[doc. web n. 10257291]

Provvedimento del 17 aprile 2026

Registro dei provvedimenti
n. 274 del 17 aprile 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia componente e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”); 

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo.

Con reclamo presentato all’Autorità, il sig. XX ha lamentato che, nonostante lui e la moglie non avessero, in sede d’iscrizione dei figli alla scuola dell’infanzia dell’Istituto Regina dei Gigli di San Giorgio a Cremano (di seguito l’Istituto), “concesso il diritto alla scuola di utilizzare e/o pubblicare immagini che (li) ritraessero”, l’Istituto avrebbe pubblicato sul sito web istituzionale, sulla pagina Facebook e sul profilo Instagram, “numerose fotografie e video ritraenti entrambi i bambini”

2. L’attività istruttoria.

Con nota del XX, alle quali si rinvia integralmente, rispondendo alla richiesta di informazioni formulata da questa Autorità, l’Istituto ha rappresentato, in particolare, che:

- “allo scopo di promuovere la propria attività, ha creato un proprio sito internet, una pagina social Facebook e un profilo Istagram, sui quali vengono pubblicate le principali attività svolte, quali recite, campi ecc”;

- “il Sig. XX ha iscritto i propri figli […] a far data dal XX, sottoscrivendo regolare iscrizione ed approvando specificatamente il regolamento d'Istituto”;

- “[… il reclamante] ha sollecitato l’istituto alla rimozione delle foto ritraenti i figli, cosa che l'Istituto ha curato immediatamente di fare, comunicandone anche l’esito”;

- “allo stato, pertanto, l'Istituto ha regolarmente registrato la revoca del consenso al trattamento dei dati e provveduto, sin dalla prima richiesta del XX alla rimozione delle immagini presenti sui seguenti siti e profili: web: www.reginadeigigli.edu.it, Facebook: scuola paritaria Regina dei Gigli, Istagram: scuola paritaria Regina dei Gigli”.

Con nota del XX, alle quali si rinvia integralmente, rispondendo alla ulteriore richiesta di informazioni formulata da questa Autorità, l’Istituto ha rappresentato, in particolare, che:

- “Il Sig. XX, […] nonostante la modulistica indicasse il consenso al trattamento delle immagini, modificava la modulistica (non esprimendo il consenso) senza nulla comunicare all'istituto, ingenerando così l'errore da parte dell'Istituto”;

- “all'atto dell'iscrizione tutti i genitori devono prendere visione del regolamento d'istituto ed accettarlo senza riserva, prestando contestualmente il consenso al trattamento dei dati personali, nel rispetto della normativa vigente, rilasciando la liberatoria alla pubblicazione delle immagini dei minori, per lo svolgimento delle attività didattiche (schede, cartelloni, ecc.) rientranti nell'attività istituzionale scolastica. Tale politica è necessaria in quanto, l'eventuale diniego al trattamento dei delle immagini per fini didattici, comprometterebbe lo svolgimento di attività per intere classi. Infatti, non sfuggirà immaginare che, la maggior parte delle attività dai bambini si svolgono in gruppo, che, nell'insieme viene fotografato e video ripreso (pensiamo ad esempio la recita dl natale, oppure una classica attività scolastica di gruppo come i lavoretti per le sante feste ecc)”;-

“l'istituto ha rimosso le foto ritraenti i figli, curando di darne comunicazione ai genitori, ai quali si chiedeva di segnalare eventuali ulteriori immagini se presenti. Nulla più veniva segnalato dai Genitori e quindi, si riteneva la questione risolta”;

- “l'Istituto ha provveduto a verificare che tutte le foto abbiano un link non raggiungibile. Questa azione renderà invisibili i link ai motori di ricerca. Ha, inoltre, provveduto a comunicare a google le foto non più disponibili”.

Sulla base degli elementi acquisiti, l’Ufficio ha notificato, con nota del XX (prot. n. XX), all’Istituto, in qualità di titolare del trattamento, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, in quanto la raccolta delle immagini dei minori e la pubblicazione delle stesse, sul sito istituzionale e sui canali social Facebook e Instagram dell’Istituto, hanno dato luogo ad un trattamento di dati personali e alla diffusione degli stessi in assenza di un idoneo presupposto di liceità, in violazione degli artt. 5, par. 1, lett. a), 6, parr. 1-3 e 7 del Regolamento e 2-ter del Codice.

