Il Garante per la protezione dei dati personali, con provvedimento del 29 gennaio 2026, ha sanzionato una Università per 50.000 euro per avere trattato illecitamente i dati biometrici di numerosi partecipanti ai corsi online di abilitazione all’insegnamento. L’Ateneo utilizzava un sistema di riconoscimento facciale per verificare identità e presenza durante le lezioni, fondato sulla creazione di modelli biometrici a partire dall’immagine del volto e dal documento di identità degli studenti.

L’Autorità ha rilevato l’assenza di una base giuridica idonea a giustificare l’impiego di tecnologie biometriche, che, in quanto riferite a categorie particolari di dati, richiedono presupposti rigorosi e garanzie rafforzate, anche alla luce della disponibilità di soluzioni alternative meno invasive per il controllo delle presenze. È emersa, inoltre, la mancata effettuazione di una valutazione d’impatto sulla protezione dei dati (DPIA) prima dell’attivazione del sistema, nonostante il numero molto elevato di interessati coinvolti – oltre 450 corsisti per lezione.

Nel corso dell’istruttoria il sistema è rimasto parzialmente in uso, con correttivi ritenuti comunque inadeguati, fino alla sua definitiva disattivazione. Nel determinare l’importo della sanzione, il Garante ha tenuto conto, in senso attenuante, della collaborazione prestata dall’università e dell’interruzione spontanea del trattamento.