Foto delle clienti e GDPR: cosa deve sapere un salone
Il prima e dopo, il portfolio, il post su Instagram, l'app che simula il taglio: sono tutte foto di persone riconoscibili, e questo le fa ricadere sotto il GDPR. Quello che serve davvero sapere, senza legalese — e vale anche se non usi Miraviso.
Una foto è un dato personale, punto
Se dalla foto la persona è riconoscibile, quella foto è un dato personale. Vale anche se resta sul telefono del salone e anche se la cancelli la sera: scattare, archiviare, inviare sono tutti trattamenti, e ognuno ha bisogno di una ragione per esistere.
Non è però automaticamente un dato biometrico ai sensi dell'art. 9 GDPR: lo diventa quando è elaborata con tecniche pensate per identificare univocamente quella persona, e una foto scattata per mostrare un taglio non fa questo.
Quando serve il consenso e quando no
Il GDPR non dice «serve sempre il consenso»: dice che serve una base giuridica, e il consenso è solo una delle possibili. Nel salone se ne incontrano tre.
Esecuzione del contratto (art. 6.1.b): copre ciò che è strettamente necessario a erogare il servizio richiesto. Una foto mostrata sul momento durante la consulenza, senza conservarla, può reggersi qui; appena viene archiviata o riutilizzata, non basta più.
Legittimo interesse (art. 6.1.f): è la base tipica dei log tecnici e della sicurezza, non una scorciatoia per collezionare foto di clienti.
Consenso (art. 6.1.a): è la base giusta, e in pratica quasi sempre l'unica, per le foto che vuoi tenere, mostrare a terzi, pubblicare o inviare a un fornitore esterno.
Un consenso valido è libero, specifico, informato e inequivocabile. Non lo è una riga nel modulo di iscrizione firmato una volta per tutte, né un consenso unico che copre insieme consulenza, archivio e social: specifico vuol dire una casella per ogni finalità. Dev'essere anche revocabile in qualsiasi momento (art. 7.3): la revoca non rende illecito quello che hai fatto prima, ma da lì in avanti ti fermi. E l'informativa (art. 13) va data comunque, anche quando la base giuridica non è il consenso.
Chi è titolare e chi responsabile
Il titolare decide perché e come i dati vengono trattati (art. 4, n. 7): nel salone sei tu, perché la foto la fai tu per una finalità tua. Il responsabile è chi tratta quei dati per conto tuo e secondo le tue istruzioni (art. 4, n. 8): il gestionale, il cloud dell'archivio, l'app di consulenza.
La distinzione non è formale. Se un fornitore tratta foto delle tue clienti, l'art. 28 GDPR pretende un contratto scritto che regoli il rapporto — il DPA. Se manca, la mancanza è tua, non sua: chiedilo, un fornitore serio ce l'ha già pronto. E chiedi anche l'elenco dei sub-responsabili, i fornitori del tuo fornitore: è lì che compaiono i nomi che non ti aspettavi.
Conseguenza pratica: davanti alla cliente e davanti al Garante rispondi tu. Il fornitore risponde a te.
Cosa cambia se pubblico le foto sui social
Cambia tutto, ed è l'errore più comune: trattare «la foto» come una decisione sola. Fotografare per la consulenza e pubblicare sui social sono due finalità diverse, e la seconda richiede un consenso proprio, separato e documentato.
Le ragioni si sovrappongono: un consenso raccolto per la consulenza non è specifico per la pubblicazione; in Italia, oltre al GDPR, la diffusione dell'immagine di una persona riconoscibile richiede da sempre il suo assenso; e pubblicando consegni la foto a una piattaforma, che diventa un destinatario con regole sue.
In pratica: metti per iscritto chi è ritratta, su quali canali, per quanto tempo e come si revoca. Se revoca, il post va rimosso — anche a distanza di anni, anche se è quello che ha funzionato meglio.
Con le minorenni l'asticella si alza: il consenso lo dà chi esercita la responsabilità genitoriale, presente in salone. Alcuni adottano in via prudenziale una soglia intorno ai 14 anni sopra la quale decide direttamente il minore, sulla falsariga della regola che il GDPR detta per i servizi online. Sotto quella soglia, il genitore.
Una cliente chiede di cancellare la sua foto
È il diritto di cancellazione (art. 17): non devi chiedere perché, devi rispondere entro 30 giorni.
