Foto agli eventi dell'associazione: quando serve la liberatoria e cosa cambia con i minori

Una foto della sagra è davvero un dato personale?

Sì, quando il volto di una persona è riconoscibile. Il GDPR definisce dato personale qualsiasi informazione che riguarda una persona identificata o identificabile (art. 4, n. 1), e un viso in una fotografia rientra pienamente nella definizione. Pubblicare quella foto sulla pagina Facebook dell'associazione, sul sito o in una newsletter è quindi un trattamento di dati personali, e l'associazione ne è il titolare.

Questo non significa che ogni scatto richieda un modulo firmato. Significa che bisogna sapere su quale base si pubblica, e che questa base cambia a seconda di che cosa si fotografa e di come si usa l'immagine. Per i tre casi più comuni — la foto di gruppo, il ritratto in primo piano, la foto con bambini — la risposta non è la stessa.

C'è poi un secondo piano, distinto dalla privacy: il diritto all'immagine. L'art. 10 del codice civile protegge dall'uso dell'immagine altrui fuori dai casi consentiti, e l'art. 96 della legge sul diritto d'autore (L. 633/1941) stabilisce che il ritratto di una persona non può essere esposto, riprodotto o messo in commercio senza il suo consenso. Le due discipline si sovrappongono ma non coincidono: rispettare una non basta a considerarsi a posto con l'altra.

Quando non serve alcun consenso?

Le eccezioni vanno lette con prudenza, perché sono più strette di quanto si creda.

Le foto scattate dai partecipanti per uso personale. Il GDPR non si applica al trattamento effettuato da una persona fisica per attività «a carattere esclusivamente personale o domestico» (art. 2, par. 2, lett. c). Il genitore che scatta una foto alla recita del figlio e la tiene per sé o la manda ai nonni non ha bisogno di nulla. Le cose cambiano quando la foto viene diffusa in modo ampio, per esempio pubblicata su un profilo aperto.

Le foto che l'associazione scatta e pubblica. Qui l'eccezione personale non vale più: l'associazione è un ente che agisce per finalità proprie, e si applicano le regole ordinarie. Resta da capire quale base usare.

Il richiamo all'art. 97 della L. 633/1941. La norma elenca i casi in cui non occorre il consenso della persona ritratta: notorietà o ufficio pubblico ricoperto, necessità di giustizia o di polizia, scopi scientifici, didattici o culturali, e «fatti, avvenimenti, cerimonie di interesse pubblico o svoltisi in pubblico». Anche in questi casi il ritratto non può essere esposto o messo in commercio se reca pregiudizio all'onore, alla reputazione o al decoro della persona.

È la formula «svoltisi in pubblico» quella che si cita più spesso a proposito di sagre e piazze. Ma attenzione a cosa dice e a cosa non dice: riguarda il consenso al ritratto nel senso della legge sul diritto d'autore, non il rispetto del GDPR. Un evento aperto a tutti non cancella l'obbligo di informare le persone, né il loro diritto di opporsi.

Consenso o legittimo interesse: quale base usare?

Il GDPR (art. 6) prevede più basi giuridiche. Per le foto di un'associazione ne entrano in gioco due.

Il consenso (art. 6, par. 1, lett. a). È la scelta più lineare quando la persona è ritratta in primo piano, quando la foto ha un uso promozionale, o quando si tratta di un minore. Deve essere libero, specifico, informato e inequivocabile, e revocabile in qualsiasi momento (art. 7, par. 3). La revoca non rende illecito quanto pubblicato prima, ma da quel momento la foto va rimossa.

Il legittimo interesse (art. 6, par. 1, lett. f). Può reggere per le immagini di contesto — una veduta dello stand, una panoramica della piazza — dove nessuno è il soggetto della foto. Richiede però di bilanciare l'interesse dell'associazione con i diritti delle persone ritratte e di dare comunque l'informativa. Chi si oppone (art. 21) deve essere accontentato, a meno che l'associazione non dimostri motivi prevalenti: in pratica, per una foto di sagra, difficilmente li avrà.

Su questo punto le letture divergono. C'è chi sostiene che per gli eventi pubblici l'informativa affissa all'ingresso e la possibilità di dire «non voglio essere fotografato» siano sufficienti, e chi ritiene che per la pubblicazione sui social serva comunque il consenso esplicito, soprattutto se la persona è riconoscibile e in primo piano. La via prudente — e quella che vi mette al riparo dalla discussione — è usare il consenso per i primi piani e i minori, e tenere la sola informativa per le inquadrature d'insieme.

Come si dà l'informativa a un evento?

L'informativa (art. 13 GDPR) deve dire chi è il titolare, perché si scattano le foto, dove saranno pubblicate, per quanto tempo e come si esercitano i propri diritti. Negli eventi, in pratica, funziona un doppio livello:

• un cartello all'ingresso o alla cassa, breve e leggibile, che avvisa che durante la manifestazione vengono scattate foto e video destinati alla pagina social e al sito dell'associazione;
• un testo esteso consultabile (sul sito, o stampato al banco), che completa le informazioni;
• un referente riconoscibile, a cui chi non vuole comparire può rivolgersi.

Il cartello da solo informa, ma non sostituisce il consenso dove questo serve. Se fate un ritratto a un volontario e lo mettete sulla locandina del prossimo anno, la persona deve averlo accettato.

E per i minori?

È il punto più delicato, ed è quello su cui le associazioni sbagliano più spesso.

