Estetista, foto alla cliente e privacy: la Cassazione sul consenso

Le fotografie scattate durante il trattamento estetico

La controversia nasce dall’azione proposta da una cliente di un centro estetico, che chiedeva di accertare la violazione del diritto all’immagine e alla riservatezza, nonché l’illecito trattamento dei propri dati personali.

Secondo la ricostruzione contenuta nell’ordinanza, prima di iniziare il trattamento la donna aveva sottoscritto la modulistica relativa al trattamento dei dati, negando il consenso alla realizzazione, all’uso e alla riproduzione delle proprie immagini.

Durante una successiva seduta, tuttavia, una dipendente del centro aveva effettuato alcune fotografie con un tablet, ritraendo la cliente senza abiti e con il volto visibile. La donna aveva immediatamente chiesto la cancellazione delle immagini.

Tornata successivamente nel centro per verificare l’eliminazione delle fotografie, aveva constatato che queste erano ancora presenti nel “cestino” del dispositivo e, quindi, potenzialmente recuperabili.
Il Tribunale aveva però escluso l’illiceità dell’acquisizione delle immagini, ritenendo che la cliente avesse prestato un valido consenso attraverso una diversa clausola inserita nel piano dei trattamenti.

Per il GDPR il consenso deve avere requisiti precisi

La Cassazione censura proprio le argomentazioni dl Tribunale sul consenso.

L’art. 6 GDPR ammette il trattamento dei dati personali, tra le diverse basi giuridiche previste, quando l’interessato abbia espresso il consenso per una o più specifiche finalità oppure quando il trattamento risulti necessario all’esecuzione di un contratto.

Quando il titolare sceglie di fondare il trattamento sul consenso, però, deve rispettare i requisiti stabiliti dal Regolamento.

Ai sensi dell’art. 4, n. 11, GDPR, il consenso deve costituire una manifestazione di volontà libera, specifica, informata e inequivocabile. L’art. 7 aggiunge che spetta al titolare del trattamento dimostrare che l’interessato lo abbia effettivamente prestato.

Di conseguenza, il giudice chiamato a decidere sulla liceità del trattamento non può limitarsi a verificare l’esistenza materiale di una firma.

Deve invece accertare se quella manifestazione di volontà corrisponda al modello previsto dal GDPR.

La firma sul contratto non dimostra da sola un consenso valido

Nel caso esaminato, il Tribunale aveva attribuito particolare rilievo al fatto che la cliente avesse negato il consenso in una parte della documentazione contrattuale e lo avesse invece apparentemente prestato in un’altra.

Secondo il giudice di merito, tale comportamento avrebbe dimostrato che la donna aveva letto e compreso il contratto e aveva quindi consapevolmente autorizzato le fotografie destinate a documentare l’andamento del trattamento estetico.

La Cassazione non condivide questo ragionamento.

La diversa scelta compiuta nelle due parti del contratto, osserva la Corte, non dimostra automaticamente la consapevolezza e la validità del consenso. Al più costituisce un elemento neutro, che deve essere esaminato alla luce delle regole dettate dal GDPR.

Assume particolare rilievo, inoltre, il fatto che una precedente liberatoria relativa alla realizzazione e all’utilizzo delle immagini non fosse stata sottoscritta.

Il titolare avrebbe quindi dovuto dimostrare l’autonoma giustificazione della successiva richiesta di consenso contenuta nel piano di trattamento.

Il consenso deve essere distinguibile dalle altre clausole

La Cassazione richiama anche un altro requisito previsto dall’art. 7 GDPR.

Quando il consenso viene acquisito all’interno di una dichiarazione scritta che disciplina anche altre questioni, la richiesta deve risultare chiaramente distinguibile dalle altre clausole, oltre a essere formulata in modo comprensibile e facilmente accessibile.

Questo aspetto assume rilievo nel caso concreto perché il consenso alle fotografie era stato inserito nel cosiddetto “piano dei trattamenti”.

Il giudice deve quindi verificare non soltanto che la clausola sia stata sottoscritta, ma anche come il consenso sia stato richiesto, formulato e inserito nella documentazione contrattuale.

Il servizio non può essere condizionato a un consenso non necessario

Un ulteriore profilo riguarda l’art. 7, par. 4, GDPR.

La disposizione impone di valutare con particolare attenzione i casi nei quali l’esecuzione di un contratto o la prestazione di un servizio venga subordinata al consenso al trattamento di dati personali non necessari all’esecuzione del contratto stesso.

La regola mira a evitare che il consenso venga ottenuto mediante una forma di condizionamento dell’interessato.

Nel giudizio in esame, il Tribunale non aveva accertato se la realizzazione delle fotografie fosse effettivamente necessaria all’esecuzione del trattamento estetico. Proprio questa verifica, secondo la Cassazione, avrebbe potuto incidere sull’individuazione della corretta base giuridica del trattamento.

Il titolare deve provare la validità del consenso

Il principio che emerge dall’ordinanza è il seguente:

Quando il trattamento dei dati personali si fonda sul consenso, grava sul titolare l’onere di dimostrare che tale consenso rispetti tutti i requisiti richiesti dal GDPR.

Il giudice deve quindi verificare concretamente che la volontà dell’interessato sia stata libera, specifica, informata e inequivocabile.

Non basta richiamare genericamente la sottoscrizione di una clausola contrattuale.

La Cassazione ha pertanto accolto il terzo e il quarto motivo di ricorso e ha rinviato la causa al Tribunale di Pisa, in diversa composizione, affinché rivaluti la controversia applicando i principi indicati. Il giudice del rinvio dovrà riesaminare anche le domande e il complesso delle risultanze probatorie alla luce della nuova valutazione sulla liceità del trattamento.

La decisione, quindi, precisa che in materia di privacy, il consenso non coincide con la firma di un modulo. Conta il modo in cui viene richiesto, la libertà con cui viene espresso e la prova che il titolare è in grado di fornire sulla sua effettiva validità.