Asili e privacy: oltre le regole, serve responsabilità digitale

Il caso di un asilo nido sanzionato per pratiche invasive di videosorveglianza e pubblicazione online delle immagini dei bambini rappresenta una delle decisioni più significative degli ultimi anni in materia di tutela dei dati dei minori.

Non si tratta di un episodio isolato, ma di un tassello che si inserisce in una linea evolutiva consolidata, volta a rafforzare le garanzie per i soggetti più vulnerabili di fronte all’espansione pervasiva delle tecnologie digitali.

Il dato personale, nella prospettiva del Regolamento (UE) 2016/679 (GDPR), non è un mero bene giuridico disponibile, ma un’espressione immediata della dignità della persona. Quando si tratta di minori, la centralità di questo diritto assume un rilievo ancora più pregnante: il bambino, incapace di autodeterminarsi in maniera compiuta, deve essere protetto da rischi che non può valutare né prevenire.
La decisione in commento ruota attorno a tre snodi principali: l’uso invasivo della videosorveglianza, l’imposizione di un consenso genitoriale non libero, la diffusione pubblica delle immagini dei bambini sul web.

Ognuno di questi profili merita di essere analizzato non solo in chiave normativa, ma anche alla luce della giurisprudenza, della dottrina e delle esperienze straniere, per comprendere appieno la portata sistematica del provvedimento.

Il GDPR rappresenta il punto di arrivo di un processo normativo europeo che ha inteso superare una logica settoriale della protezione dei dati per abbracciare una visione unitaria e personalistica. L’articolo 5 sancisce i principi generali del trattamento: liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione dei dati, esattezza, limitazione della conservazione e integrità-confidenzialità.
Nel caso di specie, il Garante ha rilevato la violazione di almeno tre di questi principi. In primo luogo, quello di liceità, poiché i trattamenti non trovavano fondamento in una base giuridica adeguata. In secondo luogo, quello di minimizzazione, dal momento che la sorveglianza e la diffusione delle immagini eccedevano rispetto alle finalità dichiarate. Infine, quello di correttezza, giacché i genitori venivano posti di fronte a una scelta obbligata, svuotando di significato la nozione stessa di consenso.
Va ricordato, inoltre, che l’articolo 24 introduce il principio di accountability, imponendo al titolare non solo di conformarsi alle regole, ma di dimostrare di aver adottato misure adeguate. L’articolo 35 prevede l’obbligo di una valutazione d’impatto quando il trattamento comporta rischi elevati, come certamente accade per la videosorveglianza dei minori e per la diffusione online delle loro immagini. L’assenza di tale valutazione ha rappresentato, nel caso di specie, un indice evidente di mancanza di consapevolezza.

Videosorveglianza negli spazi educativi: tra sicurezza e controllo

Il primo nodo problematico riguarda la videosorveglianza. Non vi è dubbio che le telecamere possano svolgere un ruolo legittimo quando finalizzate alla sicurezza dei locali e alla prevenzione di atti illeciti. Tuttavia, il principio di proporzionalità impone di distinguere tra ciò che è strettamente necessario e ciò che trasforma l’ambiente educativo in un luogo di controllo pervasivo.
Il Garante ha censurato l’installazione di telecamere in spazi destinati al riposo e alla cura personale. In tali ambienti, la registrazione continua costituisce un’invasione della sfera più intima dei bambini, che vengono esposti a un monitoraggio costante in momenti di particolare vulnerabilità.
La giurisprudenza europea offre spunti utili. La Corte EDU, nella celebre sentenza Lopez Ribalda e altri c. Spagna (2019), ha affermato che la videosorveglianza deve rispettare un equilibrio tra esigenze del datore di lavoro e diritti dei dipendenti, limitandosi a casi di sospetto fondato di condotte illecite. Pur trattandosi di adulti, il principio è rafforzato se applicato ai minori, che non possono sottrarsi al controllo e non hanno consapevolezza della sorveglianza. Peraltro, anche l’European Data Protection Board, nelle Linee guida n. 3/2019 sui trattamenti video, ha ribadito che la videosorveglianza in spazi scolastici può essere ammessa solo per finalità di sicurezza strettamente necessarie e mai come strumento di monitoraggio ordinario delle attività.

Il consenso condizionato: un consenso che non è consenso

Il secondo profilo riguarda la richiesta di consenso ai genitori per la pubblicazione delle immagini, condizionata all’iscrizione al servizio educativo.
Il GDPR è chiaro: il consenso deve essere libero, specifico, informato e inequivocabile (art. 4 n. 11). La libertà è il primo requisito, e cade ogniqualvolta vi sia una relazione di squilibrio tra titolare e interessato. L’EDPB ha chiarito che, nei rapporti contrattuali in cui una parte non può realisticamente rifiutare, il consenso perde validità. 
Nel caso di specie, subordinare l’accesso all’asilo alla prestazione del consenso per la diffusione delle immagini equivale a una coercizione indiretta. I genitori, pur formalmente firmatari, non disponevano di una reale libertà di scelta. Il Garante, in linea con la giurisprudenza europea, ha quindi dichiarato invalido il consenso.
Questa decisione ha valore sistemico: ricorda agli operatori che il consenso non può essere utilizzato come passe-partout per legittimare trattamenti invasivi, ma deve essere frutto di un’autentica autodeterminazione.