Pertanto l’Ufficio ha invitato il predetto titolare a produrre scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

L’Istituto ha fatto pervenire le proprie memorie difensive, alle quali si rinvia integralmente, con nota del XX, rappresentando, in particolare, che: 

- “Il numero di interessati è limitato a due soli minori appartenenti al medesimo nucleo familiare”;

- “in merito all'elemento soggettivo, la violazione è stata il frutto di un mero errore materiale e colposo, privo di qualsiasi intento doloso. Come emerge dalla documentazione, il Sig. XX ha modificato manualmente la modulistica standard negando il consenso. Tale modifica, non comunicata verbalmente in fase di consegna, è sfuggita al controllo degli uffici amministrativi, ingenerando l'erroneo convincimento che l'iscrizione seguisse il regime ordinario di consenso previsto dal regolamento d’istituto”;

- “gli stessi Genitori, a seguito degli interventi richiesti, hanno accertato l'avvenuta rimozione di tutti i contenuti sollecitati, da ogni canale di comunicazione, inclusi i canali digitali e social, riscontrando positivamente il comportamento collaborativo e disponibile da parte dell'Istituto, immediatamente orientato alla risoluzione della problematica segnalata. I genitori, in particolare, si sono detti soddisfatti dalla gestione dell'Istituto, ed alla luce delle misure correttive adottate, hanno dichiarato non sussistente la volontà di intraprendere ulteriori iniziative o azioni in relazione ai fatti oggetto del procedimento”;

- “in ultimo, allo scopo di prevenire il ripetersi di tali incidenti, l'Istituto comunica di aver già implementato le seguenti procedure di controllo: Revisione Modulistica: Introduzione di moduli di consenso granulari con caselle di scelta obbligatorie (Si/No) per ciascuna finalità, eliminando la possibilità di modifiche manuali ambigue sulla modulistica pre-stampata. Registro delle Esclusioni: Istituzione di un registro interno aggiornato semestralmente che elenca gli alunni privi di consenso alla pubblicazione, la cui consultazione è obbligatoria per il personale addetto alla gestione del sito e dei canali social. Formazione specifica: Avvio di un ciclo di incontri formativi coordinati dalla RPD […] per sensibilizzare tutto il personale (religioso e laico) sulla gestione dei dati dei minori”.

3. Esito dell’attività istruttoria

3.1 Normativa applicabile

Il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, il “Regolamento”), prevede che il trattamento di dati personali da parte di soggetti che operano in ambito pubblico è lecito se necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” o “per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri” (art. 6, paragrafo 1, lett. c) ed e), paragrafi 2 e 3 del Regolamento; art 2-ter del Codice.

La base giuridica dei predetti trattamenti deve essere stabilita dal diritto dell’Unione o dello Stato membro, che deve perseguire “un obiettivo di interesse pubblico [e deve essere] proporzionato all'obiettivo” (art. 6, par. 3, del Regolamento).

In tale contesto, è sancito che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento).

Il Codice ha stabilito che “la base giuridica prevista dall’articolo 6, paragrafo 3, lettera b), del Regolamento è costituita da una norma di legge o di regolamento o da atti amministrativi generali” (art. 2-ter, comma 1).

In particolare, le operazioni di trattamento che consistono nella “diffusione” e “comunicazione” di dati personali sono ammesse solo quando previste da una norma di legge, regolamento o atti amministrativi generali (art. 2-ter, comma 3 del Codice).

Il titolare del trattamento è poi in ogni caso tenuto a rispettare i principi in materia di protezione dei dati (art. 5, del Regolamento) tra cui quello di “liceità, correttezza e trasparenza” in base al quale i dati devono essere trattati in modo lecito, corretto e trasparente nei confronti dell'interessato (art. 5, par. 1, lett. a) del Regolamento).

