Il recente provvedimento del Garante per la protezione dei dati personali n. 10127792 del 13 marzo 2025 ha ribadito un principio fondamentale: la diffusione online di immagini di studenti da parte di istituti scolastici, in assenza di una base normativa idonea, costituisce trattamento illecito. Il caso riguardava un video di auguri natalizi pubblicato su YouTube da una scuola, rimosso tempestivamente dopo la segnalazione, ma comunque oggetto di sanzione pecuniaria di 2.000 euro e di pubblicazione dell’ordinanza.

L’Autorità ha chiarito che per le scuole il consenso di studenti e genitori non può sostituire la necessaria previsione legislativa: il trattamento da parte di soggetti pubblici deve fondarsi su un obbligo legale o su un compito di interesse pubblico stabilito da fonte normativa. Nel caso esaminato, la modulistica interna rinviava genericamente al sito dell’istituto, senza includere piattaforme terze come YouTube; inoltre mancavano un consenso esplicito e separato e una base giuridica specifica per la diffusione.

Il Garante ha valutato come irrilevante la convinzione della scuola circa l’età dello studente (14 anni), poiché per i minori resta determinante il ruolo del titolare della responsabilità genitoriale. Decisiva è stata la scelta di una piattaforma aperta, che accresce il rischio di perdita di controllo sui dati personali.

La violazione è stata classificata di gravità media, tenuto conto della collaborazione della dirigente e della rimozione del video. Il provvedimento si conclude con un richiamo operativo: gli istituti scolastici devono distinguere tra documentazione interna e diffusione esterna, evitare l’uso di canali non istituzionali e garantire basi normative chiare per ogni trattamento, rafforzando la cultura della legalità digitale.