È un documento che informa chi viene ritratto in foto o video su come, perché e dove verranno utilizzate le sue immagini, in conformità al GDPR. Indica chi è il titolare del trattamento, la base giuridica (di solito il consenso, talvolta l’interesse legittimo nei casi consentiti), le finalità, i canali di diffusione, i tempi di conservazione, l’eventuale condivisione con terzi e i diritti dell’interessato, inclusa la revoca del consenso. Serve a garantire trasparenza e tutela delle persone ritratte, oltre a ridurre rischi legali per chi utilizza le immagini. Spesso accompagna la liberatoria, che raccoglie il consenso all’uso dell’immagine; per i minori è necessario l’assenso dei genitori o di chi ne fa le veci.
Come scrivere Informativa privacy utilizzo immagini
Un’informativa privacy per l’utilizzo di immagini deve spiegare in modo chiaro chi è il titolare del trattamento, come contattarlo e, se nominato, come raggiungere il DPO. Deve illustrare in modo specifico perché vengono trattate le immagini e su quale base giuridica, distinguendo i casi più frequenti: il consenso esplicito per finalità promozionali e divulgative, l’esecuzione di un contratto quando l’immagine è parte della prestazione (ad esempio ingaggi di modelli o testimonial), il legittimo interesse per la documentazione di eventi con cautele e bilanciamento, l’adempimento di obblighi di legge o la sicurezza per videosorveglianza, o l’esecuzione di compiti di interesse pubblico, come archiviazione storica o finalità giornalistiche e artistiche che seguono regimi particolari. Deve indicare se il conferimento è obbligatorio o facoltativo e quali sono le conseguenze del rifiuto, chiarendo che l’eventuale diniego del consenso alla pubblicazione non pregiudica la partecipazione a un evento salvo i trattamenti strettamente necessari.
È necessario descrivere quali dati vengono raccolti oltre alla mera immagine, includendo eventuali video, audio, didascalie, tag, geolocalizzazione ed elementi ricavabili dai metadati (per esempio EXIF), nonché informazioni contestuali che possono rivelare aspetti sensibili come convinzioni religiose, opinioni politiche, salute o appartenenza sindacale se desumibili dalla scena. Se le immagini sono elaborate per creare o utilizzare dati biometrici ai fini dell’identificazione univoca, occorre dirlo esplicitamente e indicare la base giuridica applicabile con le ulteriori garanzie previste per le categorie particolari di dati. Deve essere precisata la provenienza dei dati quando non sono raccolti direttamente dall’interessato, come nel caso di fotografie scattate da terzi o reperite da fonti pubbliche, specificando le categorie di fonti e il periodo di tempo entro cui l’informativa viene resa.
Vanno descritte le modalità del trattamento, comprese le fasi di selezione, editing, ritaglio, applicazione di filtri o watermark, pseudonimizzazione o offuscamento di volti su richiesta, rimozione dei metadati, e ogni automatismo usato per classificare, etichettare o riconoscere soggetti. Se avvengono decisioni automatizzate o profilazioni basate sulle immagini, devono essere spiegate la logica, l’importanza e le conseguenze per l’interessato. È opportuno indicare chiaramente dove e come le immagini saranno diffuse: siti web, brochure, report, canali social, piattaforme di condivisione, intranet, streaming in diretta, comunicati stampa, e specificare che, in caso di pubblicazione online, la distribuzione può diventare potenzialmente globale e che non è sempre possibile garantire la completa rimozione dei contenuti già condivisi o indicizzati da terzi. Se si utilizzano piattaforme di terze parti, bisogna chiarire che esse operano come contitolari o autonomi titolari nei limiti dei rispettivi trattamenti e rinviare alle loro informative; in caso di iniziative congiunte o pagine gestite insieme a piattaforme, è necessario spiegare gli accordi di contitolarità e le responsabilità reciproche.