Il Codice privacy (art. 2-quinquies) fissa a quattordici anni l'età a cui il minore può dare da solo il consenso al trattamento dei suoi dati per i servizi della società dell'informazione offerti direttamente a lui; sotto i quattordici anni serve il consenso di chi esercita la responsabilità genitoriale. La norma parla di servizi online, e non è scritta per le foto di un evento: estenderla alla pubblicazione di immagini è un'applicazione per analogia che molti operatori seguono come criterio prudenziale, ma che resta un'interpretazione. Per questo conviene non fare affidamento sul consenso del solo quindicenne se la foto ha un uso promozionale, e preferire il consenso congiunto del ragazzo e del genitore.

Per i bambini sotto i quattordici anni le regole pratiche sono più nette:

• consenso scritto del genitore, specifico per l'evento o per l'attività, non una firma unica «per sempre» raccolta al momento dell'iscrizione;
• nelle foto di gruppo, mostrare solo chi ha il consenso; per gli altri, inquadrature che non li rendano riconoscibili. Una pixelatura che lascia ancora riconoscere il volto non basta;
• per le attività religiose o con caratteri particolari, ricordare che l'immagine può rivelare dati di categorie particolari (art. 9 GDPR), per esempio le convinzioni religiose, con una tutela più alta.

Qui c'è una seconda divergenza. Quando i genitori sono separati, ci si chiede se basti la firma di uno o servano entrambe. Una parte della giurisprudenza e delle indicazioni di settore tende a considerare la pubblicazione dell'immagine di un minore una decisione di particolare importanza, per la quale è opportuno il consenso di entrambi; chi firma da solo dovrebbe dichiarare di avere l'accordo dell'altro. Nel dubbio, in una controversia tra genitori, non pubblicate.

Se l'associazione lavora con i minori anche come volontari, leggete anche volontari minorenni: età, consenso e assicurazione, che affronta un altro tema (l'attività, non le immagini) ma vi riguarda negli stessi casi.

Che cosa deve contenere una liberatoria fatta bene?

Non esiste un modello obbligatorio. Una liberatoria utile, però, risponde a poche domande precise:

1. Chi chiede il consenso (denominazione dell'associazione e contatto).
2. Per quale evento o attività, e per quanto tempo vale.
3. Dove saranno usate le immagini: pagina social, sito, newsletter, materiale stampato.
4. Per quali scopi: documentare l'attività, promuovere l'associazione, rendicontare ai finanziatori.
5. Come si revoca il consenso, con un indirizzo di posta o un referente.
6. La firma dell'interessato o, per il minore, di chi esercita la responsabilità genitoriale.

Due errori ricorrenti: la liberatoria generica infilata nel modulo di iscrizione insieme ad altre autorizzazioni, e il consenso «a tutto» senza distinguere i canali. Come già scritto per i dati di soci e volontari, le autorizzazioni facoltative vanno separate da quelle necessarie, con caselle distinte.

Che cosa fate quando qualcuno chiede di togliere una foto?

Se la persona ha dato il consenso, può revocarlo in ogni momento e l'associazione deve smettere di usare l'immagine. Se invece la base era il legittimo interesse, può opporsi (art. 21). In entrambi i casi la persona può anche chiedere la cancellazione (art. 17).

In pratica:

• rimuovete la foto dai canali che controllate (sito, pagina social, newsletter archiviata);
• se la foto è stata condivisa da altri, non potete cancellarla da profili che non gestite, ma potete chiedere la rimozione;
• tenete traccia della richiesta e della risposta, con la data;
• se l'immagine è nel materiale stampato già distribuito, spiegatelo con chiarezza: non si può ritirare ciò che è già in giro, ma non lo si ristampa.

La revoca non ha effetto retroattivo: non rende illecita la pubblicazione fatta quando il consenso era valido.

Una procedura breve per la prossima manifestazione

Prima dell'evento: decidete chi scatta le foto e dove le pubblicherete, preparate cartello e informativa estesa, raccogliete le liberatorie dei minori e dei volontari che saranno in primo piano. Se l'evento comporta anche musica o altri obblighi, controllate l'articolo su musica ed eventi e diritti SIAE e quello su come organizzare una sagra.

Durante l'evento: un referente raccoglie le richieste di chi non vuole comparire; i fotografi sanno quali minori non vanno ripresi.

Dopo l'evento: scegliete le immagini da pubblicare, escludete quelle in cui compare chi ha negato il consenso, evitate foto che possano ledere il decoro delle persone (art. 97 della L. 633/1941), e conservate le liberatorie insieme al resto dei documenti dell'evento.

Nella gestione delle liberatorie e degli eventi vi può essere utile la pagina Eventi, dove trovate come si organizza il lavoro attorno a una manifestazione.

Dove la norma non dà una risposta sicura

Tre punti restano aperti, e li segnaliamo perché altrove sono presentati come certi:

• L'evento «svoltosi in pubblico» esonera dal consenso al ritratto (art. 97 L. 633/1941) ma non dagli obblighi del GDPR: le due norme operano su piani diversi, e si dà troppo spesso per scontato il contrario.
• L'età per il consenso sulle immagini: i quattordici anni sono scritti per i servizi online. L'estensione alle foto è un criterio condiviso nella prassi, non un testo di legge.
• I genitori separati: non c'è una regola scritta; la prudenza consiglia di avere il consenso di entrambi per la diffusione sui social.

Questo articolo riporta ciò che prevedono le norme citate e non sostituisce un parere legale: se l'associazione ha un caso concreto, un contenzioso tra genitori o una richiesta del Garante, serve un professionista.