Introduzione: cosa è successo e perché è importante
Una scuola italiana è stata sanzionata dal Garante della Privacy con una multa di 12.000 euro per aver installato un sistema di videosorveglianza che riprendeva aree in cui transitavano studenti minorenni. La vicenda ha origine da un incidente scolastico: i genitori di uno studente, nel richiedere il risarcimento danni alla compagnia assicurativa, hanno scoperto che la scuola possedeva una registrazione video dell’episodio. Questo caso rappresenta un campanello d’allarme importante per tutte le istituzioni scolastiche che devono comprendere come installare correttamente sistemi di sicurezza rispettando i diritti fondamentali dei minori.
I fatti: come è stato scoperto il problema
Durante l’istruttoria, il Garante ha accertato che l’istituto era dotato di un sistema di videosorveglianza composto da due videoregistratori digitali (DVR) collegati a 38 telecamere. Le telecamere riprendevano:
- Gli accessi ai cancelli
- Il parcheggio esterno
- I box per il deposito di materiali
- Le scale esterne
- I portoni di ingresso e uscita
- Gli atri di accesso ai piani (aree interne)
Le immagini venivano conservate per 8 o 14 giorni a seconda del DVR. Sebbene la scuola non riprendesse direttamente le classi o i corridoi didattici, le telecamere catturavano comunque le aree di transito dove gli studenti si muovevano quotidianamente.
Perché la scuola è stata sanzionata: le violazioni riscontrate
Il Garante ha identificato diverse violazioni gravi della normativa sulla privacy:
Protezione insufficiente dei minori: Gli studenti sono considerati “persone fisiche vulnerabili” che meritano una protezione specifica, poiché possono essere meno consapevoli dei rischi e delle conseguenze del trattamento dei loro dati personali.
Mancanza di base giuridica: Il trattamento dei dati personali degli studenti, dei lavoratori e di altri soggetti ripresi non era conforme ai principi di liceità, correttezza e trasparenza, e mancava una base giuridica valida.
Assenza di valutazione d’impatto: La scuola non aveva condotto una Valutazione d’Impatto sulla Protezione dei Dati (DPIA), strumento fondamentale per verificare la necessità e la proporzionalità del trattamento.
Tempi di conservazione eccessivi: Le immagini venivano conservate fino a 14 giorni, ben oltre le 72 ore generalmente considerate ragionevoli per scopi di sicurezza.
Violazioni riguardanti i lavoratori: Il sistema riprendeva anche docenti e personale amministrativo senza il rispetto delle norme previste dallo Statuto dei lavoratori.
Le regole corrette per la videosorveglianza a scuola
Secondo le linee guida del Garante della Privacy, ecco come le scuole devono installare e gestire correttamente i sistemi di videosorveglianza:
Principio di stretta indispensabilità: Le telecamere possono essere installate solo quando strettamente necessario per proteggere l’edificio e i beni scolastici da furti e atti vandalici.
Limitazione dell’area di ripresa: Le telecamere devono circoscrivere le riprese alle sole aree pertinenti. Non devono riprendere:
- Classi
- Corridoi didattici
- Aree dove si svolgono attività educative
- Spazi intimi della vita scolastica
Orari di attivazione ristretti: Le telecamere interne possono essere attivate solo negli orari di chiusura della scuola, quindi non durante lo svolgimento di attività scolastiche o extrascolastiche.
Segnalazione obbligatoria: Deve essere presente una cartellonistica chiara che comunichi la presenza di impianti di videosorveglianza.
Protezione esterna: Se le riprese riguardano l’esterno della scuola, l’angolo visuale deve essere opportunamente delimitato per evitare di riprendere aree non pertinenti.
Tempi di conservazione ragionevoli: Le immagini devono essere conservate per il tempo strettamente necessario, generalmente non oltre le 72 ore.
Accordi con i lavoratori: Il monitoraggio del personale mediante videosorveglianza deve rispettare le norme nazionali di protezione e gli accordi previsti dallo Statuto dei lavoratori.