L’informativa deve elencare i destinatari o le categorie di destinatari ai quali le immagini possono essere comunicate, come fotografi professionisti e videomaker in qualità di responsabili del trattamento, agenzie creative, uffici stampa, partner di progetto e fornitori di hosting e cloud, precisando che operano sulla base di istruzioni contrattuali e misure di sicurezza adeguate. Se sono previsti trasferimenti verso paesi extra UE, occorre indicare il meccanismo di trasferimento adottato, come decisioni di adeguatezza, clausole contrattuali standard o altre garanzie, e come ottenere una copia di tali misure. È importante descrivere le tempistiche di conservazione con criteri verificabili, distinguendo, ad esempio, i tempi brevissimi tipici della videosorveglianza dalle durate più ampie per archivi storici, e spiegare quando le immagini vengono cancellate, anonimizzate o archiviate per finalità di interesse pubblico. Devono essere sintetizzate le misure di sicurezza fisiche, tecniche e organizzative, come controlli di accesso, cifratura, ambienti separati per bozza e pubblicazione, registri di accesso e procedure di gestione delle richieste di rimozione.
I diritti degli interessati devono essere esplicitati in modo pratico, indicando come esercitare accesso, rettifica, cancellazione, limitazione, opposizione per trattamenti basati su legittimo interesse, portabilità quando pertinente, e revoca del consenso senza effetti retroattivi sulla liceità del trattamento già eseguito. Devono essere chiarite le modalità operative per chiedere la rimozione di un contenuto pubblicato, i tempi di risposta e le eccezioni previste dalla legge, come nei casi di libertà di espressione e informazione. Va indicato il diritto di proporre reclamo al Garante per la protezione dei dati personali con i recapiti aggiornati. Nel caso di eventi aperti al pubblico è utile segnalare, anche sul posto con un’informativa breve, che sono in corso riprese e fotografie, spiegando come farsi identificare per non essere ripresi in primo piano o come richiedere l’esclusione da scatti posati, distinguendo tra inquadrature di contesto, in cui la riconoscibilità è incidentale, e ritratti individuali, per i quali in genere è richiesto il consenso informato.
Quando sono coinvolti minori, bisogna descrivere con chiarezza le cautele aggiuntive, richiedere il consenso di chi esercita la responsabilità genitoriale per le finalità non strettamente necessarie e indicare canali dedicati per la gestione rapida di richieste di rimozione, evitando di pubblicare informazioni che possano facilitarne l’identificazione o il contatto. Per i soggetti ripresi in contesti che rivelano dati particolarmente sensibili è opportuno spiegare che la pubblicazione avverrà solo con specifico consenso esplicito o tramite tecniche di anonimizzazione efficaci. In Italia occorre anche chiarire il rapporto tra protezione dei dati personali e diritto all’immagine ai sensi del codice civile e della legge sul diritto d’autore, evidenziando che l’autorizzazione allo sfruttamento dell’immagine può essere distinta dal consenso al trattamento dei dati e che entrambe le basi devono essere rispettate quando necessario.
Infine è consigliabile adottare un’informativa multilivello, rendere facilmente accessibili versioni aggiornate e registrare le prove dei consensi e delle opposizioni, spiegando come verranno gestiti gli aggiornamenti, come si verrà informati di cambi di finalità e come sarà ottenuto un nuovo consenso quando richiesto. Un buon documento deve essere comprensibile, privo di tecnicismi superflui, disponibile nei luoghi e nei momenti in cui avviene la raccolta delle immagini e coerente con le pratiche effettive dell’organizzazione, in modo da garantire trasparenza, controllo da parte degli interessati e conformità al GDPR.
Esempio Informativa privacy utilizzo immagini
Ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (“GDPR”) e della normativa nazionale applicabile, si forniscono le seguenti informazioni sul trattamento di dati personali costituiti da immagini, riprese video e audio degli interessati.
