Per fotografare un cliente serve un consenso privacy valido, e una firma in fondo al modulo non basta. Lo ha chiarito la Corte di Cassazione con l’ordinanza n. 25117 dell’8 settembre 2026, in una vicenda nata a Pisa.
Il caso riguarda un centro estetico, ma il principio vale per molte altre attività. Palestre, fisioterapisti, parrucchieri, tatuatori, studi di medicina estetica: chiunque scatti foto “prima e dopo” o documenti i risultati del proprio lavoro con immagini dei clienti deve fare i conti con questa decisione.
Il caso: le foto scattate durante il trattamento
Una cliente aveva acquistato un pacchetto di sei trattamenti in un centro estetico, dopo una seduta di prova.
Secondo il suo racconto, durante la prima seduta, mentre era svestita per la misurazione della massa grassa, la massaggiatrice l’ha fotografata con un tablet, cogliendola di sorpresa. Le immagini ritraevano il corpo e il volto. La cliente, in lacrime, ha chiesto di cancellarle.
Il centro estetico, peraltro, ha dato una versione diversa: le era stato spiegato che le foto servivano solo a confrontare la situazione iniziale con il risultato finale, e lei aveva acconsentito a voce.
Ad ogni modo, le foto sono state eliminate dal tablet, ma senza svuotare il “cestino”. Quando la cliente è tornata a verificare, le ha trovate lì, ancora recuperabili. A quel punto ha interrotto il rapporto e ha chiesto 5.000 euro di risarcimento e la restituzione di quanto pagato per i trattamenti non eseguiti.
Il Tribunale di Pisa (sent. 5/06/2025, n. 562) le ha dato ragione soltanto sulla restituzione dei costi delle sedute non eseguite: 642 euro, somma che il centro aveva offerto di restituire fin dall’inizio. Il Tribunale ha invece respinto le altre domande e ha condannato la cliente a pagare le spese legali, per oltre 5.000 euro.
Per il Giudice di merito il consenso c’era: lo dimostravano la firma a pagina 5 del contratto, nel “piano dei trattamenti”, dove la cliente aveva acconsentito a foto per documentare gli esiti, e la testimonianza della massaggiatrice. E questo nonostante, nello stesso contratto, era stata barrata la pagina relativa alla liberatoria per l’utilizzo di immagini fotografiche.
Cosa ha stabilito la Cassazione
La Prima Sezione civile ha cassato la sentenza e rinviato la causa al Tribunale di Pisa in diversa composizione. Ad avviso della Suprema Corte, il Giudice di merito non ha verificato se quel consenso rispettasse davvero le regole del GDPR. I principi affermati sono cinque.
1. Prima domanda da porsi: la foto serve davvero per il servizio? L’immagine fotografica di una persona è un dato personale. Il suo trattamento è lecito se c’è il consenso del cliente oppure se è necessario per eseguire il contratto (art. 6, par. 1, lett. a e b, GDPR). Nel secondo caso il consenso non serve. Bisogna verificare di volta in volta, quindi, se le foto siano davvero necessarie per il servizio richiesto.
2. Il consenso deve essere libero, specifico, informato e inequivocabile. Sono i requisiti dell’art. 4 del GDPR. Il consenso non è libero se il servizio viene subordinato all’accettazione di un trattamento di dati che non serve per eseguirlo (art. 7, par. 4).
3. La richiesta va tenuta separata dal resto. Se il consenso è inserito in un documento che regola anche altro (nel caso di specie “il piano dei trattamenti”), deve essere chiaramente distinguibile dalle altre clausole. Una frase confusa tra le condizioni del servizio non basta.
4. Un no resta un no. La cliente aveva rifiutato la liberatoria sulle immagini, ma nello stesso contratto aveva firmato a pagina 5 un assenso agli scatti. Per il Tribunale questa scelta diversa dimostrava che aveva letto con attenzione il documento. Per la Cassazione, invece, è al massimo un elemento neutro.
5. La prova spetta all’impresa. È il titolare del trattamento a dover dimostrare di aver raccolto un consenso valido (art. 7, par. 1). Per questo, ad avviso della Cassazione, il Tribunale aveva sbagliato anche a ritenere tardive le contestazioni della cliente su come era stato raccolto il consenso.
In sintesi: la firma su un modulo non dimostra, da sola, che il cliente abbia prestato un consenso valido.
Cosa rischia l’impresa
Un modulo scritto male può costare caro, su più fronti.
Il risarcimento del danno. Il cliente può chiedere il ristoro dei danni, anche non patrimoniali (art. 82 GDPR). Per la Corte di Giustizia UE non serve una soglia minima di gravità, ma il danno va comunque provato, anche per presunzioni (sentenza 4 maggio 2023, C-300/21). Per l’impresa la causa resta un costo e un rischio.
Le sanzioni del Garante Privacy. Per le violazioni sulle condizioni del consenso il GDPR prevede sanzioni amministrative che possono arrivare a 20 milioni di euro o al 4% del fatturato annuo (art. 83). Le sanzioni sono proporzionate alla gravità e alle dimensioni dell’impresa, ma un reclamo basta ad aprire un’istruttoria.
La perdita del cliente e della reputazione. Nel caso concreto la cliente ha interrotto il pacchetto e chiesto indietro i soldi. In attività che vivono di passaparola e recensioni, è spesso il danno più pesante.
C’è poi un’altra questione: il caso insegna che spostare le immagini nel cestino non equivale a cancellarle. Quando il cliente chiede la cancellazione (art. 17 GDPR), le foto devono sparire davvero, compresi backup e cloud sincronizzati.
Cosa fare in pratica: la checklist per chi fotografa i clienti
Se nella tua attività fotografi i clienti, ecco i passaggi per metterti in regola.
Chiediti a cosa servono le foto. Se sono davvero necessarie per eseguire la prestazione, il discorso è diverso. Se servono a documentare i risultati, al marketing o ai social, serve il consenso.
Usa un modulo dedicato. La richiesta di consenso per le immagini va separata dal contratto e dal piano dei trattamenti. Una casella da spuntare a parte, scritta in modo chiaro, è il minimo.
Distingui le finalità. Un conto è scattare la foto per la scheda cliente. Altro è pubblicarla sul sito o sui social. Ogni uso diverso richiede un consenso specifico.
Non legare il servizio al consenso. Il cliente che dice no alle foto deve poter ricevere comunque il trattamento.
Conserva la prova. Archivia il modulo firmato, con data e versione. In caso di contestazione toccherà a te dimostrare il consenso.
Rispetta i no e le revoche. Se il cliente ha rifiutato le foto, non ripresentargli la richiesta in un altro documento. Può anche revocare il consenso in ogni momento. Il personale deve saperlo e sapere cosa fare.
Gestisci bene i dispositivi. Evita smartphone personali e tablet condivisi. Stabilisci dove si salvano le immagini, chi può vederle e per quanto tempo.
Cancella davvero. Svuota il cestino, verifica cloud e backup, e annota la data della cancellazione.
Foto ai clienti e consenso GDPR: cosa fare oggi
La decisione della Cassazione non vieta di fotografare i clienti. Chiede però di farlo con regole chiare, moduli scritti bene e procedure che il personale deve conoscere davvero. Rivedere la propria modulistica oggi costa molto meno di una causa o di un’istruttoria del Garante domani.
Avv. Michael Costantini
