Trattamenti estetici, foto del prima-dopo: come funziona il consenso?

Scattare una foto prima o durante un trattamento estetico è un adempimento ordinario o si tratta di una condotta che richiede prudenza? Fotografare lo stato iniziale del paziente prima del trattamento o dell’intervento, confrontare successivamente i risultati e seguire l’evoluzione esclude ogni responsabilità? Ebbene, in questi casi, la Corte di Cassazione richiama l’attenzione su aspetti decisivi del consenso del paziente. Quando la fotografia raffigura il corpo umano, il volto visibile o elementi che rendono possibile l’identificazione della persona, non si tratta di una iniziativa da semplificare perché richiede invece una rigorosa responsabilità professionale. È questo il punto centrale dell’ordinanza della Cassazione civile, Sez. I, ordinanza n. 25117 dell’8 settembre 2026, che ha chiarito come la semplice sottoscrizione di un modulo non è sufficiente a considerare valido il consenso del paziente al trattamento delle sue immagini del corpo o del viso. La vicenda concreta Un centro estetico, nel corso di una seduta di prova, aveva richiesto alla cliente la sottoscrizione di un documento che autorizzava il trattamento dei dati personali. Nella compilazione del modulo era stato espressamente negato il consenso alla realizzazione, uso, riproduzione e pubblicazione di immagini. Nel corso della prima seduta presso il Centro estetico, veniva richiesto alla cliente di consentire una misurazione corporea senza abiti. Dopo la misurazione, secondo la ricostruzione della cliente, improvvisamente e senza il suo consenso, la persona addetta al trattamento aveva scattato con un tablet alcune foto a corpo nudo e a viso scoperto. La cliente, lamentando la ripresa non autorizzata, ha promosso una domanda giudiziaria contestando la violazione della propria dichiarazione negativa di consenso, dichiarando inoltre di aver verificato che le immagini erano state spostate nell’icona “cestino” del tablet, con la possibilità di recupero e utilizzo delle stesse. Aveva quindi chiesto il risarcimento dei danni e la restituzione delle somme versate per i trattamenti non eseguiti. Il Tribunale aveva respinto le domande risarcitorie, ritenendo che la cliente avesse comunque prestato un consenso consapevole alle fotografie destinate a documentare gli esiti del trattamento, pur avendo negato l’autorizzazione per finalità di marketing. La Cassazione non ha ritenuto convincente questa conclusione. I principi di riferimento secondo il Regolamento GDPR Secondo la Corte, il punto decisivo non attiene alla distinzione tra fotografie utilizzate per finalità di marketing e fotografie destinate a documentare il risultato del trattamento dei dati personali. La vera questione è invece stabilire se la ripresa fotografica era da considerarsi indispensabile al trattamento estetico oppure funzionale a finalità ulteriori diverse dal trattamento in sé considerato. L’art. 6 GDPR contempla entrambe le possibilità: il trattamento può essere fondato sul consenso dell’interessato oppure essere necessario all’esecuzione del contratto. Ma la necessità non può essere presunta. Il titolare deve dimostrare che, senza la fotografia, la prestazione non potrebbe essere concretamente eseguita. Non è dunque possibile affermare che l’immagine sia utile, comoda o funzionale alla propria organizzazione. Se la fotografia non è necessaria al servizio, il titolare deve raccogliere un consenso autonomo e valido. L’art. 4 del GDPR prevede che il consenso deve essere libero, specifico, informato e inequivocabile. L’art. 7 stabilisce inoltre che quando il consenso è inserito in un documento che contiene anche altre pattuizioni, la richiesta deve essere specifica e chiaramente distinguibile, comprensibile e formulata con linguaggio semplice. Il responsabile del trattamento dei dati personali e l’onere della prova Il titolare del trattamento dei dati personali deve essere in grado di ricostruire il percorso informativo e decisionale: quale informativa è stata consegnata, quale versione della modulistica era in uso, quali finalità erano indicate, come venivano raccolte le scelte, se il rifiuto avesse prodotto conseguenze sul servizio e quali misure sarebbero state adottate per la conservazione e la cancellazione delle immagini. In un eventuale giudizio, questa tracciabilità può assumere un peso determinante. L’assenza di documentazione non trasforma automaticamente ogni contestazione in prova dell’illecito, ma impedisce al titolare del trattamento di assolvere agevolmente l’onere che il GDPR gli assegna. Chi ha la responsabilità del trattamento ha quindi un onere della prova molto delicato. Deve infatti dare conferma non solo della mera sottoscrizione di un modulo da parte di un cliente, ma soprattutto che la sua manifestazione di volontà al trattamento dei propri dati è stata libera, specifica, informata e inequivocabile. Quando è il consenso può essere considerato libero Il consenso può considerarsi libero, quando la persona è realmente libera di prestarlo e può discrezionalmente rifiutarlo senza subire alcuna forma di