Una scuola può pubblicare le foto degli alunni sui social? Le rigorose condizioni dettate dal Garante

Massima

È illecita la diffusione dell'immagine di un alunno minorenne su una piattaforma online ad ampia visibilità, quale YouTube, da parte di un istituto scolastico, qualora tale trattamento avvenga in assenza di un'idonea base giuridica. La pubblicazione di un video per finalità meramente divulgative e celebrative, come gli auguri natalizi, non rientra tra i compiti di interesse pubblico o gli obblighi legali in capo all'istituto scolastico, inoltre la diffusione di dati personali da parte di un soggetto pubblico è ammessa solo se prevista da una specifica norma di legge o di regolamento. Diversamente, la diffusione dei dati in assenza di un valido presupposto di liceità costituisce una violazione degli artt. 5, par. 1, lett. a) e 6 del Regolamento (UE) 2016/679, nonché dell'art. 2-ter del d.lgs. 196/2003.

Il caso

Una madre ha presentato un reclamo al Garante per la Protezione dei Dati Personali, lamentando che un istituto alberghiero aveva pubblicato un video di auguri di Natale sul proprio canale YouTube in cui compariva suo figlio minorenne, alunno dell’istituto stesso. La reclamante ha specificato di non aver mai fornito il consenso per la comparsa del figlio su una piattaforma digitale, né di aver firmato alcuna autorizzazione in merito.

A seguito della richiesta di informazioni da parte dell’Autorità, l’istituto scolastico ha fornito la sua versione dei fatti, precisando di aver immediatamente rimosso il video dopo la notifica. La scuola ha spiegato che l’attività era stata organizzata per migliorare un clima di tensione all’interno della classe del ragazzo. Secondo la ricostruzione dell’istituto:

1. la docente responsabile del progetto aveva informato gli studenti sulla natura e lo scopo dell’attività, chiedendo chi volesse partecipare;
2. era stato specificato che gli studenti con meno di quattordici anni avrebbero dovuto tenere un foglio sul viso per garantire l’anonimato;
3. il figlio della reclamante aveva dichiarato alla professoressa di aver già compiuto quattordici anni e di voler quindi partecipare al video mostrando il volto;
4. durante le riprese, l’alunno ha confermato attivamente questa volontà, abbassando il foglio e mostrando il viso, a differenza di altri compagni.

Solo a seguito del reclamo la scuola ha scoperto che l’alunno, al momento della registrazione, non aveva ancora compiuto quattordici anni, sebbene la data del suo compleanno sarebbe giunta solo pochi giorni dopo.

L’istituto ha inoltre sostenuto che le immagini erano state trattate per finalità istituzionali e didattiche (“orientamento, inclusione, istruzione e formazione”, onde “testimoniare, raccontare e valorizzare il lavoro effettuato”), senza ledere l’immagine o il decoro dei partecipanti. Inoltre si lamentava una durata minimale (la clip in cui appariva il ragazzo durava solo 8 secondi all’interno di un video di oltre 11 minuti). Da ultimo, la scuola richiamava l’informativa privacy presente sul proprio sito web, diretta ad alunni e genitori, ove (da accertamenti del Garante) risultava concessa una generica autorizzazione dei genitori all’uso delle immagini del minore per esclusivi fini istituzionali, dunque sul sito web della scuola stessa. E senza uno specifico consenso online del genitore a tale uso, tra l’altro.

A fronte della sua indagine l’Autorità ha infine ravvisato una serie di violazioni in capo all’istituto titolare, comminando una sanzione amministrativa modesta (di duemila euro), determinata pur considerando come aggravanti la minore età degli interessati e l’alta visibilità di YouTube, come attenuanti la cooperazione della scuola, l’assenza di precedenti violazioni e la tempestiva rimozione del contenuto dal web. È stata altresì disposta la pubblicazione dell’ordinanza sul sito Internet del Garante, data la natura del caso che ha coinvolto la diffusione illecita di immagini di minori.

La questione

Le questioni principali emerse dal caso sono le seguenti:

(a) può un istituto scolastico, in qualità di soggetto pubblico, diffondere online l’immagine di alunni minorenni per finalità meramente divulgative e celebrative dell’istituto, e può tale attività essere considerata un trattamento necessario per l’esecuzione di un compito di interesse pubblico ex art. 6 lett. e) GDPR o quale obbligo normativo ex art. 6 lett. c) GDPR?