Titolare del trattamento
– Denominazione/Ragione sociale: _______________
– Sede legale: _______________
– Codice fiscale/P. IVA: _______________
– Contatti (telefono): _______________
– Contatti (e-mail/PEC): _______________
– Sito web: _______________
Data Protection Officer (se nominato)
– Nome e cognome/Denominazione: _______________
– Contatti: _______________
Categorie di dati trattati
– Immagini fotografiche e riprese video raffiguranti l’interessato.
– Registrazioni audio della voce dell’interessato, ove previste.
– Metadati tecnici connessi ai file (es. data, luogo, dispositivo), se rilevati.
Finalità del trattamento e basi giuridiche
– Produzione di contenuti informativi, istituzionali e promozionali (pubblicazione su sito, social media, materiali digitali e cartacei): base giuridica consenso dell’interessato (art. 6.1.a GDPR).
– Documentazione di eventi, attività e progetti, inclusa comunicazione interna e rendicontazione: base giuridica legittimo interesse del Titolare (art. 6.1.f GDPR), nel rispetto dei diritti e delle libertà degli interessati; ove la diffusione implichi promozione verso il pubblico, si richiede consenso.
– Archiviazione storica e di interesse pubblico/istituzionale: base giuridica legittimo interesse (art. 6.1.f GDPR).
– Tutela dei diritti del Titolare (accertamento, esercizio o difesa di un diritto): base giuridica legittimo interesse (art. 6.1.f GDPR).
– Adempimenti di obblighi di legge o regolamentari connessi a iniziative finanziate/patrocinate: base giuridica obbligo legale (art. 6.1.c GDPR), limitatamente a quanto necessario e senza diffusione non autorizzata.
Modalità del trattamento
– Trattamento effettuato con strumenti digitali e/o analogici, adottando misure tecniche e organizzative adeguate a garantire sicurezza, riservatezza e integrità dei dati.
– Le immagini potranno essere oggetto di selezione, editing, ridimensionamento, ritaglio e impaginazione, nel rispetto del decoro e della dignità dell’interessato.
– Potrà essere effettuata pubblicazione su canali online e offline indicati nella presente informativa e/o nel modulo di consenso.
Ambito di comunicazione e destinatari
– Personale e collaboratori del Titolare, specificamente autorizzati al trattamento.
– Fornitori e soggetti esterni che agiscono quali Responsabili del trattamento (es. fotografi, videomaker, agenzie di comunicazione, tipografie, provider IT, piattaforme di e-mail marketing, social media management), debitamente nominati ai sensi dell’art. 28 GDPR.
– Soggetti terzi per obblighi di legge o ordini dell’autorità.
– Diffusione al pubblico mediante pubblicazione su: sito web istituzionale _______________, profili/pagine social _______________, canali video _______________, materiali promozionali/cartacei _______________, comunicati e media _______________, nei limiti del consenso prestato o dei legittimi interessi indicati.
Trasferimenti di dati verso Paesi terzi
– L’eventuale pubblicazione su piattaforme e social network con server ubicati al di fuori dello Spazio Economico Europeo può comportare trasferimenti verso Paesi terzi.
– In tali casi, il trasferimento avverrà nel rispetto del Capo V del GDPR (es. decisioni di adeguatezza, Clausole Contrattuali Standard), ove applicabile. Elenco piattaforme: _______________. Informazioni sui trasferimenti e sulle garanzie adottate sono disponibili qui: _______________.
Periodo di conservazione
– Contenuti non pubblicati: per un periodo massimo di _______________ dalla raccolta, salvo necessità di ulteriore conservazione per tutela diritti.
– Contenuti pubblicati a fini informativi/promozionali: fino a revoca del consenso e, successivamente, per il tempo tecnico necessario alla rimozione dai canali controllati dal Titolare.
– Archivio storico/istituzionale: per _______________ ovvero fino a esaurimento delle finalità di documentazione, con riesame periodico.
– Copie di backup: secondo i cicli tecnici di conservazione _______________.