3.2 La pubblicazione di foto e video sui sito web e sui profili social dell’Istituto

Da quanto emerge dal reclamo, nonché dall’accertamento compiuto sulla base degli elementi acquisiti, a seguito dell’attività istruttoria e dalle successive valutazioni del Dipartimento, risulta che l’Istituto ha raccolto e pubblicato sul sito web istituzionale e sui profili social Facebook e Instagram talune immagini di studenti tra cui i figli del reclamante.

Le immagini, secondo quanto dichiarato dall’Istituto, sono state rimosse, a seguito dei solleciti del reclamante, dal sito web e dai predetti profili social, dandone comunicazione ai genitori. L'Istituto ha inoltre provveduto a “verificare che tutte le foto abbiano un link non raggiungibile e […a rendere] invisibili i link ai motori di ricerca” e ha provveduto “a comunicare a google le foto non più disponibili”.

Al riguardo, come sopra ricordato si rappresenta che, affinché uno specifico trattamento di dati personali possa essere lecitamente effettuato da parte di un soggetto che agisce in ambito pubblico, tale trattamento deve essere necessario per l’adempimento di un obbligo legale da parte del titolare del trattamento o per l’esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri e deve trovare il proprio fondamento in una disposizione che abbia le caratteristiche di cui all’art. 2-ter del Codice. 

In tale ambito il titolare del trattamento è tenuto a verificare, anche per i dati comuni, l’esistenza di una norma di legge, o di regolamento o di atti amministrativi generali che legittimino la diffusione dei dati personali degli interessati. 

Al riguardo si osserva che l’Istituto non ha indicato alcuna specifica base giuridica idonea a legittimare la raccolta e la pubblicazione, sul sito web e sui canali social, delle immagini dei minori atteso che tali trattamenti non rientrano tra le finalità di interesse pubblico che l’Istituto è chiamato a perseguire (cfr. provv. 13 marzo 2025, n. 134, doc. web n. 10127792; provv. 10 luglio 2025 n. 410, doc. web n. 10162731; provv. 27 novembre 2025 n. 725 doc. web n. 10211243).

Circa l’asserito consenso quale base giuridica idonea a legittimare il trattamento in esame, si osserva, in linea generale, che il consenso non costituisce un valido presupposto di legittimità del trattamento dei dati personali quando il titolare del trattamento persegue una finalità d’interesse pubblico, dato l’evidente squilibrio tra l’interessato e il titolare del trattamento che rende improbabile che il consenso sia espresso liberamente (cons. 43 del Regolamento).

Impregiudicate le valutazioni sopra espresse, l’Istituto non ha, peraltro, nemmeno soddisfatto le condizioni di validità del consenso previste dalla normativa in materia di protezione dei dati (cfr. art. 7, par. 1, del Regolamento, ai sensi del quale, “qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso al trattamento dei propri dati personali”). Affinché possa considerarsi valido, il consenso dell’interessato deve, infatti, consistere in una “manifestazione di volontà libera, specifica, informata e inequivocabile dell'interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento” (art. 4, par. 1, n. 11) del Regolamento). Nel caso di specie, infatti, i reclamanti non avevano nemmeno manifestato il loro consenso. 

Nel caso di specie, le modifiche apportate dal reclamante al modulo di iscrizione mediante apposizione di un “NO” accompagnato da una firma autografa nonché l’annullamento, tramite barratura del modulo denominato “liberatoria all’uso di immagini e dati personali” da parte dello stesso, rappresentano in modo non equivocabile la volontà dello stesso di non prestare il consenso al trattamento dei dati personali riguardanti le immagini dei propri figli.

Si rammenta, inoltre, che i minori, in considerazione della loro particolare “vulnerabilità”, meritano una specifica protezione in relazione ai loro dati personali, in quanto possono non essere consapevoli dei rischi, delle conseguenze, nonché dei loro diritti in relazione al trattamento dei dati (cfr. cons. 38 e 75 del Regolamento). 

Come già chiarito dall’Autorità la pubblicazione di immagini per finalità qualificate dal titolare del trattamento come “didattiche” ma, più verosimilmente, da considerarsi promozionali, non è compatibile con lo svolgimento di attività didattiche ed educative di interesse pubblico affidate agli Istituti scolastici (provv. 10 luglio 2025 n. 410, doc. web n. 10162731).

