Rilevanza pubblica e tutela dei dati negli ambienti educativi
L’installazione di sistemi di videosorveglianza all’interno di complessi scolastici e strutture comunitarie rappresenta uno dei nodi più critici nell’applicazione del Regolamento generale sulla protezione dei dati. Quando l’occhio elettronico cattura indiscriminatamente minori, dipendenti e visitatori esterni in assenza di idonee garanzie procedurali, la sicurezza invocata si trasforma in un monitoraggio illegittimo della persona. Questo dossier esamina il quadro normativo e ispettivo che ha portato all’accertamento di violazioni sistematiche nell’impiego di dieci telecamere a circuito chiuso collegate a un unico apparato di registrazione.
La sovrapposizione tra ambiente di lavoro e spazio dedicato alla formazione minorile impone standard di tutela rafforzati che non possono essere derogati da valutazioni unilaterali dell’amministrazione scolastica. L’impiego di tecnologie audiovisive senza il preventivo coinvolgimento delle rappresentanze dei lavoratori e senza una rigorosa ponderazione dei rischi lede diritti fondamentali sanciti a livello costituzionale ed europeo. Il caso analizzato evidenzia come prassi gestionali disattente espongano le organizzazioni a sanzioni pecuniarie e alla dichiarazione formale di illiceità delle banche dati audiovisive costituite nel tempo.
Quadro regolatorio e coordinate normative del controllo a distanza
La disciplina sull’impiego degli strumenti di videosorveglianza nei luoghi in cui si svolge attività lavorativa affonda le proprie radici nell’art. 4 della Legge n. 300/1970, comunemente nota come Statuto dei Lavoratori. Tale disposizione stabilisce che gli impianti audiovisivi dai quali possa derivare anche la possibilità di controllo a distanza dell’attività dei dipendenti possono essere installati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale. L’installazione resta tuttavia subordinata alla stipula di un accordo collettivo con le rappresentanze sindacali o, in mancanza di intesa, al rilascio di un’apposita autorizzazione da parte dell’Ispettorato del Lavoro.
A livello eurounitario, l’art. 88, par. 2, del Regolamento (UE) 2016/679 (GDPR), richiamato dall’art. 6, par. 2, consente agli Stati membri di introdurre norme più specifiche per garantire la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei dipendenti nell’ambito dei rapporti di lavoro. Nel nostro ordinamento, il rinvio opera tramite l’art. 114 del Codice in materia di protezione dei dati personali (D.lgs. 196/2003), che impone il rispetto integrale delle procedure di garanzia previste dallo Statuto dei Lavoratori. L’inosservanza di tali passaggi priva il trattamento della necessaria base giuridica, determinando la violazione degli artt. 5 e 6 del GDPR.
Accanto alla dimensione giuslavoristica, la presenza costante di studenti, compresi soggetti minorenni, all’interno del raggio d’azione dei dispositivi di ripresa introduce ulteriori vincoli cogenti. Il vademecum «La scuola a prova di privacy», costantemente aggiornato dall’autorità di controllo nazionale (da ultimo il 12 novembre 2025, doc. web n. 10190259), nonché le specifiche linee guida applicative, stabiliscono limiti stringenti sul posizionamento e sull’ampiezza dell’angolo visuale. Qualora le telecamere inquadrino gli accessi o le pertinenze esterne dell’edificio scolastico, l’inquadratura deve essere rigorosamente delimitata per evitare la rilevazione di aree pubbliche o spazi non strettamente pertinenti all’edificio.
La giurisprudenza della Corte di giustizia dell’Unione europea ha ulteriormente consolidato questi principi interpretativi. Con la sentenza resa nella causa C-65/23 (K GmbH, 19 dicembre 2024, par. 59), i giudici di Lussemburgo hanno ribadito la necessità di un bilanciamento stringente e proporzionato tra le finalità datoriali e la salvaguardia della dignità del lavoratore. La videosorveglianza non può mai tradursi in una forma pervasiva e generalizzata di vigilanza, dovendo rispettare parametri tassativi di necessità, trasparenza e limitazione della conservazione dei dati.
Soggetti coinvolti e ruoli istituzionali
Il procedimento ha visto l’intervento dell’Autorità Garante per la Protezione dei Dati Personali, organo collegiale preposto alla vigilanza sull’applicazione del GDPR e del Codice Privacy sul territorio italiano. L’Autorità ha agito nell’esercizio dei poteri di indagine, correttivi e sanzionatori attribuiti dagli artt. 57, 58 e 83 del Regolamento (UE) 2016/679, avvalendosi degli strumenti ispettivi previsti dagli artt. 157 e 166 del D.lgs. 196/2003 e dalla Legge 24 novembre 1981, n. 689.
La posizione di titolare del trattamento è stata ascritta alla Provincia della Congregazione dei Fratelli delle Suore Cristiane, ente gestore del complesso all’interno del quale risultavano operativi l’istituto scolastico e gli annessi servizi di accoglienza e foresteria. In tale veste, l’ente rispondeva direttamente dell’impostazione organizzativa e tecnologica dei sistemi di sicurezza, nonché dell’adempimento di tutti gli obblighi formali e sostanziali previsti dalla normativa vigente.
I soggetti interessati dalle attività di captazione visiva comprendono una platea articolata ed eterogenea: il personale docente e non docente impiegato nell’istituto, gli studenti frequentanti (ivi compresi i minori d’età), i genitori, i fornitori esterni e gli ospiti delle strutture di foresteria. Questa eterogeneità di categorie ha amplificato la complessità dei profili di rischio, coinvolgendo soggetti caratterizzati da asimmetria contrattuale (i lavoratori) e da specifica vulnerabilità anagrafica (i minori).
