dignità e della sicurezza dei bambini.