Alla luce delle considerazioni che precedono, si deve concludere che la raccolta delle immagini dei minori e la pubblicazione delle stesse, sul sito istituzionale e sui canali social dell’Istituto, ha dato luogo ad un trattamento di dati personali e alla diffusione degli stessi in assenza di un idoneo presupposto di liceità, in violazione degli artt. 5, par. 1, lett. a), 6, parr. 1-3 e 7 del Regolamento e 2-ter del Codice.

Si prende, comunque, favorevolmente atto dell’adozione, da parte dell’Istituto, di adeguate misure quali la cancellazione delle immagini dal sito web e dai canali social e la successiva verifica effettuata sui motori di ricerca.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dall’Istituto, in qualità di titolare del trattamento, nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice, non consentono di superare tutti i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento, e risultano insufficienti a consentire l’archiviazione del presente procedimento ai sensi dell’art. 14, comma 1, del Regolamento del Garante n. 1/2019 non ricorrendo alcuno dei casi previsti dall’art. 11 ivi richiamato.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Istituto, per aver effettuato il trattamento di dati personali in violazione degli artt. 5, par. 1, lett. a), 6, parr. 1-3 e 7 del Regolamento e 2-ter del Codice.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice.

Considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art.
58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, le violazioni relative agli artt. 5, par. 1, lett. a), 6, parr. 1-3 e 7 del Regolamento e 2-ter del Codice, sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000 (ventimilioni/00).

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

- con specifico riguardo alla natura, alla gravità e alla durata della violazione, occorre considerare che diffusione di dati ha riguardato diversi interessati (cfr. art. 83, par. 2, lett. a), del Regolamento); 

- con specifico riguardo al profilo soggettivo della violazione la stessa è avvenuta nell’erroneo convincimento, da parte dell’Istituto, di aver acquisito il consenso degli interessati (art. 83, par. 2, lett. b), del Regolamento); 

- riguardo alle categorie di dati personali comunicati, non sono comprese categorie particolari di dati (art.83, par. 2, lett. g) del Regolamento).

Alla luce di tale specifica circostanza, si ritiene che, nel caso di specie, il livello di gravità di tale violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Nel premettere che il titolare del trattamento è un Istituto scolastico e, pertanto, un soggetto di ridotte dimensioni, dotato di limitate risorse economiche, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze:

- l’Istituto ha provveduto a rimuovere le immagini dal sito web e dai canali social sui quali era stato pubblicato, a seguito della richiesta dei genitori degli alunni (art. 83, par. 2, lett. c), del Regolamento); 

-  non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento (art. 83, par. 2, lett. e), del Regolamento);

- il grado di cooperazione manifestato dal titolare con l'autorità di controllo (art. 83, par. 2, lett. f) del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 4.000,00 (quattromila/00) per la violazione degli artt. 5, par. 1, lett. a), 6, parr. 1-3 e 7 del Regolamento e 2-ter del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva. 

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. 

Ciò in considerazione del fatto che la pubblicazione ha ad oggetto dati personali relativi diversi interessati minorenni, soggetti particolarmente vulnerabili.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f), e 83 del Regolamento, l’illiceità del trattamento effettuato dall’Istituto “Ancelle della Compagnia della Regina dei Gigli”, nei termini di cui in motivazione, per la violazione artt. 5, par. 1, lett. a), 6, parr. 1-3 e 7 del Regolamento e 2-ter del Codice;

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, all’Istituto “Ancelle della Compagnia della Regina dei Gigli”, con sede legale in via Guglielmo Marconi 2 - 80046 - San Giorgio a Cremano (Na), CF: 94142260630, di pagare la complessiva somma di euro 4.000,00 (quattromila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

all’Istituto “Ancelle della Compagnia della Regina dei Gigli”: 

- di pagare la complessiva somma di euro 4.000,00 (quattromila/00) in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

- ai sensi dell'art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento. 

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero. 

Roma, 17 aprile 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori