RODO w salonie kosmetycznym — zgody, dokumentacja i obowiązki

Kupując profesjonalne urządzenie do salonu, zwykle myślimy o zabiegach i zwrocie z inwestycji — a o jednym z najważniejszych obowiązków przypominamy sobie dopiero, gdy klientka pyta „a co z moimi danymi?". Salon kosmetyczny przetwarza wyjątkowo czułe informacje: dane kontaktowe, kartę zabiegów, a przy procedurach aparaturowych — także dane o stanie zdrowia. W tym poradniku zbieramy w jednym miejscu, czego RODO wymaga od gabinetu beauty: jakie zgody zbierać, jak prowadzić dokumentację i jak nie wpaść w typowe pułapki. To materiał informacyjny — wdrożenie warto skonsultować z prawnikiem lub inspektorem ochrony danych.

Salon jako administrator danych

Z chwilą, gdy zapisujesz klientkę na wizytę i prowadzisz jej kartę, stajesz się administratorem danych osobowych. To oznacza zestaw obowiązków:

• Obowiązek informacyjny — klient musi wiedzieć, kto przetwarza jego dane, w jakim celu, na jakiej podstawie, jak długo i jakie ma prawa (klauzula informacyjna RODO).
• Podstawa prawna — najczęściej: wykonanie usługi (umowa), obowiązek prawny (faktury), uzasadniony interes (dochodzenie roszczeń) lub zgoda (marketing, wizerunek).
• Minimalizacja — zbierasz tylko dane realnie potrzebne do celu.
• Bezpieczeństwo — dane (papierowe karty, system rezerwacji, dysk) muszą być zabezpieczone przed dostępem osób nieupoważnionych.

Dane o zdrowiu — szczególna kategoria

To punkt, który najczęściej umyka właścicielom salonów. Wywiad przed zabiegiem aparaturowym — pytania o ciążę, choroby przewlekłe, leki (np. światłouczulające), alergie, skłonność do bliznowców, choroby skóry — to zbieranie danych o zdrowiu, czyli szczególnej kategorii danych („danych wrażliwych").

Przetwarzanie takich danych wymaga wyższego standardu: zwykle wyraźnej zgody na konkretny cel (bezpieczne wykonanie zabiegu), szczególnego zabezpieczenia kart i ograniczenia dostępu wyłącznie do osób, które realnie muszą je znać. Karty z wywiadem zdrowotnym nie mogą leżeć w recepcji na widoku ani być dostępne dla przypadkowych pracowników.

Świadoma zgoda na zabieg — dwie funkcje naraz

Formularz zgody na zabieg pełni podwójną rolę. Po pierwsze, realizuje wymogi RODO co do przetwarzania danych o zdrowiu. Po drugie — i to często ważniejsze w praktyce — chroni salon: dokumentuje, że klientka została poinformowana o przebiegu zabiegu, przeciwwskazaniach i zaleceniach pozabiegowych oraz że je zaakceptowała.

Dobry formularz zawiera: dane klientki, wywiad zdrowotny, informację o zabiegu i jego ryzykach, potwierdzenie braku przeciwwskazań, zalecenia pozabiegowe oraz datę i podpis. To dokument, który warto mieć przy każdym zabiegu aparaturowym — od depilacji laserowej po zabiegi na przebarwienia.

Zdjęcia „przed/po" i wizerunek

Zdjęcia efektów to znakomity materiał marketingowy — ale to także wizerunek, czyli dane osobowe. Tu obowiązuje jasna zasada: cel dokumentacyjny to nie to samo, co publikacja.

• Zdjęcie do karty zabiegu (porównanie efektów, bezpieczeństwo) — mieści się w realizacji usługi.
• Publikacja zdjęcia w social mediach, na stronie czy w reklamie — wymaga osobnej, dobrowolnej i wyraźnej zgody na wykorzystanie wizerunku, ze wskazaniem gdzie i jak będzie użyty. Zgoda musi być odwoływalna.

Nie wolno zakładać, że zgoda na zabieg obejmuje publikację zdjęć — to częsty i kosztowny błąd.

Checklista RODO dla salonu

Prawa klienta, o których warto wiedzieć

Klient ma prawo m.in. do: dostępu do swoich danych, ich sprostowania, usunięcia („prawo do bycia zapomnianym" — z zastrzeżeniem obowiązków prawnych), ograniczenia przetwarzania, sprzeciwu wobec marketingu i wycofania zgody w dowolnym momencie. Warto mieć prostą procedurę obsługi takich żądań, żeby reagować spokojnie i w terminie — zamiast szukać rozwiązania w panice.

Najczęstsze pytania

Czy do prowadzenia salonu muszę powołać inspektora ochrony danych (IOD)?

Mały salon zwykle nie ma takiego obowiązku — IOD jest wymagany w określonych przypadkach (np. przetwarzanie danych wrażliwych na dużą skalę). Niewielki gabinet kosmetyczny zazwyczaj nie spełnia przesłanek „dużej skali", ale ocenę warto potwierdzić z prawnikiem, bo zależy od konkretnej działalności.

Czy karty papierowe są zgodne z RODO?

Tak, forma papierowa jest dopuszczalna — kluczowe jest zabezpieczenie. Karty z danymi o zdrowiu powinny być przechowywane w zamykanej szafce/szufladzie, niedostępne dla osób postronnych i nieleżące na widoku. To samo dotyczy formularzy zgód i wywiadów.

Klientka prosi o usunięcie danych — czy muszę usunąć wszystko od razu?

Nie zawsze całość. Część danych możesz (a nawet musisz) zachować ze względu na przepisy — np. dane z faktur do celów podatkowych albo dokumentację potrzebną do obrony przed ewentualnym roszczeniem do czasu przedawnienia. Pozostałe dane, dla których ustał cel przetwarzania, należy usunąć. Warto mieć to opisane w polityce przechowywania.

Czy umawianie wizyt przez Messengera/Instagrama jest OK?

Korzystanie z zewnętrznych komunikatorów oznacza, że dane przepływają przez systemy tych dostawców — warto być tego świadomym, informować klientów i nie przenosić tam danych wrażliwych (wywiadu zdrowotnego). Do umówienia terminu komunikator wystarczy; szczegóły zdrowotne zbieraj na miejscu, na zabezpieczonym formularzu.

Gdzie znajdę wzór klauzuli informacyjnej?

Przykład klauzuli i polityki prywatności (obowiązek informacyjny RODO art. 13 oraz sekcję o plikach cookies) zastosowaliśmy także na tej stronie — możesz zajrzeć do naszej Polityki prywatności i cookies jako poglądowego wzorca konstrukcji. Pamiętaj jednak, że treść trzeba dostosować do realiów Twojego salonu — najlepiej z prawnikiem.