RODO w salonie kosmetycznym: zgody, karty zabiegowe i zdjęcia przed i po

• Danych do umówienia i wykonania wizyty nie zbierasz na zgodę, tylko na podstawie umowy (art. 6 ust. 1 lit. b RODO).
• Wywiad zdrowotny, alergie i przeciwwskazania to dane o zdrowiu — w salonie kosmetycznym potrzebna jest wyraźna, osobna zgoda (art. 9 ust. 2 lit. a RODO).
• Marketing SMS i e-mail wymaga zgody z art. 398 Prawa komunikacji elektronicznej, które od 10 listopada 2024 roku zastąpiło dawne przepisy.
• Przypomnienie o wizycie nie jest marketingiem — pod warunkiem, że nie dopiszesz do niego promocji.
• Zdjęcie „przed i po” do publikacji wymaga zgody na wizerunek (art. 81 prawa autorskiego) ORAZ wyraźnej zgody na dane o zdrowiu.
• Salon prawie zawsze musi prowadzić rejestr czynności przetwarzania, mimo że zatrudnia kilka osób.

Najczęstszy błąd to zbieranie zgody na wszystko. Imię, nazwisko, telefon, termin i zakres usługi są potrzebne do wykonania umowy, którą zawieracie w momencie rezerwacji. Podstawą jest art. 6 ust. 1 lit. b RODO, a nie zgoda. Gdyby była to zgoda, klientka mogłaby ją wycofać i salon musiałby usunąć dane, których potrzebuje do rozliczenia wizyty.

Osobno stoją: obowiązki podatkowe i księgowe (art. 6 ust. 1 lit. c), obrona przed roszczeniami (lit. f) i marketing. Marketing własny do swoich klientów można oprzeć na uzasadnionym interesie, ale to dotyczy tylko podstawy RODO — legalność samego kanału SMS czy e-mail reguluje osobna ustawa, o której niżej.

Alergie, choroby przewlekłe, ciąża, leki, stan skóry i przeciwwskazania to dane szczególnej kategorii. Ich przetwarzanie jest co do zasady zakazane, chyba że zachodzi wyjątek z art. 9 ust. 2 RODO. Salon kosmetyczny, który nie jest podmiotem leczniczym, ma do dyspozycji właściwie tylko jeden: wyraźną zgodę (lit. a).

Wyraźna oznacza osobną i jednoznaczną: własny checkbox albo podpis pod wywiadem, nigdy zgoda domyślnie zaznaczona ani schowana w regulaminie. Odmowa takiej zgody może uniemożliwić bezpieczne wykonanie zabiegu i to jest w porządku. Czego nie wolno: uzależniać wykonania zabiegu od zgody marketingowej (art. 7 ust. 4 RODO).

Gabinet medycyny estetycznej działający jako podmiot leczniczy jest w innej sytuacji: prowadzi dokumentację medyczną na podstawie art. 9 ust. 2 lit. h RODO i zgody na dane o zdrowiu nie potrzebuje.

Do listopada 2024 roku obowiązywał dualizm: zgoda na informację handlową z ustawy o świadczeniu usług drogą elektroniczną plus zgoda na użycie urządzeń końcowych z Prawa telekomunikacyjnego. Oba przepisy zostały uchylone. Dziś marketing bezpośredni reguluje art. 398 ustawy z 12 lipca 2024 roku — Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221), obowiązującej od 10 listopada 2024 roku.

Jeden przepis obejmuje SMS, e-mail, telefon i komunikatory: bez uprzedniej zgody odbiorcy nie wolno wysyłać marketingu. Zgoda musi spełniać standard RODO, czyli być dobrowolna, konkretna, świadoma i jednoznaczna. Jedna zgoda może objąć SMS i e-mail, jeśli wprost wymienia oba kanały, ale bezpieczniej dać osobne pola — wtedy klientka może wybrać kanał, a Ty łatwiej obsłużysz częściowe wycofanie.

Pamiętaj o dwóch warstwach: art. 398 legalizuje kanał, a RODO podstawę przetwarzania danych. Trzeba mieć obie. Za naruszenie art. 398 Prezes UKE może nałożyć karę do 3% rocznego przychodu albo do miliona złotych, zależnie od tego, która kwota jest wyższa.

