Con l’ordinanza n. 25117 depositata ieri, 8 settembre 2026, la Cassazione affronta i temi della violazione del diritto all’immagine e alla riservatezza e del trattamento illecito dei dati personali sensibili trattati in occasione dei servizi prestati in un centro estetico.

La Suprema Corte accoglie il ricorso di una cliente, fotografata durante il trattamento estetico dopo aver negato il consenso a tale operazione, affermando che ciò che rileva ai fini della corretta raccolta del consenso è la distinzione tra il trattamento dei dati personali necessario all’esecuzione della prestazione o del contratto e il trattamento dei dati personali non necessario a ciò: distinzione fondamentale ai fini della corretta individuazione della condizione di liceità da applicare ai sensi dell’art. 6 § 1 del Regolamento Ue 2016/679 (c.d. “GDPR”).

Tale norma, nello stabilire le condizioni di liceità del trattamento dei dati personali – tra cui rientra anche l’immagine fotografica della persona – richiede che l’interessato abbia espresso il consenso ad esso per una o più specifiche finalità (lett. a) e che sia necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso (lett. b). Ai sensi dell’art. 4 del GDPR, poi, il consenso rilevante deve presentare specifici requisiti che si sostanziano in una manifestazione di volontà libera, specifica, informata ed inequivocabile dell’interessato.

Inoltre, l’art. 7, nel fissare le condizioni per l’espressione del consenso, stabilisce, fra l’altro, che “nel valutare se il consenso sia stato liberamente prestato, si tiene nella massima considerazione l’eventualità, tra le altre, che l’esecuzione di un contratto, compresa la prestazione di un servizio, sia condizionata alla prestazione del consenso al trattamento di dati personali non necessario all’esecuzione di tale contratto”.

Dal momento che la realizzazione delle foto non era necessaria ai fini dell’esecuzione del trattamento estetico, la richiesta del loro trattamento doveva essere assistita dal consenso della parte in conformità a quanto previsto dalle norme del GDPR.