RODO w salonie kosmetycznym – co musisz wiedzieć

Dlaczego salon beauty to szczególny przypadek

Standardowe dane klientki — imię, nazwisko, telefon — to zwykłe dane osobowe. Ale w momencie, gdy pytasz o ciążę, przyjmowane leki, choroby przewlekłe czy alergie, wchodzisz w kategorię danych szczególnych (art. 9 RODO), potocznie zwanych wrażliwymi. Ich przetwarzanie jest co do zasady zakazane — chyba że osoba wyraziła na to wyraźną zgodę.

To rozróżnienie ma praktyczne konsekwencje. Zgoda na przetwarzanie danych zdrowotnych musi być bardziej jednoznaczna niż zwykła zgoda: nie wystarczy domyślnie zaznaczony checkbox ani ogólnikowe „akceptuję regulamin". Klientka musi świadomie i osobno potwierdzić, że zgadza się na przetwarzanie informacji o swoim zdrowiu w celu bezpiecznego wykonania zabiegu.

Sześć obowiązków właścicielki salonu

1. Klauzula informacyjna. Każda osoba, której dane zbierasz, musi otrzymać komplet informacji o przetwarzaniu — najpóźniej w momencie ich zbierania.
2. Podstawa prawna dla każdego celu. Wykonanie usługi, dokumentacja zabiegowa, marketing, publikacja zdjęć — to cztery różne cele wymagające czterech różnych podstaw.
3. Rejestr czynności przetwarzania. Wbrew rozpowszechnionej opinii, mały salon zwykle też musi go prowadzić.
4. Zabezpieczenie danych. Zamykana szafa na papier, hasła i szyfrowanie na dane cyfrowe, kontrola dostępu pracowników.
5. Umowy powierzenia. Z każdym podmiotem, który przetwarza dane w Twoim imieniu: dostawcą oprogramowania, biurem rachunkowym, firmą hostingową.
6. Obsługa praw klientek. Prawo dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia i sprzeciwu — masz miesiąc na odpowiedź.

Jak poprawnie sformułować zgody

Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. W praktyce oznacza to cztery zasady:

• Rozdzielność. Osobne pole dla każdego celu. Nie łącz zgody na zabieg ze zgodą marketingową.
• Brak domyślnego zaznaczenia. Checkbox zaznacza klientka, nie system.
• Brak warunkowania usługi. Nie możesz odmówić zabiegu, bo klientka nie zgodziła się na newsletter.
• Łatwe wycofanie. Wycofanie zgody musi być tak samo proste jak jej udzielenie.

Przykładowe brzmienia

Zgoda na dane zdrowotne (wymagana):
„Wyrażam wyraźną zgodę na przetwarzanie przez [nazwa salonu] danych dotyczących mojego zdrowia, podanych w wywiadzie kosmetycznym, w celu oceny przeciwwskazań i bezpiecznego wykonania zabiegu."

Zgoda na zdjęcia (dobrowolna):
„Wyrażam zgodę na wykonanie i przechowywanie fotografii dokumentujących efekty zabiegu w mojej karcie klienta."

Zgoda na publikację (dobrowolna, osobna):
„Wyrażam zgodę na nieodpłatne rozpowszechnianie mojego wizerunku w materiałach promocyjnych salonu, w tym w mediach społecznościowych."

Zgoda marketingowa (dobrowolna):
„Wyrażam zgodę na otrzymywanie informacji handlowych na podany numer telefonu / adres e-mail."

Klauzula informacyjna – co musi zawierać

Klauzula to nie zgoda — to informacja, którą przekazujesz niezależnie od tego, czy klientka cokolwiek podpisze. Musi zawierać:

• Kto jest administratorem danych (pełna nazwa, adres, dane kontaktowe)
• Cele przetwarzania i podstawę prawną dla każdego z nich
• Odbiorców danych lub ich kategorie (np. dostawca systemu do kart klienta)
• Okres przechowywania albo kryteria jego ustalenia
• Wykaz praw: dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw
• Prawo wycofania zgody bez wpływu na zgodność przetwarzania sprzed wycofania
• Prawo wniesienia skargi do Prezesa UODO
• Informację, czy podanie danych jest wymogiem i jakie są skutki ich niepodania

Rejestr czynności przetwarzania

Rozpowszechnione jest przekonanie, że firmy do 250 pracowników są z tego obowiązku zwolnione. To uproszczenie. Wyłączenie nie działa, gdy przetwarzanie nie ma charakteru sporadycznego albo obejmuje dane szczególnych kategorii. Salon kosmetyczny spełnia oba warunki — regularnie zbiera dane o zdrowiu. Rejestr więc prowadzisz.

Nie musi to być skomplikowany dokument. Wystarczy tabela z kolumnami: nazwa czynności, cel, kategorie osób, kategorie danych, odbiorcy, planowany termin usunięcia, opis zastosowanych zabezpieczeń. Dla typowego gabinetu to zwykle 3–5 wierszy: obsługa zabiegowa, rezerwacje, marketing, księgowość, rekrutacja.

Zdjęcia przed i po – osobny temat

Fotografia twarzy to dana osobowa. Jeśli dokumentuje stan skóry — jest też daną zdrowotną. Dlatego potrzebujesz dwóch odrębnych zgód: na wykonanie i przechowywanie zdjęcia w dokumentacji oraz na publikację w celach marketingowych.

Druga zgoda dodatkowo podlega przepisom prawa autorskiego o ochronie wizerunku, więc powinna określać zakres: gdzie publikujesz, czy zdjęcie będzie kadrowane, czy twarz pozostanie rozpoznawalna, jak długo materiał będzie dostępny. Zgoda bezterminowa i nieograniczona zakresowo jest podważalna.

Kary i realne ryzyko kontroli

RODO przewiduje kary do 20 mln euro lub 4% rocznego obrotu. W polskiej praktyce kary nakładane na małe podmioty usługowe są znacznie niższe — liczone w tysiącach złotych — ale realne. Ważniejsze bywa jednak co innego: koszty i reputacja.

Kontrola UODO rzadko przychodzi „z urzędu" do gabinetu na osiedlu. Najczęściej rusza po skardze klientki — na przykład po publikacji zdjęcia bez zgody albo po odmowie usunięcia danych. Skarga jest bezpłatna i zajmuje kilka minut, więc bariera wejścia jest niska.

Checklista wdrożeniowa

1. Sporządź klauzulę informacyjną z własnymi danymi jako administratora
2. Rozdziel zgody na osobne pola: zabieg, dane zdrowotne, zdjęcia w dokumentacji, publikacja, marketing
3. Załóż rejestr czynności przetwarzania
4. Podpisz umowy powierzenia z dostawcami oprogramowania i biurem rachunkowym
5. Zabezpiecz nośniki: hasła, szyfrowanie, zamykana szafa na papier
6. Ustal i zapisz okresy przechowywania dla każdej kategorii danych
7. Przeszkol pracownice i odbierz od nich upoważnienia do przetwarzania
8. Przygotuj procedurę reagowania na wniosek klientki i na naruszenie ochrony danych

Elektroniczna karta klienta upraszcza większość z tych punktów: zgody są zbierane rozdzielnie i z automatycznym znacznikiem czasu, dane są szyfrowane, a realizacja wniosku o eksport lub usunięcie zajmuje kilka sekund. Zobacz, jak wygląda poprawnie skonstruowana karta klienta.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej. W sprawach spornych lub przy zabiegach o podwyższonym ryzyku warto skonsultować dokumentację z prawnikiem lub inspektorem ochrony danych.