Un caso giuridico di grande impatto sta facendo discutere giuristi, dirigenti scolastici e operatori del diritto digitale. E’ il provvedimento n. 725 del 27 novembre 2025 adottato dal Garante per la protezione dei dati personali (GPDP).
Il Garante ha sanzionato una scuola per diffusione illecita di dati personali a seguito di un reclamo presentato dai genitori di una studentessa minorenne. Secondo quanto emerge, la scuola aveva pubblicato sui social un video promozionale in cui la studentessa appariva mentre suonava il pianoforte nell’ambito di un’attività didattica. La scuola aveva ritenuto di non dover acquisire alcuna autorizzazione scritta, perché la giovane era ripresa di spalle.
Il cuore giuridico del ragionamento del Garante è che l’identificazione di una persona non dipende solo dall’esposizione del volto, ma può derivare da elementi di contesto, ambienti riconoscibili, abiti, situazioni, che rendono l’interessato identificabile e per l’effetto la pubblicazione costituisce trattamento di dati personali soggetto alle regole del GDPR e del Codice privacy.
Il citato principio è un punto di svolta nelle pratiche quotidiane delle scuole e delle organizzazioni che intendono raccontare la propria attività online, atteso che non è più possibile affidarsi a una difesa basata sulla semplice assenza di volto frontale. Il contesto può bastare.
Sotto il profilo giuridico, il provvedimento si basa sui principi cardine del Regolamento UE 2016/679 (GDPR): liceità, trasparenza, minimizzazione dei dati, e in particolare sulla necessità di una base giuridica valida per pubblicare contenuti che possano identificare persone fisiche. La pubblicazione di contenuti che consentono l’identificazione, anche indiretta, richiede un titolo giuridico valido tra cui il consenso liberamente prestato, quando non vi siano altre basi applicabili con pari legittimità.
Quali errori ha commesso la scuola?
La scuola — dal punto di vista giuridico — ha sottovalutato tre aspetti essenziali: l’assenza di consenso informato valido Il consenso dei genitori non era acquisito o preesistente alla pubblicazione, e comunque non risultava che fosse specifico, informato e libero; l’errata valutazione dell’identificabilità. Interpretare la mancanza di volto frontale come elemento sufficiente per escludere riconoscibilità è una semplificazione giuridica che il Garante rigetta esplicitamente; la finalità e proporzionalità. La diffusione di immagini per promuovere iscrizioni e attività istituzionali non esime dalla rigorosa valutazione di privacy-by-design e privacy-by-default; le finalità non sostituiscono la base giuridica.
In conclusione, il provvedimento merita attenzione perché supera il perimetro del caso concreto e intercetta una questione sistemica. Non riguarda solo una scuola, ma chiunque produca e diffonda contenuti online (istituti, associazioni, imprese, enti pubblici).
In un contesto in cui la comunicazione passa sempre più attraverso video e storytelling social, l’Autorità chiarisce tre punti essenziali: l’identificabilità indiretta integra a pieno titolo un trattamento di dati personali; la diffusione sui social costituisce una forma di comunicazione potenzialmente idonea a generare responsabilità amministrativa; ogni titolare è tenuto a strutturare un sistema di compliance GDPR effettivo e documentato prima della pubblicazione, non dopo.
Viene ribadito che la narrazione digitale non è uno spazio neutro. È un’attività regolata, che richiede consapevolezza giuridica, valutazione preventiva e accountability concreta.
Avv. Simona Maruccio
Giornalista pubblicista, opera da molti anni nel settore della compliance aziendale, del marketing e della comunicazione.