Il Garante Privacy ha emesso un provvedimento sanzionatorio nei confronti di un asilo nido.
L’istruttoria dell’Autorità, a seguito di un reclamo presentato da un genitore che aveva provveduto all’iscrizione della figlia, ha condotto a una sanzione di € 10.000 per l’asilo.
La sanzione è stata inflitta a causa di diversi comportamenti illeciti.
Naviga velocemente alla sezione che ti interessa
Raccolta e diffusione illecita di foto di minori
Le immagini dei bambini sono state raccolte per promuovere l’attività del titolare, diversamente dalle finalità che l’asilo nido è lecitamente chiamato a perseguire.
Sono state contestate le seguenti violazioni:
- La manifestazione di volontà dei genitori risultava viziata dalla circostanza che il diniego del consenso comportava l’impossibilità di iscrizione dei figli all’asilo.
- Il consenso non è stato adeguatamente informato, raccogliendo immagini particolarmente delicate dei bambini (es. durante il cambio pannolino) e pubblicandole sia su una piattaforma cloud a disposizione di più genitori, sia, a fini promozionali, sul sito web dell’asilo e sul profilo di Google Maps.
- Il modulo di informativa era predisposto per raccogliere il consenso da parte di un solo genitore e con apposizione della sola firma, quindi senza possibilità di negarlo. Ciò contrasta quanto stabilito dal Garante, che richiede il consenso esplicito e inequivocabile di entrambi i genitori per la pubblicazione online di immagini di minori (es. predisponendo una doppia casella, di consenso o di diniego).
- Infine, le informazioni fornite sono risultate carenti, soprattutto in merito alla tipologia di immagini trattate, a chi sarebbero stati comunicati i dati dei minori e ai tempi di conservazione degli stessi.
Uso illecito della videosorveglianza
L’asilo ha disposto di un sistema di videosorveglianza non idoneo, acquisendo immagini di minori, del personale educativo e di soggetti esterni durante l’orario delle attività educative, in diversi ambienti del locale. Tale attività si è concretizzata come un illecito controllo a distanza sull’operato dei lavoratori, oltre a rappresentare un trattamento non autorizzato di dati personali riguardanti soggetti particolarmente vulnerabili (minori).
In aggiunta, il cartello di avvertimento relativo alla videosorveglianza non ha informato correttamente sulla modalità di trattamento dei dati né sulle modalità di accesso all’informativa estesa. Anche i lavoratori non hanno ricevuto un’informativa adeguata sul trattamento dei propri dati personali.
Mancata valutazione d’impatto
L’asilo ha trattato i dati personali dei minori e del personale in assenza di una preliminare valutazione d’impatto sulla protezione dei dati (DPIA), necessaria considerando la particolare vulnerabilità degli interessati e la presenza della videosorveglianza.
DPO non individuato correttamente
L’asilo ha assegnato l’incarico di Responsabile della Protezione dei Dati (DPO) a un soggetto che si trovava in posizione di conflitto di interessi, in ragione del proprio ruolo di dirigente e legale rappresentate, pertanto la nomina non è stata comunicata all’Autorità e ai soggetti interessati nei modi previsti dalla legge.
Conclusione? Attenzione al trattamento di immagini di minori
In considerazione di quanto accaduto presso l’asilo nido, riteniamo fondamentale prestare particolare attenzione alla natura dei dati personali trattati e garantire che il consenso raccolto sia effettivamente valido e conforme alla normativa vigente, prima di avviare qualsiasi attività di trattamento, al fine di evitare possibili violazioni in materia di protezione dei dati.
Seguono alcune buone pratiche che emergono dalla vicenda:
- In caso di interessati minori, è necessaria la redazione di un’informativa che richieda il consenso da parte di entrambi i genitori e garantisca la possibilità di negarlo.
- Le immagini possono essere pubblicate solo con esplicito e informato consenso e non devono ledere la dignità dell’interessato. Il minore, in quanto soggetto particolarmente vulnerabile, necessita di una tutela rafforzata. Le immagini effettuate dall’asilo avrebbero potuto essere rese anonime, ad esempio ritraendo i bambini di spalle, mostrando solo dettagli non identificabili o oscurando i volti.
- I sistemi di videosorveglianza devono essere predisposti rispettando i principi di necessità e proporzionalità, ricorrendo all’installazione nei soli casi in cui non è possibile utilizzare altre modalità o misure, nonché gli obblighi di comunicazione a ITL o di accordo sindacale.
- Il DPO deve essere nominato secondo i criteri stabiliti dalla legge.
L’Ufficio Privacy GDPR di CNA Reggio Emilia è a disposizione per supportare i propri associati per l’adeguamento alla normativa sulla privacy anche in casi complessi come questo.
Per qualsiasi informazione puoi contattare il nostro ufficio ai seguenti contatti: gdpr@cnare.it – 0522 356340