(b) ai fini della pubblicazione online di un video, potrebbe un istituto scolastico ritenere valido il consenso prestato direttamente da un alunno che dichiari (erroneamente) di aver compiuto quattordici anni, applicandosi in tale contesto l’articolo 2-quinquies del Codice privacy (consenso digitale del minore)?

Le soluzioni giuridiche

Punto a): l'Autorità ha negato tale possibilità, rammentando che la diffusione di dati personali da parte di un soggetto pubblico è lecita solo se prevista da una norma di legge o di regolamento o atti amministrativi generali o necessaria per l'adempimento di un compito pubblico (art. 2-ter comma 3 Codice privacy, per cui più compiutamente “la diffusione e la comunicazione di dati personali , trattati per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, a soggetti che intendono trattarli per altre finalità sono ammesse unicamente se previste ai sensi del comma 1 o se necessarie ai sensi del comma 1-bis. In tale ultimo caso, ne viene data notizia al Garante almeno dieci giorni prima dell'inizio della comunicazione o diffusione”).

La pubblicazione di un video di auguri su YouTube non rientra tra le finalità di interesse pubblico attribuite all'istituto scolastico o tra gli obblighi normativi. Pertanto, il Garante ha rilevato l'illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e) GDPR e 2-ter, commi 1 e 3, del Codice privacy, poiché avvenuto in assenza di un idoneo presupposto di liceità.

L'orientamento del Garante è consolidato: nelle sue “Linee guida in materia di trattamento di dati personali [...] effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sul web” (delib. n. 243 del 15 maggio 2014, doc web n. 3134436), l'Autorità ha da tempo chiarito (pre-GDPR) che anche la diffusione online da parte della P.A. deve sempre fondarsi su una specifica base giuridica, bilanciando trasparenza e protezione dei dati. Inoltre con diverse ordinanze (vedi tra le tante il provv. del 13 maggio 2021, doc. web n. 9670001) il Garante ha sanzionato amministratori ed enti pubblici, per aver diffuso online, sui propri siti o social network, immagini di persone (spesso minori) durante eventi pubblici (per es. premiazioni, feste), ribadendo che la finalità divulgativa o di cronaca dell'evento non costituisce di per sé un'idonea base giuridica che giustifichi la diffusione generalizzata delle immagini dei partecipanti.

Nel nostro caso, la pubblicazione su YouTube di video di auguri non appare motivata da norma, né da atto istituzionale obbligatorio: le giustificazioni vagamente legate alla promozione/attività didattica non bastano a eliminare la necessità di consenso attivo e differenziato da parte dei genitori. Peraltro (v. Trib. Chieti, sent. 21 luglio 2020, n. 403) si badi che solo in caso di conflitto fra i genitori, si deve tener conto della volontà del figlio minorenne (nel caso concreto: diciassettenne), purché dotato di adeguata capacità di discernimento - tuttavia il suo assenso/dissenso non sostituisce quello dei genitori.

La giurisprudenza della Corte di Cassazione (ex multis il caso recente di Cass.Civ., Sez. I, ord. 21 agosto 2024, n. 23018) pur concentrandosi maggiormente sul diritto all'immagine, implicitamente conferma il principio, richiedendo sempre una base di liceità (come il consenso) per la diffusione di immagini, a maggior ragione se di minori e al di fuori dei limiti del diritto di cronaca.

Punto b): l'Autorità ha ritenuto il (presunto) consenso raccolto dal minore non valido e il richiamo normativo della scuola inconferente. Difatti l'istituto ha cercato di giustificarsi sia invocando finalità istituzionali e buona fede, sia fraintendo la normativa sul consenso dei minori. Mancando, oltretutto, un sistema efficace di reale raccolta del consenso, conforme al GDPR per trattamenti non strettamente legati a fini istituzionali.

