Sei sul lettino, il trattamento è appena iniziato e l’operatrice prende il tablet: “Facciamo una foto del prima”. Può fotografarti così, perché hai già firmato i moduli? Non automaticamente. La Cassazione, con l’ordinanza n. 25117/2026, chiarisce che la fotografia del cliente è un dato personale: per raccoglierla e utilizzarla il centro deve avere una base giuridica prevista dal GDPR. Se si affida al consenso, deve provarne la validità; se sostiene che la foto serve al trattamento, deve dimostrarne la necessità.
Indice
Quando il centro estetico può fare le foto del trattamento?
Le foto del “prima e dopo” rientrano nella disciplina privacy perché l’immagine del cliente è un dato personale. Per scattarla, conservarla o utilizzarla il centro estetico deve ricondurre quel trattamento a una delle condizioni di liceità previste dall’art. 6 GDPR. Nel caso arrivato in Cassazione venivano in rilievo il consenso della cliente e, in alternativa, la necessità della fotografia per eseguire il contratto.
Il centro aveva distinto gli scatti destinati al marketing dalle fotografie utilizzate per documentare andamento ed esito del trattamento estetico. Ma quelle immagini servivano davvero a eseguire la prestazione acquistata? La Cassazione ha accolto la censura perché il Tribunale aveva escluso l’illiceità degli scatti senza verificare proprio la loro “necessità” rispetto al contratto.
“Utile al centro non vuol dire necessaria al trattamento”.
Il centro può usare le immagini per confrontare i risultati, aggiornare la scheda della cliente o seguire nel tempo l’evoluzione del percorso estetico. Per applicare l’art. 6, par. 1, lett. b), serve però un rapporto diretto con la prestazione acquistata: la fotografia deve concorrere realmente alla sua esecuzione.
Se lo scatto è accessorio e il centro sceglie di fondarlo sul consenso, la cliente deve poter decidere realmente se farsi fotografare. L’art. 7, par. 4, GDPR impone di valutare con particolare attenzione proprio l’ipotesi in cui il servizio venga subordinato al consenso per un trattamento di dati che non serve alla sua esecuzione. La Cassazione richiama questa regola per evitare che una scelta solo formalmente facoltativa diventi, nella pratica, obbligata.
Ho firmato il modulo del centro estetico: significa che ho autorizzato le foto?
“La firma vale per il consenso che esprime, non per qualsiasi fotografia o utilizzo dell’immagine.”
Se il centro estetico fonda il trattamento delle foto sul consenso, deve poter dimostrare che la cliente abbia espresso una volontà libera. Sono i requisiti dell’art. 4, punto 11, GDPR; l’art. 7 aggiunge che la prova del consenso grava sul titolare del trattamento.
Nel contratto esaminato dalla Cassazione la cliente non aveva sottoscritto una liberatoria che comprendeva la realizzazione, l’uso, la riproduzione e la pubblicazione delle immagini. Nel “piano dei trattamenti”, invece, risultava una firma relativa a scatti fotografici destinati a documentare andamento ed esito dei servizi estetici. Il Tribunale aveva ricavato proprio da questa differenza la consapevolezza della scelta, il rifiuto in un punto e la firma nell’altro dimostravano, secondo il giudice, che la cliente sapesse quali fotografie stava autorizzando.
Per la Cassazione, però, quelle due determinazioni avevano al più un valore neutro e non decisivo. Dopo il rifiuto della liberatoria, spettava al titolare dimostrare l’autonoma giustificazione della nuova richiesta di consenso contenuta nel piano dei trattamenti e la sua conformità alle condizioni previste dal GDPR. La seconda firma, quindi, non poteva essere letta automaticamente come prova di un consenso consapevole solo perché collocata accanto a un precedente “no”.
“Dire ‘no’ in un modulo e firmarne un altro non significa aver cambiato idea su tutto”.
Il consenso deve riferirsi a un trattamento preciso:
- specifico significa riferito a una finalità individuata;
- informato significa che la cliente deve sapere perché vengono raccolte le immagini e come saranno utilizzate;
- inequivocabile richiede un assenso riconoscibile;
- libero esclude una scelta ottenuta attraverso un condizionamento.