Il caso specifico: ulteriori violazioni
Nella vicenda in questione, il Garante ha rilevato anche violazioni nel trattamento successivo del video. Il filmato è stato visionato da genitori, una docente e una coordinatrice della scuola. Poiché il video era stato acquisito illecitamente mediante il sistema di videosorveglianza non conforme, anche questi successivi trattamenti sono stati dichiarati illeciti. Il trattamento di dati personali per una finalità ulteriore presuppone che la raccolta originaria sia stata lecita, condizione non verificata in questo caso.
Responsabilità del dirigente scolastico
Il dirigente scolastico è il titolare del trattamento dei dati e ha la responsabilità di:
- Informare in modo chiaro e comprensibile come vengono trattati i dati personali
- Decidere finalità e strumenti del trattamento
- Autorizzare il personale a trattare i dati
- Verificare che siano adottate misure adeguate di sicurezza
- Condurre valutazioni d’impatto per trattamenti ad alto rischio
- Nominare un Responsabile della Protezione dei Dati (RPD/DPO) che supporti l’istituto su tutte le questioni relative alla privacy
Altre regole importanti sulla privacy scolastica
Uso degli smartphone: Gli studenti e il personale possono utilizzare smartphone solo per fini personali e nel rispetto dei diritti altrui. È vietato diffondere foto, video o audio senza consenso, con possibili responsabilità disciplinari e penali.
Registrazione delle lezioni: Le lezioni possono essere registrate solo per studio individuale. Non è ammessa la videoregistrazione che riprende le dinamiche della classe.
Diritto di accesso: Studenti, famiglie e lavoratori hanno il diritto di accedere ai loro dati personali e possono rivolgersi alla scuola o al Garante se necessario.
Technical Deep Dive: aspetti normativi e procedurali
La sanzione al Garante è stata emessa in base alle violazioni degli articoli 5, 6, 12, 13, 35 e 88 del Regolamento Generale sulla Protezione dei Dati (RGPD), nonché degli articoli 2-ter e 114 del Codice della Privacy italiano.
Articolo 5 (Principi relativi al trattamento): Il trattamento deve essere lecito, corretto e trasparente. Nel caso in questione, il trattamento non rispettava il principio di liceità (lett. a) e il principio di limitazione della finalità (lett. b).
Articolo 6 (Base giuridica): Non era stata identificata una base giuridica valida per il trattamento. L’interesse pubblico dell’attività educativa non può giustificare un trattamento sproporzionato, specialmente in presenza di minori.
Articolo 35 (Valutazione d’impatto sulla protezione dei dati): L’assenza di una DPIA rappresenta una grave violazione per trattamenti ad alto rischio come la videosorveglianza di minori. La DPIA avrebbe dovuto analizzare:
- La necessità e la proporzionalità del trattamento
- I rischi per i diritti e le libertà degli interessati
- Le misure di mitigazione del rischio
- La legittimità della conservazione prolungata dei dati
Articolo 88 (Trattamento nel contesto dell’occupazione): Il monitoraggio dei lavoratori mediante videosorveglianza deve rispettare le norme nazionali di maggior tutela e gli accordi collettivi. Nel caso, il sistema riprendeva personale in aree di lavoro senza il rispetto di questi requisiti.
Inutilizzabilità dei dati trattati illecitamente: Secondo l’articolo 2-decies del Codice della Privacy, i dati trattati in violazione della normativa sono inutilizzabili. Questo principio ha reso illeciti anche i successivi trattamenti del video, poiché la fonte originaria era viziata.
Proporzionalità e necessità: Il Garante ha enfatizzato che la conservazione di 14 giorni di registrazioni non era proporzionata agli obiettivi di sicurezza dichiarati. Una conservazione di 72 ore sarebbe stata sufficiente per scopi di investigazione di incidenti.
Protezione speciale dei minori: La giurisprudenza europea e italiana riconosce che i minori, come categorie vulnerabili, richiedono una protezione rafforzata. La loro vulnerabilità consiste nella minore consapevolezza dei rischi e nella difficoltà di esercitare i diritti sulla privacy.
Questo caso rappresenta un precedente importante che orienterà le future decisioni del Garante e fornisce un modello concreto di come non deve essere gestita la videosorveglianza nelle scuole italiane.