In primo luogo il Garante ha chiarito che - trattandosi di un alunno minorenne - il consenso avrebbe dovuto essere espresso da un soggetto esercente la responsabilità genitoriale, rendendo irrilevante la convinzione della scuola che il ragazzo avesse compiuto (o meno) quattordici anni. In secondo luogo ha rammentato che l'art. 2-quinquies del Codice privacy (riguardante il consenso “digitale” del minore per la sola offerta diretta di servizi della società dell'informazione, questo sì a partire dai 14 anni) non era certo applicabile alla fattispecie in esame.

La Suprema Corte ha costantemente affermato, oltretutto, che la diffusione online dell'immagine di un minore è illecita senza il consenso di entrambi i genitori (o di chi ne abbia la responsabilità genitoriale), i quali devono agire per la tutela del superiore interesse del minore (cfr. Cass. Civ., Sez. I, ord. 21 agosto 2024, n. 23018). Il Garante stesso, in molteplici occasioni (incluso nella propria “guida” sulla privacy a scuola del novembre 2023, intitolata “La scuola a prova di privacy. Vademecum”, doc web n. 9955210) ha chiarito che l'art. 2-quinquies del Codice si riserva un ambito di applicazione limitato (i) ai “servizi della società dell'informazione” (quali ad esempio l'iscrizione a social network, app, ecc.) e (ii) offerti direttamente al minore - non può essere esteso per analogia ad altre attività, come quelle scolastiche, per le quali vige invece la regola generale del consenso genitoriale.

In un recente caso, l'Autorità ha nuovamente ribadito che per la pubblicazione di foto di minori di 14 anni sui social è necessario il consenso di entrambi i responsabili genitoriali, configurando tale atto come di straordinaria amministrazione, da gestire di comune accordo (vedi anche provv. del 13 novembre 2024, doc web n. 10076481). Nello stesso senso alcune pronunce dei Tribunali di merito (v. nei casi di sharenting, cioè di diffusione delle immagini dei figli da parte dei genitori senza la debita considerazione dell'interesse del minore e relative cautele giuridiche, come nel caso di Trib. Mantova, sez. civ., R.G. 2881/2017, ord. 19 settembre 2017; Trib. Rieti, sez. civ., R.G. 408/2019, sent. 15 ottobre 2022, n. 443).

Ad aggravare il caso in parola, l'Autorità ha considerato l'elevata accessibilità e visibilità dello strumento utilizzato per la diffusione - ovvero il canale YouTube, accessibile anche a chi non frequenta l'istituto. Questo ha aumentato il rischio di perdita di controllo sui dati personali dei minori coinvolti, i quali rappresentano una categoria di interessati meritevole di maggiore tutela e rigore.

Osservazioni

La pronuncia dell'Autorità, pur risolvendo una fattispecie apparentemente circoscritta, offre spunti di riflessione di notevole interesse, consolidando principi cardine in materia di trattamenti di dati effettuati da soggetti pubblici e chiarendo la complessa relazione tra la disciplina privacy e la tutela civilistica dell'immagine.

Una prima osservazione riguarda l'inquadramento metodologico della base giuridica. A una lettura superficiale, l'insistenza del Garante nell'analizzare le basi giuridiche dell'interesse pubblico e dell'obbligo legale (art. 6, par. 1, lett. c) ed e) del GDPR) - mai invocate dall'istituto scolastico che si era invece difeso sul piano del consenso - potrebbe apparire una superflua digressione o, peggio, generare confusione. Tale approccio pare giustificarsi come segue: l'Autorità vuole comunque individuare correttamente l'ancoraggio del principio di liceità del trattamento, il quale per un soggetto pubblico non potrebbe che fondarsi, in via principale, sulle specifiche basi giuridiche a esso riservate (per es. per fini istituzionali non ci si può avvalere del legittimo interesse ex art. 6 par. 2 GDPR, per cui “[il legittimo interesse] non si applica al trattamento di dati effettuato dalle autorità pubbliche nell'esecuzione dei loro compiti”). Il Garante, pertanto, in primo luogo verifica se l'attività in esame (la pubblicazione del video) possa rientrare nel perimetro del compito istituzionale della scuola; solo dopo aver escluso tale possibilità passa a esaminare, quasi ad abundantiam, la base giuridica del consenso, impropriamente invocata dalla scuola e comunque viziata nella sua raccolta. La decisione non si limita a contestare l'errore della scuola, vuole “educare” indicando quale avrebbe dovuto essere il corretto ragionamento e quadro di riferimento, pur riaffermando che il consenso per la Pubblica Amministrazione rappresenta un'ipotesi residuale e non la regola. Tuttavia nel provvedimento si sarebbe potuto meglio esplicitare che, alla fin fine, se l'attività di trattamento non rientra tra i compiti istituzionali, allora ben potrebbe la P.A. comunque adottare la base consensuale, come qualsiasi altro titolare. Ovviamente consenso conforme ai presupposti ex art. 7 GDPR (libero, informato, ecc.).

