Con l’ordinanza n. 25117/2026, depositata l’8 settembre 2026, la Prima Sezione civile della Corte di Cassazione è tornata sul tema del consenso al trattamento dei dati personali nell’ambito di una prestazione di servizi. Il caso riguarda le fotografie scattate a una cliente durante un trattamento estetico. La pronuncia offre indicazioni operative preziose per chiunque eroghi servizi alla persona.
I fatti di causa
Una cliente si era rivolta a un centro estetico per una seduta di prova di massaggio. Prima di iniziare, aveva sottoscritto la modulistica privacy, negando il consenso alla realizzazione, all’uso e alla riproduzione delle proprie immagini. Aveva poi acquistato un pacchetto di sei sedute, per un importo complessivo di euro 1.057,00.
In occasione della prima seduta del pacchetto, dopo una misurazione della massa grassa eseguita con il plicometro, l’operatrice avrebbe scattato con un tablet alcune fotografie a corpo nudo e a viso scoperto, senza il consenso dell’interessata. La cliente avrebbe reagito con un attacco di ansia e avrebbe chiesto in lacrime la cancellazione degli scatti. Tornata nel centro qualche giorno dopo per verificare l’avvenuta cancellazione, aveva scoperto che le immagini erano state solo spostate nel “cestino” del dispositivo, e quindi risultavano ripristinabili.
La cliente aveva allora interrotto ogni rapporto e agito in giudizio per ottenere l’accertamento della violazione del diritto all’immagine e alla riservatezza, il risarcimento del danno (quantificato in euro 5.000,00) e la restituzione delle somme versate per i trattamenti non eseguiti.
La decisione del Tribunale
Il Tribunale aveva rigettato le domande relative alla raccolta del consenso, ritenendo che la cliente avesse prestato un consenso consapevole. A suo avviso, la scelta di negare la liberatoria per finalità di marketing, seguita, invece, dalla firma della pagina del contratto relativa agli scatti “al fine di documentare gli esiti” dei servizi, dimostrava che la cliente aveva letto e compreso i documenti. Il giudice di merito aveva inoltre ritenuto tardive le contestazioni sulle modalità di raccolta del consenso, perché non dedotte nell’atto introduttivo. Aveva, infine, respinto la domanda risarcitoria, rilevando la mancanza di prova del danno e del nesso causale. Era stata accolta soltanto la domanda di restituzione delle somme versate per i trattamenti estetici non eseguiti.
Il giudizio di legittimità: i motivi accolti
La cliente ha proposto ricorso per cassazione con otto motivi. La Corte ha ritenuto prioritario l’esame del terzo e del quarto, relativi alla corretta applicazione degli artt. 4, 6 e 7 del Regolamento (UE) 2016/679 (GDPR), e li ha accolti.
Le condizioni di liceità del trattamento
La Corte ricorda che l’art. 6 GDPR subordina la liceità del trattamento alla ricorrenza di almeno una base giuridica. Nel caso di specie rilevano due ipotesi:
- il consenso dell’interessato per una o più specifiche finalità (art. 6, par. 1, lett. a);
- la necessità del trattamento per l’esecuzione del contratto o di misure precontrattuali (art. 6, par. 1, lett. b).
Tra i dati personali rientra anche l’immagine fotografica della persona. Secondo la Corte, la distinzione rilevante non è quella valorizzata dal Tribunale, tra finalità di marketing e finalità di documentazione degli esiti. Conta invece stabilire se il trattamento fosse o meno necessario all’esecuzione della prestazione, perché da questo dipende la corretta individuazione della base giuridica.
Il consenso deve essere libero, specifico, informato e inequivocabile
Richiamando l’art. 4, n. 11, GDPR, la Corte ribadisce che il consenso è una manifestazione di volontà libera, specifica, informata e inequivocabile. Il giudice deve verificare la presenza di ciascuno di questi elementi qualificanti e non può limitarsi a presumerla dalla sottoscrizione di un documento.
