Serve un accertamento rigoroso del consenso prestato, che grava sul titolare del trattamento, per poter scattare, ed eventualmente utilizzare per documentarne gli esiti, fotografie del corpo dei clienti di un centro estetico. Ribaltando la decisione del Tribunale di Pisa che aveva ritenuto sufficiente l’aver sottoscritto i moduli relativi al trattamento dei dati personali, la Cassazione, ordinanza n. 25117/2026, detta le regole da seguire.
Per la Prima sezione civile devono ricorrere una serie di elementi qualificanti espressamente richiesti dal GDPR. E cioè: una manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato (art. 4); mentre l’onere della relativa prova grava sul titolare del trattamento dei dati basato sul consenso (art. 7).
Inoltre, specifica la Cassazione, “quando il consenso dell’interessato è prestato nel contesto di una dichiarazione scritta che riguarda anche altre questioni”, come nel presente caso in cui è stata inserita nel “piano dei trattamenti”, “la richiesta di consenso deve essere presentata in modo chiaramente distinguibile dalle altre materie e il mancato rispetto di tale condizione incide negativamente sulla dichiarazione”.
Il caso nasce da una donna che, dopo una seduta di prova, aveva acquistato un pacchetto di sei trattamenti estetici. In occasione della prima seduta, mentre era senza vestiti per la misurazione della massa grassa, una dipendente le aveva scattato con un tablet alcune fotografie a corpo nudo e a viso scoperto. La cliente sosteneva che ciò fosse avvenuto improvvisamente e senza il suo consenso e aveva chiesto, in lacrime, l’immediata cancellazione delle immagini.
Tornata al centro qualche giorno dopo per verificare l’eliminazione delle foto, aveva scoperto che erano state soltanto spostate nel “cestino” del tablet e potevano quindi essere recuperate. Aveva perciò interrotto il rapporto e agito in giudizio chiedendo 5mila euro di risarcimento, oltre alla restituzione delle somme versate per i trattamenti non eseguiti. Il Centro estetico contestava l’assenza di consenso, sostenendo che questo fosse stato prestato nell’ambito della documentazione contrattuale.
Il Tribunale aveva dato ragione sul punto al Centro, valorizzando la firma apposta dalla cliente nel “piano dei trattamenti”, che prevedeva scatti destinati a documentarne gli esiti, nonostante la mancata sottoscrizione di un’altra liberatoria relativa alla realizzazione e all’utilizzo delle immagini.
Per la Suprema corte però il Tribunale ha escluso l’illiceità della condotta senza verificare se il consenso prestato fosse conforme ai requisiti del GDPR, se fosse stato manifestato liberamente e se le fotografie fossero realmente necessarie per eseguire il trattamento estetico. La Cassazione ha dunque annullato la decisione e rinviato la causa al Tribunale di Pisa per un nuovo esame.
Dovrà essere riesaminata anche la questione del risarcimento del danno. La Cassazione ha infatti ritenuto assorbite le censure con cui la donna sosteneva che il danno immateriale da violazione del GDPR non richiedesse una soglia minima di gravità e che la sofferenza patita potesse essere provata anche per presunzioni. Sarà dunque il giudice del rinvio, una volta rivalutata la liceità del trattamento delle immagini, a riesaminare anche la domanda risarcitoria e il relativo quadro probatorio.