Con l’ordinanza n. 25117 pubblicata l’8 settembre 2026, la Prima Sezione Civile della Corte Suprema di Cassazione si pronuncia sulle condizioni di liceità del trattamento dei dati personali e, in particolare, sui requisiti di validità del consenso raccolto all’interno di un contratto di prestazione di servizi estetici.
La Corte cassa la sentenza del Tribunale di Pisa n. 562/2025 che aveva ritenuto validamente prestato il consenso alle riprese fotografiche sottoscritto in calce al “piano dei trattamenti”, nonostante la cliente avesse poco prima rifiutato di firmare la liberatoria e consenso alla realizzazione di foto e uso delle proprie immagini.
L’ordinanza presenta profili applicativi rilevanti per gli operatori del settore; i temi sono sviluppati nei rilievi della Corte e nelle conclusioni.
Il caso e la decisione del Tribunale di Pisa
La controversia nasce dal rapporto tra una cliente e un centro estetico. Dopo una seduta di prova, la cliente acquista un pacchetto di sei massaggi, avendo espressamente negato, nella modulistica sottopostale, il consenso alla realizzazione e all’utilizzo delle proprie immagini.
Secondo quanto riferito dalla cliente, durante la prima seduta del pacchetto, dopo la misurazione della massa grassa, un’operatrice avrebbe scattato con un tablet alcune fotografie che la ritraevano nuda e a viso scoperto. La cliente ne chiede immediatamente la cancellazione, ma scopre successivamente che le immagini erano state soltanto spostate nel “cestino” del dispositivo e risultavano ancora recuperabili. Interrompe quindi il rapporto e agisce in giudizio, chiedendo l’accertamento delle violazioni, il risarcimento dei danni e la restituzione delle somme versate.
Il centro estetico oppone che la cliente, pur avendo negato la liberatoria per l’uso delle immagini, aveva sottoscritto il “piano dei trattamenti”, contenente l’assenso agli scatti fotografici destinati a documentare gli esiti dei servizi.
Con la sentenza n. 562/2025, il Tribunale di Pisa rigetta le domande, ritenendo che il diniego all’utilizzo delle immagini per finalità di marketing e l’adesione alle fotografie funzionali al trattamento dimostrassero la consapevolezza della scelta. Considera inoltre tardive le allegazioni sulle modalità di raccolta del consenso. La cliente ricorre quindi in Cassazione.
I rilievi dell’ordinanza della Cassazione
La Suprema Corte accoglie il ricorso della cliente del centro estetico, in particolare nella parte in cui censura la violazione e falsa applicazione dell’art. 6, paragrafo 1 e dell’art. 7, paragrafo 4, del Regolamento (UE) 2016/679 (“GDPR”), nonché l’omesso esame di fatti decisivi relativi all’informativa e al modulo contrattuale.
Il punto di partenza è che l’immagine fotografica di una persona è un dato personale: il suo trattamento, pertanto, è lecito solo se ricorre una delle condizioni di liceità dell’art. 6 del GDPR, e in particolare il consenso dell’interessato per una o più specifiche finalità (lett. a) oppure la necessità del trattamento per l’esecuzione del contratto di cui l’interessato è parte (lett. b). Il consenso, ai sensi dell’art. 4, punto 11 del GDPR, deve essere poi una manifestazione di volontà libera, specifica, informata e inequivocabile.
Su queste basi la Corte censura la decisione impugnata:
- il Tribunale non ha compiuto l’accertamento che gli era richiesto: il giudice doveva verificare che nella sottoscrizione del “piano del trattamento” vi fosse la ricorrenza degli elementi qualificanti del consenso, come definiti dagli artt. 4, n. 11, 6 e 7 del GDPR, e non limitarsi a constatare l’esistenza di una sottoscrizione contrattuale;
- è stato invertito l’onere della prova: ai sensi dell’art. 7 del GDPR la prova del consenso grava sul Titolare del trattamento (i.e., il centro estetico) e pertanto il Giudice di prime cure ha errato nel ritenere tardive le allegazioni della cliente sulle modalità di raccolta del consenso, in quanto non suo onere probatorio specifico;
- la firma differenziata non prova la consapevolezza: la diversa e opposta determinazione assunta nelle due parti del contratto – (i) diniego della liberatoria e consenso per finalità di marketing e (ii) adesione al “piano dei trattamenti” – lungi dal dimostrare la consapevolezza della scelta, al più può assumere una valenza neutra e non decisiva nel valutare le caratteristiche normative del consenso;
- il consenso inserito in una dichiarazione scritta che riguarda anche altre questioni – nel caso di specie il “piano dei trattamenti” – deve essere presentato in modo chiaramente distinguibile dalle altre materie; il mancato rispetto di tale condizione incide negativamente sulla dichiarazione, tanto che nessuna parte di essa che costituisca violazione del GDPR è vincolante;
- manca ogni verifica sulla libertà del consenso: l’art. 7, paragrafo 4, del GDPR fissa un canone, non esaustivo, di valutazione della libera prestazione del consenso, imponendo di tenere nella massima considerazione l’ipotesi in cui l’esecuzione del contratto sia condizionata al consenso a un trattamento non necessario, con l’evidente finalità di contrastare coazioni alla prestazione del consenso;
- il giudice di prima istanza, infine, non si è pronunciato sulla “necessità” del trattamento per l’esecuzione del contratto, necessità che, se accertata, avrebbe potuto condurre all’applicazione della lett. b) dell’art. 6.