L’onere della prova grava sul titolare
Ai sensi dell’art. 7, par. 1, GDPR, è il titolare del trattamento a dover dimostrare che l’interessato ha prestato il consenso. Per questo la Corte giudica errata l’affermazione del Tribunale secondo cui la cliente avrebbe dovuto contestare le modalità di raccolta già nell’atto introduttivo. L’accertamento richiesto riguardava la conformità del consenso al modello legale e la relativa prova gravava sul centro estetico.
Il consenso “inserito” nel piano dei trattamenti
Quando il consenso è prestato nel contesto di una dichiarazione scritta che riguarda anche altre questioni, come in questo caso, in cui era collocato nel “piano dei trattamenti”, la richiesta deve essere chiaramente distinguibile dalle altre materie, comprensibile, facilmente accessibile e redatta in linguaggio semplice e chiaro (art. 7, par. 2, GDPR). Il mancato rispetto di queste condizioni incide negativamente sulla dichiarazione e nessuna parte di essa che violi il Regolamento è vincolante.
La libertà del consenso e il condizionamento del servizio
La Corte attribuisce rilievo decisivo all’art. 7, par. 4, GDPR (e al Considerando 43). Nel valutare se il consenso sia stato liberamente prestato, occorre considerare con la massima attenzione l’eventualità che l’esecuzione di un contratto, compresa la prestazione di un servizio, sia condizionata al consenso al trattamento di dati personali non necessari all’esecuzione del contratto. L’obiettivo è contrastare ogni forma di coazione.
Un rifiuto precedente non prova la consapevolezza
Il Tribunale aveva dedotto la consapevolezza della cliente dal fatto che avesse negato il consenso alla realizzazione, uso, riproduzione, e pubblicazione con ogni mezzo tecnico delle proprie immagini riprese dal fotografo anti-age specialist, con l’esclusione che le fotografie potessero essere utilizzate per finalità di marketing relativamente ai servizi estetici, ma lo avesse concesso a pagina 5 del contratto, in cui aveva acconsentito all’effettuazione di scatti fotografici inerenti i servizi erogati, al fine di documentarne gli esiti.
La Cassazione ribalta questa lettura. Una determinazione opposta nelle due parti del contratto, “lungi dal dimostrare la consapevolezza della scelta”, può avere al più una valenza neutra. La liberatoria non firmata riguardava, oltre al marketing, anche in termini generali la realizzazione e l’uso delle fotografie. Il giudice di merito non aveva individuato alcun elemento di novità o di necessità che giustificasse la rinnovata richiesta di consenso contenuta nel piano di trattamento e il titolare avrebbe dovuto dimostrarne l’autonoma giustificazione.
Il Tribunale, infine, non si era pronunciato né sulla conformità del consenso ai requisiti dell’art. 4 GDPR, né sulla sua libertà ai sensi dell’art. 7, par. 4, né sulla necessità del trattamento per l’esecuzione del contratto, che avrebbe potuto integrare la base giuridica dell’art. 6, lett. b).
La sentenza, quindi, è stata cassata. Il giudice del rinvio dovrà rivalutare le domande e il quadro probatorio, anche ai fini del danno, applicando i principi enunciati.
Indicazioni operative per i titolari del trattamento
Dalla pronuncia si traggono alcune indicazioni pratiche per centri estetici, studi professionali e, più in generale, per chi eroga servizi alla persona:
- Individuare la base giuridica corretta per ogni trattamento, chiedendosi se le fotografie siano davvero necessarie all’esecuzione del servizio.
- Non subordinare il servizio a consensi non necessari alla sua esecuzione.
- Separare nettamente la richiesta di consenso dalle clausole contrattuali, con linguaggio semplice e chiaro.
- Conservare la prova del consenso, perché l’onere grava sul titolare.
- Evitare richieste reiterate o sovrapposte di consenso per la medesima attività, già rifiutata dall’interessato, senza una giustificazione autonoma.
- Garantire la cancellazione effettiva dei dati su richiesta, e non il semplice spostamento in cartelle recuperabili.
