Il trattamento di dati personali da parte delle scuole richiede una base giuridica specifica, fondata su obblighi legali o compiti di interesse pubblico. La diffusione e comunicazione dei dati necessitano di previsioni espresse e proporzionate. Nel caso esaminato, l’istituto non ha indicato alcuna base normativa per autorizzare la pubblicazione su YouTube delle immagini degli studenti.
Il consenso del minore e del genitore non può colmare questo vuoto normativo, poiché nelle scuole pubbliche la base legale non può essere sostituita da consensi informali o informative generiche, richiedendo invece fondamenti normativi chiari e specifici.
I fatti e l’istruttoria
La dirigente scolastica ha pubblicato un video di auguri natalizi su YouTube contenente otto secondi di riprese di uno studente minorenne. Dopo la segnalazione ricevuta, l’istituto ha provveduto alla rimozione tempestiva del contenuto e all’oscuramento del canale.
La scuola ha giustificato la pubblicazione spiegando che le immagini erano di breve durata, prive di ulteriori dati sensibili e finalizzate a scopi didattici, di orientamento e inclusione. L’istituto aveva invitato gli studenti sotto i quattordici anni a coprire il volto durante le riprese, mentre lo studente coinvolto aveva dichiarato di avere compiuto quattordici anni e aveva scelto volontariamente di mostrarsi.
La valutazione tecnica e la sanzione
Il Garante ha accertato la violazione dei principi di liceità, correttezza e trasparenza nel trattamento dei dati personali, sottolineando l’assenza di una base giuridica adeguata per la diffusione online. La natura aperta di YouTube ha rappresentato un elemento aggravante, aumentando significativamente il rischio di perdita di controllo sui dati degli studenti e l’accesso non autorizzato da parte di terzi.
La violazione è stata qualificata di gravità “media”, portando a una sanzione di 2.000 euro, considerata “effettiva, proporzionata e dissuasiva” dall’Autorità, con possibilità di definizione in misura ridotta entro 30 giorni.
Le implicazioni operative per le scuole
La decisione del Garante traccia linee guida precise per gli istituti scolastici. È necessario mappare accuratamente i trattamenti dei dati personali, distinguendo tra documentazione interna e divulgazione esterna su piattaforme aperte. Le scuole devono evitare la pubblicazione su canali esterni senza una base normativa specifica e raccogliere consensi solo quando giuridicamente rilevanti, utilizzando modalità formali e tracciabili.
L’informativa deve essere puntuale e differenziata rispetto al sito istituzionale. Fondamentale implementare procedure che prevengano ambiguità operative e garantiscano il controllo sui dati diffusi.