La Corte accoglie pertanto il ricorso e cassa la sentenza impugnata con rinvio al Tribunale di Pisa, in persona di diverso magistrato, per il riesame nel merito alla luce dei principi stabiliti in tema di liceità del trattamento e di condizioni per il consenso.
Conclusioni
Il principio che si ricava dall’ordinanza è netto: la validità del consenso non si desume dalla firma del contratto o dalla sequenza delle scelte sui moduli, ma da una verifica in concreto dei requisiti fissati dal GDPR, la cui prova grava interamente sul Titolare del trattamento.
Un ulteriore profilo riguarda i dati relativi alla salute eventualmente raccolti nell’ambito delle prestazioni estetiche e di benessere. Il loro trattamento richiede, oltre a una base giuridica ai sensi dell’art. 6 GDPR, una delle condizioni previste dall’art. 9, par. 2. Per le ordinarie attività dei centri estetici assume particolare rilievo il consenso esplicito dell’interessato, mentre l’eccezione prevista per le finalità di cura non si estende automaticamente ai servizi di benessere. Occorre quindi verificare la natura dei dati effettivamente raccolti e predisporre informative e richieste di consenso coerenti con le finalità perseguite.
Le implicazioni operative
Per i centri estetici e del benessere, i principi richiamati dalla Corte richiedono una verifica della modulistica e delle modalità con cui i dati vengono concretamente raccolti e utilizzati:
| Requisito | Descrizione |
| Individuazione della base giuridica | Verificare se il trattamento è necessario per eseguire il contratto (art. 6, par. 1, lett. b) GDPR); in mancanza, individuare un’adeguata base giuridica e, ove richiesto, raccogliere un consenso valido. |
| Trattamento dei dati relativi alla salute | Valutare l’applicabilità dell’art. 9 GDPR; quando il trattamento si fonda sul consenso, raccoglierlo in forma esplicita; le eccezioni per finalità di cura non si estendono automaticamente ai servizi di benessere. |
| Distinguibilità della richiesta di consenso | Rendere la richiesta di consenso chiaramente distinguibile dalle altre pattuizioni, anche all’interno dello stesso documento (art. 7, par. 2 GDPR). |
| Distinzione dal consenso alla prestazione | Tenere distinti il consenso al trattamento dei dati personali e l’eventuale consenso informato alla prestazione: hanno finalità e basi normative differenti e, se necessari, vanno richiesti separatamente e in modo riconoscibile. |
| Specificità e granularità del consenso | Prevedere scelte separate per ciascuna finalità (es. erogazione del servizio, marketing, profilazione), senza caselle preselezionate e con possibilità di rifiuto senza condizionamenti. |
| Documentazione del consenso | Conservare evidenza della scelta dell’interessato e dell’informativa resa (modulo/versione, data/ora, registri delle revoche) per soddisfare l’onere probatorio. |
| Autorizzazione e formazione del personale | Assicurare autorizzazioni, istruzioni e verifica preventiva delle scelte del cliente prima di acquisire fotografie o altri dati, nonché la corretta gestione di rifiuti e revoche. |
| Effettività della cancellazione | Garantire la rimozione definitiva e non ripristinabile quando la cancellazione è dovuta; lo spostamento nel “cestino” non equivale a cancellazione. |
| Utilizzo e diffusione delle immagini | Regolare per iscritto l’uso e l’eventuale diffusione delle immagini della clientela, con consensi separati e specifici per finalità diverse; non confondere la liberatoria per l’immagine con il consenso al trattamento dei dati personali. |
