Lead: l’impatto della videosorveglianza e della gestione dati nelle strutture educative
L’equilibrio tra la tutela dei minori e la protezione della dignità dei lavoratori nelle strutture scolastiche private è al centro di una pronuncia che impone rigidi limiti all’uso indiscriminato di immagini e sistemi audiovisivi. Il trattamento dei dati personali all’interno delle comunità educative per la prima infanzia richiede standard stringenti che non ammettono automatismi né scorciatoie procedurali.
La sovrapposizione tra la sorveglianza delle attività educative e il controllo a distanza del personale dipendente costituisce una violazione strutturale dei diritti fondamentali. Quando la presenza di impianti video non rispetta le garanzie giuslavoristiche e le informative ai genitori risultano carenti o viziate, l’intera impalcatura del trattamento decade, esponendo l’ente gestore a sanzioni pecuniarie e ordini di rimozione dei materiali.
Il quadro normativo europeo e nazionale sancisce che le immagini dei minori e il monitoraggio degli spazi lavorativi non possono basarsi su consensi presunti o generici riferimenti a legittimi interessi. L’intervento dell’autorità di vigilanza riafferma che la sicurezza dell’ambiente scolastico non giustifica la deroga ai principi di proporzionalità, trasparenza e corretta governance interna.
Contesto normativo, istituzionale e giurisprudenziale
L’evoluzione della disciplina sulla tutela della riservatezza e della dignità dei lavoratori affonda le sue radici nello Statuto dei Lavoratori del 1970. L’articolo 4 della legge 300/1970 ha introdotto un divieto rigoroso di controllo a distanza delle prestazioni lavorative, consentendo l’installazione di apparecchiature audiovisive esclusivamente per esigenze organizzative, produttive, di sicurezza del lavoro o di tutela del patrimonio aziendale, previo accordo sindacale o autorizzazione amministrativa.
Nel corso degli anni, la giurisprudenza costituzionale e di legittimità ha progressivamente chiarito il perimetro inderogabile di tali tutele. La sentenza numero 271 del 2005 della Corte Costituzionale ha fissato che la disciplina relativa alla protezione dei dati personali rientra nella materia di competenza esclusiva dello Stato con riferimento all’ordinamento civile, impedendo frammentazioni regionali o deroghe arbitrarie a livello locale.
A sua volta, la Corte di Cassazione penale, con la sentenza della terza sezione numero 22148 del 2017, ha confermato la piena validità dei divieti di sorveglianza indebita anche dopo le riforme del Jobs Act di cui al decreto legislativo 151 del 2015. I giudici di legittimità hanno ribadito che le apparecchiature finalizzate al mero controllo a distanza della prestazione lavorativa restano assolutamente vietate per contrasto diretto con i principi della Costituzione.
A questo assetto giurisprudenziale si affiancano gli indirizzi operativi consolidati dall’autorità ispettiva e dal quadro regolatorio europeo. Le circolari dell’Ispettorato Nazionale del Lavoro, tra cui la numero 4 del 2017 e la direttiva del 25 settembre 2024 protocollo numero 7020, hanno ribadito come l’impiego di tecnologie audiovisive possa determinare esclusivamente un controllo indiretto e preterintenzionale.
L’entrata in vigore del Regolamento Generale sulla Protezione dei Dati (GDPR) ha ulteriormente inasprito gli obblighi di responsabilizzazione per i titolari del trattamento, introducendo strumenti preventivi di analisi del rischio. La valutazione d’impatto sulla protezione dei dati (DPIA) disciplinata dall’articolo 35 del Regolamento rappresenta un adempimento ineludibile ogni qualvolta si impieghino sistemi di videosorveglianza idonei a monitorare sistematicamente aree accessibili o contesti lavorativi.
Attori coinvolti nel procedimento
Il procedimento ha visto l’interazione tra soggetti privati, rappresentanze individuali e istituzioni pubbliche deputate alla tutela dell’ordinamento. L’ente gestore dell’attività per l’infanzia, registrato con partita IVA 04049630967, ha operato in qualità di titolare del trattamento dei dati, gestendo l’acquisizione delle immagini e l’infrastruttura di ripresa all’interno della propria sede operativa.
Dall’altro lato, l’azione di vigilanza è stata attivata a seguito dell’iniziativa formale di un cittadino reclamante che ha presentato un’istanza ai sensi dell’articolo 77 del Regolamento europeo. Questa segnalazione ha innescato i poteri ispettivi previsti dall’articolo 157 del Codice in materia di protezione dei dati personali per accertare la liceità dei trattamenti posti in essere dalla struttura educativa.
L’autorità nazionale di controllo, Garante per la protezione dei dati personali, ha condotto l’istruttoria verificando la conformità delle pratiche adottate rispetto al diritto unionale. Nel percorso valutativo si inseriscono le pronunce della Corte Costituzionale, della Corte Suprema di Cassazione e le direttive emanate dall’Ispettorato Nazionale del Lavoro, che formano il compendio giuridico a presidio del rapporto di lavoro e della dignità individuale.
Un ruolo cardine nella vicenda è rappresentato dalla figura del Responsabile della Protezione dei Dati (RPD). Le norme comunitarie richiedono che tale figura operi in piena indipendenza e senza conflitti d’interesse, con compiti di consulenza e vigilanza che devono essere tempestivamente comunicati agli organi di controllo competenti per garantire la necessaria trasparenza verso l’esterno.
Analisi critica delle evidenze e nodi dell’istruttoria
La validità del consenso e la pubblicazione delle immagini dei minori
Il primo nodo centrale dell’indagine riguarda il consenso per la raccolta e la diffusione delle fotografie dei minori iscritti alla struttura educativa. L’asilo ha sostenuto nelle proprie memorie difensive che non sussisteva alcuna clausola contrattuale volta a subordinare l’iscrizione scolastica all’autorizzazione all’uso delle immagini dei bambini.