Natura del conferimento
– Il conferimento è facoltativo. Il mancato consenso alla diffusione non pregiudica l’accesso a servizi/eventi, salvo i casi in cui l’immagine sia tecnicamente indispensabile per la fruizione del servizio o per obbligo di legge. In assenza di consenso, potranno essere previste aree non riprese o accorgimenti per evitare l’inquadramento.
Minori
– Per i minori di 18 anni è richiesto il consenso di chi esercita la responsabilità genitoriale/tutela. Il Titolare adotta misure organizzative per evitare la diffusione dell’immagine di minori privi di idonea autorizzazione.
Diritti dell’interessato
– Diritto di accesso, rettifica, cancellazione, limitazione, portabilità (ove applicabile), opposizione al trattamento e alla diffusione.
– Diritto di revocare in qualsiasi momento il consenso senza pregiudicare la liceità del trattamento basata sul consenso prima della revoca.
– Diritto di proporre reclamo all’Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it) o all’autorità di controllo competente.
Modalità di esercizio dei diritti e contatti
– Per esercitare i diritti e/o revocare il consenso: inviare richiesta a _______________ (e-mail/PEC) o scrivere a _______________ (indirizzo postale), specificando “Privacy – Immagini”.
– Il Titolare risponderà entro 30 giorni, salvo proroghe nei casi previsti dal GDPR.
Processi decisionali automatizzati
– Non sono effettuati trattamenti che comportano decisioni basate unicamente su trattamenti automatizzati, inclusa la profilazione, con effetti giuridici sull’interessato.
Informative in loco per eventi e aree riprese
– In occasione di eventi e nelle aree soggette a riprese, saranno esposti avvisi informativi brevi con icone/pittogrammi e rimando alla presente informativa completa tramite QR code o link: _______________.
– Potranno essere predisposte zone “no foto/no video” ove possibile.
Misure di sicurezza
– Controlli di accesso e autorizzazioni per il personale.
– Cifratura/ pseudonimizzazione ove tecnicamente appropriato.
– Policy di retention e procedure di rimozione dai canali del Titolare a seguito di revoca, nei limiti tecnici dei singoli canali.
Responsabili del trattamento e elenco aggiornato dei destinatari
– Elenco disponibile su richiesta all’indirizzo: _______________.
Aggiornamenti dell’informativa
– La presente informativa può essere soggetta ad aggiornamenti. Data di ultimo aggiornamento: _______________.
– Versione: _______________.
Sezione per la raccolta del consenso all’uso e alla diffusione dell’immagine (facoltativa)
– Dichiaro di aver letto l’informativa privacy relativa all’uso di immagini.
– Io sottoscritto/a _______________ nato/a il _______________ a _______________, residente in _______________, documento n. _______________ rilasciato da _______________ il _______________, tel. _______________, e-mail _______________.
– In qualità di:
– [ ] Interessato/a
– [ ] Esercente la responsabilità genitoriale/tutore di _______________ nato/a il _______________
– Presto il consenso alla:
– [ ] Ripresa (foto/video/audio) della mia immagine/voce
– [ ] Pubblicazione su sito web del Titolare: _______________
– [ ] Pubblicazione su profili/pagine social del Titolare: _______________
– [ ] Utilizzo in materiali promozionali/cartacei (brochure, manifesti, report)
– [ ] Comunicazione a media/press e canali terzi: _______________
– Ambito territoriale: _______________
– Durata del consenso: _______________ (in mancanza, fino a revoca)
– Limitazioni/condizioni (es. anonimizzazione, esclusione primo piano, esclusione minori): _______________
– Dichiaro di essere informato/a sulla possibilità di revocare il consenso in qualsiasi momento scrivendo a _______________ e sulla possibile permanenza di copie/ri-condivisioni su canali non controllati dal Titolare.
Luogo e data: _______________
Firma leggibile: _______________
Firma di chi esercita la responsabilità genitoriale/tutore (se minore): _______________