Il secondo e cruciale punto di osservazione attiene alla distinzione - che non deve mai diventare indebita confusione - tra i presupposti civilistici per la gestione dell'immagine del minore e quelli specifici della normativa privacy. Il provvedimento è un banco di prova di questa sovrapposizione: la tutela dell'immagine è un diritto della personalità (art. 10 c.c., artt. 96-97 L. 633/1941) la cui lesione si consuma con la diffusione non autorizzata. La disciplina di protezione dei dati, invece, cattura l'immagine quale “dato personale” e ne protegge ogni fase del trattamento (dalla raccolta alla diffusione, dalla conservazione alla cancellazione), assoggettandola a un apparato di principi e obblighi (liceità, finalità, ecc.) più articolato.

In breve: la normativa civilistica costruisce tutto, quale ambito di liceità nel trattamento dell'immagine, sul consenso - salvo eccezioni (tra cui quella didattica, che appare parimenti non applicabile al caso di specie) ex artt. 96-97 l. 633/1941. La disciplina privacy costruisce l'ambito di liceità su molteplici possibili basi giuridiche, anche alternative, non solo quella consensuale.

Il Garante - partendo da un reclamo che ha la sua radice nella negazione del consenso genitoriale alla pubblicazione (concetto di matrice civilistica) – deve fondare la sua intera architettura sanzionatoria sulla violazione della normativa privacy. La sanzione non è irrogata per la lesione del diritto all'immagine in sé, bensì per il trattamento illecito di dati personali avvenuto in assenza di una delle condizioni di cui all'art. 6 del GDPR. Oltretutto non sarebbe pertinenza del Garante fare accertamenti civilistici in merito (se non collegati ai profili privacy, per es. in presenza di base giuridica contrattuale), appannaggio casomai della parte ritenuta lesa che voglia invece lamentare danni verso la parte che vi ha dato origine.

Oltretutto ciò dimostra come la normativa privacy agisca su un piano distinto e più “esigente”: anche qualora si ottenesse un consenso valido ai fini civilistici per l'uso dell'immagine, il titolare sarebbe comunque tenuto a rispettare tutti gli ulteriori obblighi privacy, come fornire un'informativa completa e granulare, garantire la minimizzazione e rispettare i tempi di conservazione, ecc. Il caso di specie evidenzia plasticamente come questi due sistemi di tutela, pur intersecandosi, mantengano una propria autonomia e come la violazione delle norme sul trattamento dei dati personali configuri un illecito a sé stante, con proprie sanzioni e rimedi.

Riferimenti

Carapezza Figlia, G., "Sharenting": nuovi conflitti familiari e rimedi civili, in La Nuova Giurisprudenza Civile Commentata, 5/2023, 1, pp. 1104-1111

De Belvis, E., L’immagine digitale dei minori: interessi protetti e strumenti di tutela, in Il Foro napoletano, 3/2019, pp. 583-606

Nitti, M., La pubblicazione di foto di minori sui "social network" tra tutela della riservatezza e individuazione dei confini della responsabilità genitoriale, in Famiglia e diritto, 4/2018, pp. 386-396

Poletti, D., Art. 6 Liceità del trattamento, in Codice della privacy e data protection, a cura di AA.VV., Giuffrè Francis Lefebvre, 2021

Scaffidi Runchella, L., Pubblicazione e condivisione di foto sui "social network": la tutela del minore fra diritto all'immagine e diritto alla protezione dei dati personali, in Freedom, Security & Justice: European Legal Studies, 3/2021, pp. 282-315

Zanovello, F., Foto dei figli sui "social" e tutela cautelare e d'urgenza, in La Nuova Giurisprudenza Civile Commentata, 1/2022, 1, pp. 27-32