La verifica va fatta in concreto e, se il centro si fonda sul consenso, spetta al centro provarne la validità. Quando il consenso alle fotografie è inserito in un documento che disciplina anche altri aspetti del rapporto, l’art. 7 GDPR richiede che la richiesta sia chiaramente distinguibile dalle altre materie, comprensibile, facilmente accessibile e formulata in linguaggio semplice e chiaro. Nel caso deciso dalla Corte, il consenso agli scatti era collocato proprio nel “piano dei trattamenti”: la firma apposta sul documento non esonerava quindi il giudice dal verificare come quella richiesta fosse stata presentata alla cliente.
Nei moduli vanno quindi cercate tre cose: dove compare il consenso alle fotografie, che cosa autorizza e per quale finalità. Una clausola relativa agli scatti per documentare l’esito del trattamento ha un contenuto diverso da una liberatoria più ampia sulla realizzazione, l’uso, la riproduzione o la pubblicazione delle immagini. La Cassazione impone di verificare quale consenso sia stato realmente raccolto e se il centro sia in grado di provarlo.
Se la foto è già stata scattata, posso farla cancellare e chiedere un risarcimento?
Revocare il consenso e ottenere la cancellazione sono due cose diverse. L’art. 7, par. 3, GDPR consente di ritirare in qualsiasi momento il consenso già prestato, senza rendere illecito ciò che era stato fatto legittimamente prima della revoca. L’art. 17 disciplina invece la cancellazione dei dati: può essere chiesta, tra l’altro, quando vengono meno le ragioni per conservarli, quando il consenso viene revocato e manca un’altra base giuridica oppure quando il trattamento è illecito.
La cliente nel caso de quo aveva chiesto l’eliminazione immediata delle fotografie. Tornata nel centro alcuni giorni dopo, aveva scoperto che le immagini erano ancora recuperabili perché spostate soltanto nel “cestino” del tablet. La Corte non ha stabilito che quella permanenza costituisse già, di per sé, una violazione del GDPR, il Tribunale dovrà riesaminare anche questo profilo dopo avere rivalutato la liceità dell’acquisizione delle foto.
Se la stessa immagine finisce sul sito del centro, in una story, in un post o nella pubblicità del “prima e dopo”, entra in campo anche il diritto all’immagine.
“L’art. 10 c.c. e gli artt. 96 e 97 della legge sul diritto d’autore impongono di verificare se quell’esposizione o pubblicazione sia consentita”.
Un’autorizzazione riferita alla documentazione del trattamento va letta per ciò che copre realmente: l’eventuale diffusione promozionale della fotografia richiede una verifica autonoma sull’uso autorizzato.
Servono contratto, informativa privacy, piano dei trattamenti ed eventuali liberatorie. Se la foto è online, conviene conservarne subito prova con screenshot, data, pagina e contenuto associato. La contestazione va fatta per iscritto, indicando la fotografia, l’utilizzo contestato e ciò che si chiede: cessazione dell’uso o cancellazione, quando ne ricorrono i presupposti. Se il centro non risponde o il riscontro non risolve il problema, restano il reclamo al Garante privacy e la tutela davanti al giudice.
L’art. 82 GDPR riconosce il risarcimento quando dalla violazione deriva un danno materiale o immateriale. L’illecito privacy, quindi, non attribuisce automaticamente una somma di denaro; allo stesso tempo, il danno immateriale non deve superare una soglia minima di gravità per poter essere risarcito.
“Una foto illecita non vale automaticamente 5.000 euro.”
Quella cifra era la somma chiesta dalla cliente, non il risarcimento riconosciuto dalla Cassazione.
La cliente aveva indicato, tra gli elementi del danno, il pianto e lo stato di agitazione manifestati subito dopo gli scatti, oltre alla preoccupazione per le immagini ancora recuperabili. La Cassazione non li ha ritenuti già sufficienti a provare il danno, ma ha imposto al giudice del rinvio di rivalutarli nel loro insieme anche secondo le regole delle presunzioni dell’art. 2729 c.c.
In giudizio, quindi, servono una violazione, un danno concretamente allegato e il collegamento tra i due. La cifra viene dopo la prova.