Cerca ovunque, ed è la parte scomoda: telefono del salone, telefoni personali dello staff, chat di lavoro, cartella del gestionale, cestino non svuotato, post pubblicati, storie archiviate, la stampa in vetrina. Poi cancella e conferma per iscritto; se la foto era stata inviata a un fornitore, inoltra a lui la richiesta. Se non conservi nulla, «non abbiamo copie» è una risposta valida, e va messa nero su bianco lo stesso.
Il punto che nessuno dice ad alta voce: se non sai dove sono le foto, non puoi cancellarle. Un archivio disordinato non è un problema di ordine, è un problema di conformità. Con lo stesso metodo e gli stessi tempi si gestiscono accesso (art. 15), limitazione (art. 18), opposizione (art. 21) e portabilità (art. 20).
Se lo strumento manda le foto a un fornitore cloud
Anteprime, simulazioni, prima e dopo generati dall'intelligenza artificiale: molti strumenti di consulenza funzionano inviando la foto a un server. Non è di per sé un problema, è una decisione da prendere a occhi aperti. Cosa chiedere al fornitore, pretendendo risposte scritte:
La foto viene conservata, e per quanto? Se la risposta è «non viene conservata», fattelo mettere nel contratto. Dove avviene l'elaborazione? Dentro o fuori dall'Unione Europea; se fuori, con quali garanzie — le Clausole Contrattuali Tipo adottate dalla Commissione con la Decisione (UE) 2021/914 sono lo strumento standard. Chi sono i sub-responsabili? Dietro quasi ogni anteprima AI c'è un motore di terze parti. Le immagini servono ad addestrare modelli? Molti servizi gratuiti lo prevedono nei termini d'uso, e le foto delle tue clienti non sono materiale di addestramento gratuito per nessuno. In quanto tempo ti avvisano di una violazione dei dati, visto che la notifica (artt. 33-34) tocca a te?
Il caso più rischioso non è il fornitore serio: è il parrucchiere che apre un'app AI generica sul proprio telefono. Lì non c'è contratto, e i termini d'uso spesso consentono il riutilizzo dell'immagine: uno strumento nato per uso privato non diventa professionale perché lo usi al lavoro.
Infine: quando un'immagine fotorealistica di una persona è generata dall'AI, l'AI Act (Regolamento UE 2024/1689) impone un obbligo di trasparenza — chi guarda deve sapere che quello che vede è generato.
Per quanto tempo si possono conservare le foto
Non esiste il numero di mesi giusto, e chi te lo dà a memoria sta improvvisando. Il criterio è uno: per il tempo necessario alla finalità dichiarata, non un minuto di più — e quel tempo lo decidi tu, per iscritto e prima.
Tradotto: la foto di consulenza usata sul momento dura la seduta, e la conservazione zero è la scelta più semplice da difendere; quella legata alla scheda tecnica della cliente dura quanto il rapporto, con una ripulitura periodica di chi non torna da anni; quella per portfolio e social dura quanto hai indicato nel consenso — se non l'hai indicato, il difetto sta a monte.
Due trappole: confondere le foto con i documenti fiscali — le fatture si conservano dieci anni perché una legge lo impone, le foto no — e dimenticare i backup, perché una foto cancellata dalla cartella ma viva in un backup automatico è ancora conservata.
Il minimo sindacale
Un'informativa breve, messa dove le clienti la vedono davvero. Consensi separati per consulenza, archivio e social, uno per finalità, con traccia di chi ha acconsentito e a cosa — il GDPR chiede di poterlo dimostrare, non solo di farlo. Sapere dove sono le foto, tutte. Un DPA da ogni fornitore che le tocca. Una durata decisa per iscritto. E un registro dei trattamenti (art. 30): le esenzioni per le realtà piccole vengono meno quando il trattamento non è occasionale, e un salone che fotografa clienti tutti i giorni non lo è.
Niente di tutto questo richiede un avvocato. Nei casi seri — archivi grandi, uso sistematico di AI sui volti, dati di minori — un consulente qualificato è denaro speso bene: questa è una guida divulgativa, non un parere legale.
Dove si colloca Miraviso
Per trasparenza: Miraviso è un'app di consulenza per saloni. La prova colore live gira interamente sul tablet, quindi nessuna immagine viene trasmessa; l'anteprima del taglio passa invece da un motore di generazione in cloud, con la foto elaborata in memoria su server in Unione Europea, mai scritta su disco né conservata, e il consenso raccolto dall'app prima di ogni sessione. Il salone resta titolare, Miraviso agisce da responsabile, e all'attivazione si firma il DPA previsto dall'art. 28. Il resto — informativa, consensi per i social, ordine nell'archivio — resta compito del salone, con noi o senza di noi.