pressione, svantaggio o conseguenza negativa. Si deve trattare della cd. «genuine choice», di una scelta effettiva che esclude ogni forma di condizionamento materiale o psicologico. Può essere utile un esempio. Quando un cliente si sottopone ad un trattamento estetico deve essere in grado di rifiutare riprese fotografiche o video del viso o del corpo per finalità promozionali senza che il rifiuto gli impedisca di ricevere il trattamento, possa influire sul prezzo o condizionare modalità e qualità del trattamento richiesto. Una formula che prevede il trattamento “solo se viene autorizzata la pubblicazione delle fotografie sui nostri social" sarebbe chiaramente illecita e comporterebbe l’invalidità del consenso prestato. Cosa significa esprimere una volontà specifica Il concetto di specificità del consenso attiene ad un piano diverso della manifestazione della volontà. Secondo il GDPR, infatti il consenso può considerarsi specifico solo quanto viene richiesto e prestato per una finalità determinata e chiaramente individuata. L’interessato non deve dare un consenso generico ma ha il diritto di conoscere l’esatto trattamento dei propri dati e deve avere la possibilità di selezionare possibilità e finalità tra loro ben diverse. Si può dare il consenso per fotografie che documentano l’evoluzione del trattamento estetico ma questo non può comportare anche il consenso alla pubblicazione delle foto sul sito o sui social del centro estetico. Sono finalità diverse e, se fondate sul consenso, richiedono scelte distinte. Una formula del tipo «autorizzo il trattamento delle mie immagini per ogni finalità connessa all'attività del centro» è generica e non può essere considerata adeguata ai fini di un valido consenso specifico. Più corretto separare, ad esempio, il trattamento per documentare le fasi o lo sviluppo del percorso clinico-estetico o un eventuale uso formativo e scientifico oppure la pubblicazione sui social. Si tratta di possibili opzioni che devono risultate chiare e scandite separatamente sul modulo del consenso e ciascuna di esse merita una specifica volontà di trattamento affermativa o negativa. Quando il consenso è realmente informato L’interessato, prima di prestare il consenso deve ricevere informazioni sufficienti, chiare e comprensibili per capire ad esempio chi utilizzerà i suoi dati, quali dati saranno trattati e per quale finalità. Solo in questo modo la sua scelta sarà consapevole. Una cliente può ad esempio autorizzare l'utilizzo delle fotografie scattate prima e dopo un trattamento estetico. Il consenso è informato se, prima di prestarlo, le viene spiegato chiaramente che le immagini saranno utilizzate dal centro estetico per finalità promozionali e pubblicate sui suoi profili social, e che potrà revocare il consenso in ogni momento. Del tutto insufficiente risulta invece una formula che prevede: «autorizzo il trattamento dei miei dati e delle mie immagini ai sensi del GDPR». La persona in questo caso non viene messa concretamente in condizione di comprendere come e perché quelle immagini saranno utilizzate e soprattutto non sarà in grado di capirlo nella forma prevista dal Regolamento: in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro. Il significato di consenso inequivoco La dichiarazione di volontà deve essere espressa da una dichiarazione dell’interessato che non lascia alcun dubbio sulla sua volontà di consentire il trattamento dei propri dati. Non deve trattarsi di un consenso presunto da un contegno di silenzio, oppure inerte o ambiguo. La persona, dopo avere ricevuto le necessarie informazioni, deve selezionare espressamente la casella con la quale autorizza in modo inequivoco un determinato trattamento, senza possibilità di errore sulla interpretazione e valutazione della sua volontà. Il responsabile del trattamento non può difendersi affermato ad esempio: «La cliente sapeva benissimo che abbiamo scattato diverse foto e non si è mai opposta”. Non aver detto “no” non equivale, nel caso della tutela dei dati personali, ad aver detto “si”. Ecco, dunque, in che cosa consiste una manifestazione concreta di volontà inequivoca. Il valore neutro delle diverse scelte sullo stesso modulo Uno dei passaggi più significativi della pronuncia della Corte di Cassazione riguarda la diversa scelta compiuta dalla cliente in due parti del medesimo documento. Il Tribunale aveva ritenuto che il rifiuto di autorizzare l’uso delle foto per finalità di marketing dimostrasse la lettura e la comprensione del contratto e che, per logica conseguenza, la sottoscrizione della pagina relativa alla documentazione fotografica provasse una piena e valida espressione del consenso da parte della persona interessata. La Cassazione esclude invece che tale ragionamento possa essere condivisibile. Una scelta differenziata nelle diverse caselle del modulo può avere, al più, una valenza neutra. Non dimostra da sola che la cliente abbia compreso la diversa portata delle clausole. È necessario, infatti, verificare perché fosse stata nuovamente richiesta l’autorizzazione alle fotografie dopo il precedente diniego e quale elemento nuovo