La pubblicazione online delle immagini dei minori: rischi senza ritorno

Forse l’aspetto più grave riguarda la diffusione delle immagini dei bambini sul sito e su piattaforme accessibili al pubblico.
La natura del web rende tale diffusione irreversibile: una volta pubblicata, un’immagine può essere replicata, scaricata, manipolata e utilizzata in contesti diversi da quello originario. I rischi non sono astratti: si va dal furto di identità digitale all’uso in contesti pedopornografici, fino allo sfruttamento commerciale senza alcuna possibilità di controllo.

Non si tratta solo di violazione di principi tecnici del GDPR, ma di compromissione della dignità del minore, che non può essere oggetto di esposizione pubblica in assenza di finalità strettamente necessarie. La Corte di giustizia, nella sentenza Google Spain (2014), ha ricordato che la diffusione online dei dati comporta una lesione grave e potenzialmente irreversibile dei diritti della persona. Quando la persona è un minore, la tutela deve essere rafforzata.
Anche le autorità straniere hanno adottato linee restrittive. In Francia, la CNIL ha richiamato ripetutamente scuole e associazioni, invitandole a non pubblicare immagini dei bambini sui siti istituzionali. In Germania, i Länder hanno elaborato regole severe, prevedendo che ogni pubblicazione sia circoscritta e giustificata da finalità educative concrete.

La mancanza di valutazione d’impatto e il principio di accountability

Il caso in esame evidenzia un ulteriore profilo: la totale assenza di una valutazione d’impatto, prevista dall’art. 35 GDPR.
La DPIA non è un adempimento meramente burocratico, ma uno strumento di responsabilizzazione. Essa impone al titolare di interrogarsi sulle conseguenze del trattamento, valutare i rischi e predisporre misure adeguate. La videosorveglianza dei minori e la diffusione delle loro immagini online rientrano pacificamente tra i trattamenti ad alto rischio, per i quali la valutazione d’impatto è obbligatoria.
La sua omissione dimostra non solo la violazione di un obbligo formale, ma soprattutto l’assenza di consapevolezza culturale da parte della struttura. Non vi è stata alcuna ponderazione tra esigenze organizzative e diritti fondamentali, né alcun bilanciamento preventivo.

Confronto con precedenti provvedimenti e giurisprudenza europea

Il provvedimento del 2025 si inserisce in un solco già tracciato.
Nel 2020, il Garante aveva vietato a una scuola la pubblicazione di foto degli studenti sul sito istituzionale, ricordando che il consenso dei genitori non è sufficiente se non libero e specifico. Nel 2022, un altro provvedimento aveva censurato l’installazione di telecamere nei corridoi di una scuola primaria, ribadendo che la videosorveglianza può essere ammessa solo in aree di accesso o a rischio, mai come monitoraggio generalizzato.
A livello europeo, la Corte EDU ha più volte richiamato il concetto di “interesse superiore del minore” come criterio guida. La Corte di giustizia, nella sentenza Nowak (2017), ha sottolineato che i dati personali vanno intesi in senso ampio, comprendendo ogni informazione che riguardi una persona identificata o identificabile. Questo significa che le immagini dei bambini, anche se apparentemente innocue, rientrano pienamente nella sfera di protezione del GDPR.

Prospettive comparatistiche e sviluppi futuri

Il confronto con altri ordinamenti conferma una tendenza comune. In Francia, la CNIL ha recentemente promosso campagne contro lo “sharenting”, mettendo in guardia i genitori stessi dal pubblicare indiscriminatamente foto dei figli. In Germania, la protezione è affidata non solo al GDPR, ma anche a una cultura giuridica fortemente sensibile al concetto di autodeterminazione informativa.
L’Italia, con il provvedimento del 2025, si allinea a questa sensibilità, ma resta ancora il problema di un quadro normativo specifico per i contesti educativi. Sarebbe auspicabile un intervento legislativo che chiarisca in maniera dettagliata i limiti di videosorveglianza e diffusione delle immagini nei nidi e nelle scuole, evitando che la discrezionalità degli operatori produca abusi.
L’avvento di nuove tecnologie – si pensi al riconoscimento facciale o all’uso di intelligenza artificiale per analizzare i comportamenti dei bambini – rende urgente un approccio preventivo. Non si può attendere che i problemi esplodano per intervenire: occorre anticipare i rischi, delineando standard chiari e vincolanti.

Verso un nuovo paradigma di tutela digitale

Il provvedimento del Garante del 10 luglio 2025 non è solo una decisione amministrativa: è un manifesto della tutela dei minori nell’era digitale.
Tre i messaggi principali: la videosorveglianza non può diventare controllo ordinario della vita dei bambini; il consenso condizionato è privo di valore giuridico; la pubblicazione online delle immagini dei minori è un rischio sproporzionato e spesso illecito.

Ma oltre alle regole, ciò che emerge è l’esigenza di un cambio di paradigma culturale. La protezione dei dati non è un vincolo burocratico, ma una componente essenziale della dignità della persona. Nei contesti educativi, ciò significa riconoscere che il bambino non è oggetto di osservazione o promozione, ma soggetto di diritti inviolabili.
In definitiva, la decisione commentata segna un passo importante nella costruzione di una cultura della responsabilità digitale, in cui i diritti dei più vulnerabili non sono un ostacolo da aggirare, ma il punto di partenza per costruire un ambiente educativo autenticamente rispettoso della persona.

Autore del post: Agenda Digitale Fonte: https://www.agendadigitale.eu/ Continua la lettura su: https://www.agendadigitale.eu/sicurezza/privacy/asili-e-privacy-oltre-le-regole-serve-responsabilita-digitale/