«non sussist[e] alcuna condizione che lega l’iscrizione all’utilizzo delle immagini dei minori.»
Nonostante tale dichiarazione, l’analisi delle evidenze ha mostrato una discordanza sostanziale tra i moduli somministrati e i requisiti inderogabili stabiliti dall’articolo 4, paragrafo 1, numero 11 del Regolamento. Il consenso deve consistere in una manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, espressa tramite dichiarazione o azione positiva inequivocabile, elemento che non risultava soddisfatto dalle procedure adottate.
«manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento»
L’inidoneità della documentazione fornita alle famiglie ha reso privo di base giuridica il trattamento dei dati audiovisivi dei minori. A fronte di tale illiceità, l’autorità ha disposto, ai sensi dell’articolo 58, paragrafo 2, lettera f) del Regolamento, la limitazione del trattamento vietando ogni ulteriore diffusione online, nonché la cancellazione definitiva di tutte le foto dei bambini dagli archivi dell’ente ai sensi delle lettere d) e g) del medesimo articolo.
La videosorveglianza sul luogo di lavoro e il ricorso improprio al legittimo interesse
L’istruttoria ha posto in risalto profonde contraddizioni relative all’informativa di secondo livello prodotta dalla struttura per giustificare l’installazione delle telecamere. L’ente ha indicato come base giuridica il generico legittimo interesse ai sensi dell’articolo 6, paragrafo 1, lettera f) del Regolamento europeo, omettendo qualsiasi riferimento alle normative di settore giuslavoristiche applicabili.
L’utilizzo del legittimo interesse per aggirare le prescrizioni tassative dello Statuto dei Lavoratori collide con il principio di legalità. Come chiarito dalle circolari dell’Ispettorato Nazionale del Lavoro e dalla newsletter dell’8 maggio 2025 (doc. web n. 10129281), i sistemi audiovisivi non possono costituire uno strumento di vigilanza diretta sull’operato del personale, potendo generare solo un controllo indiretto nell’ambito delle causali tipizzate dalla legge.
«le apparecchiature finalizzate al mero controllo a distanza della prestazione lavorativa [debbano essere] assolutamente vietate […per] contrasto con i principi della Costituzione»
Omissione della valutazione d’impatto e irregolarità nella governance del RPD
Un’ulteriore evidenza emersa durante l’istruttoria riguarda la totale assenza di una valutazione d’impatto sulla protezione dei dati prima della messa in funzione degli impianti video. L’ente ha formalmente confermato di non aver redatto la DPIA prescritta dall’articolo 35 del Regolamento, ignorando la prassi consolidata ribadita nei provvedimenti sanzionatori del 16 novembre 2023 (n. 578, doc. web n. 9963486) e nella newsletter del 15 dicembre 2023 (doc. web n. 9963533).
Sul piano organizzativo, il titolare del trattamento è incorso in una duplice violazione riguardante la gestione del Responsabile della Protezione dei Dati. In primo luogo, non sono stati pubblicati né comunicati all’autorità i dati di contatto dell’RPD ai sensi dell’articolo 37, paragrafo 7 del Regolamento. In secondo luogo, non è stata garantita l’assenza di conflitti d’interesse nelle ulteriori mansioni svolte dal medesimo soggetto, contravvenendo a quanto prescritto dall’articolo 38, paragrafo 6.
«il titolare del trattamento [deve assicurarsi] che tali compiti e funzioni non diano adito a un conflitto di interessi»
Determinazione della sanzione amministrativa pecuniaria
A fronte delle molteplici violazioni rilevate, l’autorità ha applicato le sanzioni amministrative pecuniarie previste dall’articolo 83, commi 3 e 5 del Regolamento. Nel determinare l’ammontare complessivo sono stati valutati i criteri previsti dall’articolo 83, paragrafo 2, in conformità alle «Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR» adottate dal Comitato europeo per la protezione dei dati il 24 maggio 2023 (punto 60).
All’ente identificato con partita IVA 04049630967 è stato ingiunto il pagamento della somma di 10.000,00 euro a titolo di sanzione pecuniaria. È stato inoltre imposto l’obbligo di comunicare entro trenta giorni dalla notifica, ai sensi dell’articolo 157 del Codice, tutte le misure adottate per dare esecuzione ai divieti di trattamento e alla cancellazione delle immagini dei minori.
Trasparenza, pubblicità e base giuridica della documentazione
La documentazione da cui derivano i riscontri analizzati costituisce un provvedimento ufficiale emesso dall’autorità garante a conclusione di un formale procedimento sanzionatorio e correttivo. Il dispositivo è stato sottoposto a regime di pubblicità integrale ai sensi dell’articolo 166, comma 7 del Codice della privacy e dell’articolo 16, comma 1 del Regolamento interno dell’Autorità numero 1/2019, ricorrendo altresì i presupposti per la pubblicazione previsti dall’articolo 17 del medesimo regolamento.
I testi e i contenuti degli atti emanati dalle pubbliche amministrazioni e dalle autorità indipendenti dello Stato italiano rientrano nel pubblico dominio ai sensi dell’articolo 5 della legge 22 aprile 1941, numero 633, che esclude tali categorie documentali dalla tutela del diritto d’autore. La loro consultazione e analisi critica garantiscono l’esercizio del controllo democratico e la consapevolezza sui diritti digitali e lavorativi dei cittadini.
L’atto integrale e gli estremi istruttori sono consultabili direttamente nell’archivio telematico dell’autorità di vigilanza al documento web numero 10162731, recante il provvedimento sanzionatorio del 10 luglio 2025.