Analisi critica delle evidenze documentali
Le risultanze istruttorie documentano che presso l’Istituto era operativo un impianto composto da dieci telecamere a circuito chiuso (TVCC) confluite in un unico videoregistratore digitale (DVR1). La datazione stimata dell’installazione risale al 2019, configurando un funzionamento continuativo e prolungato nel tempo. Le riprese non si limitavano ai varchi perimetrali ma coinvolgevano la vita quotidiana dell’intero plesso, registrando i passaggi di dipendenti, discenti e terzi senza che fosse stata condotta la necessaria istruttoria preventiva.
«Nel caso di specie, il Titolare ha, invece, trattato i dati personali dei propri lavoratori e degli studenti, nonché di terze persone, mediante il sistema di videosorveglianza in questione, in assenza di una preliminare valutazione di impatto sulla protezione dei dati e, pertanto, in violazione dell’art. 35 del Regolamento.»
L’omissione della Valutazione di Impatto sulla Protezione dei Dati (DPIA) costituisce una delle violazioni strutturali più gravi rilevate dall’organo di controllo. L’art. 35 del GDPR impone la DPIA ogni qualvolta un trattamento, per la natura, l’oggetto, il contesto e le finalità, possa presentare un rischio elevato per i diritti e le libertà delle persone fisiche, in particolare quando si utilizzano nuove tecnologie o si effettua una sorveglianza sistematica su larga scala di zone accessibili al pubblico. La presenza congiunta di minori e di monitoraggio dei lavoratori qualificava l’impianto come ad alto rischio intrinseco.
Lo svolgimento di una DPIA preventiva avrebbe obbligato il titolare a formalizzare la reale necessità dell’infrastruttura, valutare l’angolo di ripresa delle telecamere, stabilire tempi certi di conservazione dei filmati e ponderare misure alternative meno invasive. La totale assenza di tale documento ha privato l’amministrazione della consapevolezza circa l’invasività delle riprese, determinando una violazione diretta dell’art. 35, par. 7, lett. b), del GDPR relativamente alla dimostrazione della proporzionalità e necessità del trattamento.
Sul versante della legittimità sindacale, gli atti confermano che l’installazione è avvenuta al di fuori delle procedure di cogestione prescritte dall’art. 4 della Legge n. 300/1970. Non risultavano accordi sottoscritti con le rappresentanze sindacali unitarie o aziendali, né alcuna istanza o autorizzazione rilasciata dalla sede territorialmente competente dell’Ispettorato del Lavoro. Questo vuoto procedurale ha reso illecito l’intero flusso di dati acquisito durante l’orario di servizio del personale scolastico.
L’istruttoria ha inoltre appurato carenze sul piano della trasparenza informativa, in violazione degli artt. 12 e 13 del GDPR e dell’art. 2-ter del Codice Privacy. La segnaletica informativa esposta e le comunicazioni rese agli interessati non garantivano un’illustrazione esaustiva dei dettagli del trattamento, impedendo a studenti, famiglie e visitatori di comprendere l’effettiva portata della raccolta dati, le finalità perseguite e i tempi di conservazione dei filmati.
«In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti - atteso che, come dichiarato in sede di memoria difensiva, è stato disposto lo “spegnimento di tutte le telecamere” - non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.»
Nel corso del procedimento, attivato con la richiesta di informazioni formulata ai sensi dell’art. 157 del Codice, il titolare ha prodotto scritti difensivi e partecipato a un’audizione formale ai sensi dell’art. 166, commi 6 e 7, del Codice e dell’art. 18 della Legge n. 689/1981. In sede di memoria difensiva, l’ente ha dato atto di aver disposto lo spegnimento immediato di tutte le telecamere. Sebbene tale ravvedimento operoso abbia evitato l’irrogazione di ordini correttivi di conformazione o cancellazione coattiva ai sensi dell’art. 58, par. 2, del Regolamento, esso non ha cancellato l’illiceità pregressa consumatasi dal 2019.
Per la quantificazione della sanzione amministrativa pecuniaria, il Garante ha applicato i criteri stabiliti dall’art. 83, commi 2, 3 e 5, del GDPR, integrati dalle indicazioni metodologiche del Comitato europeo per la protezione dei dati (EDPB, «Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR» del 24 maggio 2023, punto 60). È stata disposta altresì la sanzione accessoria della pubblicazione del dispositivo dell’ordinanza sul portale telematico dell’Autorità, ai sensi dell’art. 166, comma 7, del Codice e degli artt. 16 e 17 del Regolamento interno n. 1/2019.
Trasparenza dell’atto e fondamento giuridico di pubblicazione
Le informazioni alla base di questa ricostruzione investigativa provengono direttamente dagli atti ufficiali emanati dall’Autorità Garante per la Protezione dei Dati Personali all’esito del procedimento sanzionatorio formalizzato con Provvedimento del 29 gennaio 2026 (doc. web n. 10222864), accessibile per la consultazione pubblica sul sito istituzionale garanteprivacy.it.
La diffusione, l’analisi e la riproduzione dei dati contenuti nel presente dossier avvengono in conformità all’art. 5 della Legge 22 aprile 1941, n. 633 sul diritto d’autore, ai sensi del quale le disposizioni della legge non si applicano ai testi degli atti ufficiali dello Stato e delle amministrazioni pubbliche, sia italiane sia straniere. Il provvedimento appartiene interamente al pubblico dominio, a garanzia del controllo democratico, della trasparenza dell’azione amministrativa e della piena informazione dei cittadini in materia di diritti digitali e riservatezza.