Przypomnienie o umówionym terminie służy wykonaniu umowy, więc nie wymaga zgody marketingowej. Powszechnie przyjmuje się takie rozróżnienie, choć UODO nie wydał w tej sprawie odrębnego stanowiska dla salonów.

Granicą jest treść wiadomości. Dopisanie do przypomnienia promocji, nawet w stopce, zmienia je w marketing bezpośredni i wtedy zgoda jest potrzebna. Druga zasada to minimalizacja: nie wpisuj w SMS nazwy zabiegu, która ujawnia stan zdrowia. Bezpieczna formuła to salon, data i godzina.

To dwie różne sprawy i wymagają różnych zgód. Zrobienie zdjęcia do karty zabiegowej nie jest rozpowszechnianiem wizerunku, ale samo zdjęcie zmiany skórnej to dane o zdrowiu. Publikacja na Instagramie wymaga dodatkowo zezwolenia na rozpowszechnianie wizerunku z art. 81 ustawy o prawie autorskim.

Zgoda na publikację powinna wskazywać kanały, zakres kadru i prawo do wycofania. Kadrowanie bez twarzy nie zwalnia automatycznie: jeśli osoba jest rozpoznawalna po tatuażu, znamieniu czy wnętrzu salonu, to nadal jej wizerunek. I rzecz podstawowa: zdjęcia klientek trzymaj w systemie salonu, a nie w prywatnym telefonie pracownika.

Dla salonu kosmetycznego nie ma przepisu wskazującego termin. Obowiązuje zasada ograniczenia przechowywania z art. 5 ust. 1 lit. e RODO: sam ustalasz okres, umiesz go uzasadnić i wpisujesz do klauzuli informacyjnej. Punktem odniesienia są terminy przedawnienia roszczeń:

Zasada, która porządkuje całość: jeden termin na jeden cel, a nie jeden termin dla całej kartoteki. Częsty błąd w poradnikach branżowych to podawanie 3 lat jako terminu dla roszczeń klientki — trzyletni termin dotyczy roszczeń przedsiębiorcy, a nie konsumentki.

• Klauzulę informacyjną przekazujesz przy pozyskaniu danych, czyli przy rezerwacji, a nie przy wizycie miesiąc później. Może być warstwowo: krótka informacja przy formularzu i pełna treść pod linkiem.
• Musisz umieć wykazać, że informacja dotarła — checkbox „zapoznałam się”, podpis na karcie albo link w wiadomości potwierdzającej.
• Rejestr czynności przetwarzania: zwolnienie dla firm poniżej 250 osób nie działa, gdy przetwarzanie jest regularne albo obejmuje dane o zdrowiu. W salonie zachodzą zwykle oba warunki, więc rejestr trzeba prowadzić.
• Z dostawcą programu do salonu podpisujesz umowę powierzenia (art. 28 RODO). Sprawdź w niej listę podprocesorów, tryb zgłaszania naruszeń oraz to, co stanie się z danymi po zakończeniu umowy.
• Pracownikom nie dajesz umowy powierzenia, tylko upoważnienie do przetwarzania danych i zobowiązanie do poufności.
• Inspektora ochrony danych pojedynczy salon zwykle nie musi powoływać. Przy sieci kilkudziesięciu salonów z centralną bazą ocena może być inna.

Halo24 porządkuje dokumentację i dowody, ale nie zastępuje decyzji, które musi podjąć salon: jakie zgody zbierasz, jak długo trzymasz dane i co wpisujesz do klauzuli informacyjnej.

• Zgody w kartotece klientki jako osobne pozycje: RODO, marketing SMS i marketing e-mail, z datą nadania i cofnięcia oraz historią zmian.
• Ankiety i karty zabiegowe wypełniane na tablecie w salonie albo linkiem wysłanym przed wizytą, z podpisem na ekranie, datą i zapisem, co dokładnie klientka podpisała.
• Rezygnacja z wiadomości per kanał — osobno SMS i e-mail — z linkiem w wiadomości i możliwością powrotu. Rezygnacja blokuje wysyłki w danym kanale.
• Zdjęcia i dokumenty w karcie klientki zamiast w telefonie pracownika.
• Historia wysłanych wiadomości przy karcie klientki, zawężona do placówki.
• Rejestr logowań pracowników do systemu.
• Umowa powierzenia przetwarzania i jawna lista podprocesorów.