o quale necessità contrattuale giustificasse la ripresa fotografica. La conseguenza pratica è rilevante: la modulistica non dovrebbe essere costruita come una sequenza di clausole formalmente separate e tra loro sostanzialmente sovrapposte. La distinzione grafica tra le caselle non basta se le finalità, le operazioni di trattamento e le conseguenze della scelta non sono spiegate in modo chiaro e impediscono un’espressione della volontà della persona in modo libero, specifico, informato ed inequivoco. La cancellazione non si esaurisce nello spostamento nel cestino la vicenda esaminata dalla Corte evidenzia una esigenza organizzativa precisa. Una richiesta di cancellazione non può essere gestita come una semplice operazione apparente sul dispositivo utilizzato per la raccolta. Il titolare del trattamento deve verificare dove siano presenti le immagini, quali copie siano state create, se siano state trasferite su altri sistemi o account e se il cestino costituisca ancora un’area di conservazione recuperabile. La cancellazione deve essere valutata rispetto all’intero ciclo di vita del dato e alle finalità per le quali esso è stato trattato. Una procedura interna dovrebbe quindi identificare il soggetto responsabile, i dispositivi coinvolti, i tempi di esecuzione, le eventuali copie di sicurezza e la modalità con cui viene documentato l’esito della richiesta. Che cosa cambia per i titolari del trattamento La decisione suggerisce una revisione della prassi, soprattutto nei settori in cui la fotografia è diventata una componente ordinaria del servizio. Non è sufficiente inserire nel contratto una clausola che menzioni genericamente le immagini o prevedere una casella da selezionare accanto a una formula standard. Il titolare dovrebbe anzitutto definire la finalità concreta della ripresa: documentazione del percorso, valutazione tecnica, gestione della cartella o della scheda cliente, pubblicazione, marketing o altra finalità. Dovrebbe poi verificare se la fotografia sia effettivamente necessaria per l’esecuzione del contratto o se rappresenti un trattamento ulteriore fondato sul consenso. La richiesta dovrebbe essere separata dalle altre condizioni contrattuali, formulata con linguaggio semplice e riferita a operazioni e finalità distinguibili. Il rifiuto o la revoca non dovrebbero incidere sulla prestazione principale quando l’immagine non è necessaria alla sua esecuzione. Infine, dovrebbero essere predisposte procedure effettive per la conservazione, l’accesso, la revoca e la cancellazione. Il problema, in altri termini, non si risolve con una modulistica più lunga, ma con una modulistica più coerente con il trattamento realmente svolto. Una indicazione utile anche per il contenzioso Dal punto di vista processuale, l’ordinanza della Corte invita a non concentrare la difesa sulla sola produzione del contratto firmato. In una controversia sul consenso, il documento deve essere letto nel contesto della relazione contrattuale e delle modalità concrete di raccolta della volontà. Per il titolare, sarà essenziale produrre l’informativa applicabile al momento dei fatti, il modulo effettivamente sottoscritto, la documentazione relativa alla finalità delle fotografie, le procedure interne sulla conservazione e cancellazione e gli elementi che dimostrino l’assenza di condizionamenti nella prestazione del servizio. Per l’interessato, la contestazione dovrà invece individuare i profili concreti di non conformità: la sovrapposizione delle finalità, l’inadeguatezza dell’informazione, l’assenza di una scelta realmente libera, la mancata corrispondenza tra quanto sottoscritto e quanto eseguito, oppure la conservazione delle immagini oltre il necessario o dopo una richiesta di cancellazione. La validità del consenso deve dunque essere verificata alla luce della realtà del trattamento, non dedotta dalla sola presenza di una firma. La fotografia del corpo del cliente non diventa lecita perché è stata inserita in un piano di trattamento, né perché il cliente ha sottoscritto altre clausole del contratto. Occorre stabilire quale sia la finalità, se il trattamento sia necessario, se il consenso sia stato libero, specifico, informato e inequivocabile e se il titolare sia in grado di dimostrarlo. Le implicazioni per gli operatori Per gli operatori, la conseguenza è chiara: il consenso deve essere non soltanto raccolto, ma progettato, documentato e verificabile. Per i giudici, la pronuncia impone un controllo concreto sulla formazione della volontà e sulla necessità del trattamento. Per chi assiste le parti, la questione non si esaurisce più nella lettura della clausola, ma investe l’intero percorso attraverso il quale l’immagine è stata acquisita, conservata e utilizzata. Una pronuncia quella della Corte che segna un importante perimetro di conoscenza, valutazione e verifica sulla disciplina del consenso che avrà conseguenze pratiche rilevante nella tutela dei dati in ambiti sensibili sui quali non è permesso sbagliare.

Cosa vedere:

Come vederlo:

Online con Sky:

Trattamenti estetici, foto del prima-dopo: come funziona il consenso?

Giovanni Reho