RODO w salonie kosmetycznym dotyczy każdej osoby, która zapisuje dane klientek, także na działalności nierejestrowanej. Mały salon potrzebuje sześciu rzeczy: klauzuli informacyjnej, rejestru czynności przetwarzania, umów powierzenia, zgód tam, gdzie są wymagane, procedury na naruszenia i prośby klientek oraz zasad dostępu i przechowywania danych.
Najważniejsze informacje
- RODO dotyczy Cię, jeśli zapisujesz imię, telefon lub historię wizyt klientek. Forma działalności nie ma znaczenia, bo wyjątek obejmuje tylko czynności czysto osobiste lub domowe.
- Do obsługi rezerwacji nie potrzebujesz zgody klientki. Zgoda jest potrzebna na marketing, publikację zdjęć i zapis danych o zdrowiu.
- Marketing przez SMS, e-mail lub telefon wymaga osobnej zgody na każdy kanał (art. 398 Prawa komunikacji elektronicznej).
- Dane o zdrowiu (alergie, ciąża, choroby skóry) to dane szczególnej kategorii. Zbieraj je w formularzu ze zgodą i tylko w zakresie potrzebnym do zabiegu.
- Naruszenie ochrony danych, które grozi ryzykiem dla klientek, zgłaszasz do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin.
Czy kosmetyczka bez firmy też musi stosować RODO?
Tak. RODO nie pyta o formę działalności, tylko o to, czy przetwarzasz dane osobowe. Wyjątek w art. 2 rozporządzenia dotyczy czynności o charakterze czysto osobistym lub domowym. Prowadzenie gabinetu, nawet nierejestrowanego, do nich nie należy. Jesteś więc administratorem danych swoich klientek tak samo jak salon z dziesięcioma stanowiskami, tylko Twoja lista obowiązków jest krótsza.
Checklista 6 dokumentów RODO dla małego salonu
Sześć dokumentów i działań wystarcza zwykle do uporządkowania ochrony danych w jednoosobowym salonie. Skopiuj listę do notatnika i odhaczaj.
- Klauzula informacyjna (art. 13). Informujesz klientkę, kim jesteś, po co zbierasz dane, na jakiej podstawie, jak długo je przechowujesz i jakie ma prawa.
- Rejestr czynności przetwarzania (art. 30). Prosta tabela: jakie dane, w jakim celu, gdzie leżą, jak długo. UODO wskazuje, że wyjątek dla firm poniżej 250 osób nie działa, gdy przetwarzanie nie jest sporadyczne albo obejmuje dane szczególnych kategorii. Salon z kartami klientek i danymi o zdrowiu zwykle powinien rejestr prowadzić.
- Umowy powierzenia (art. 28). Każdy dostawca, który trzyma dane Twoich klientek (system rezerwacji, program do kart), powinien mieć z Tobą taką umowę.
- Zgody tam, gdzie są potrzebne. Marketing (osobno SMS, e-mail, telefon), zdjęcia klientek i dane o zdrowiu.
- Procedura na naruszenia i prośby klientek. Wiesz, co zrobisz, gdy zgubisz telefon z danymi albo klientka poprosi o usunięcie danych.
- Zasady dostępu i przechowywania. Kto ma wgląd w dane i na jak długo je trzymasz. RODO nie podaje liczby lat, wymaga, żebyś określiła okres albo kryterium.
Wzór klauzuli informacyjnej do wydruku przy recepcji
Klauzula mieści się w trzech zdaniach. Wydrukuj ją przy recepcji i dodaj na stronie rezerwacji. To propozycja do dostosowania, nie porada prawna.
Administratorem Twoich danych osobowych jest [imię i nazwisko lub nazwa salonu], [adres i e-mail]. Dane (imię, telefon, e-mail, historia wizyt) przetwarzamy, żeby realizować rezerwacje i usługi (art. 6 ust. 1 lit. b RODO) i przechowujemy je przez [okres lub kryterium, np. do końca roku po ostatniej wizycie]. Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania i sprzeciwu oraz prawo wniesienia skargi do Prezesa UODO.
Jeśli prowadzisz marketing, dopisz osobne pole zgody. Zgoda nie może być warunkiem zapisu na wizytę.
Kiedy potrzebujesz zgody klientki?
Zgody potrzebujesz na trzy rzeczy: marketing, zdjęcia i dane o zdrowiu. Rezerwacja i wykonanie usługi jej nie wymagają, bo opierają się na umowie.
- Marketing przez SMS, e-mail lub telefon. Przepisy wymagają zgody na każdy kanał osobno (art. 398 Prawa komunikacji elektronicznej). Przypomnienie o umówionej wizycie nie jest marketingiem. Lista klientek z innego systemu zgody nie daje.
- Zdjęcia klientek. Rozpowszechnianie wizerunku wymaga zezwolenia osoby na zdjęciu (art. 81 ustawy o prawie autorskim i prawach pokrewnych). Zdjęcia efektów publikujesz po wyraźnej zgodzie, najlepiej zapisanej.
- Dane o zdrowiu. Uczulenia, ciąża, choroby skóry to dane szczególnej kategorii. Zbieraj je w formularzu ze zgodą, tylko to, co potrzebne do bezpiecznego zabiegu.
Zasada: jedna zgoda to jeden cel. Nie używaj pola "wyrażam zgodę na wszystko".
Czego zwykle nie potrzebujesz w jednoosobowym salonie?
Zwykle nie potrzebujesz inspektora ochrony danych ani oceny skutków dla zwykłej obsługi rezerwacji. Inspektor jest obowiązkowy w przypadkach z art. 37 RODO, na przykład przy przetwarzaniu danych szczególnych kategorii na dużą skalę. Ocena skutków (art. 35) dotyczy przetwarzania o wysokim ryzyku. Przy kilkudziesięciu stałych klientkach to zwykle nie ten poziom. Jeśli ktoś sprzedaje Ci drogi "pakiet RODO", zapytaj, których z sześciu punktów checklisty on dotyczy. Wątpliwości rozstrzygnij z prawnikiem lub na stronie uodo.gov.pl.
Jak to wygląda w Bookito?
Bookito przetwarza dane Twoich klientek jako podmiot przetwarzający. Na życzenie podpisujemy umowę powierzenia (kontakt@bookito.pl), a listę podprocesorów znajdziesz na bookito.pl/podprocesorzy. Dane klientki możesz w każdej chwili wyeksportować lub usunąć. Dane szczególnej kategorii, jak alergie, notatki zabiegowe i odpowiedzi w formularzach zgód, szyfrujemy w bazie algorytmem AES-256-GCM, a klucz trzymamy poza bazą, w Azure Key Vault. Nie szyfrujemy natomiast imienia, telefonu i e-maila klientki na poziomie pola.
Serwery stoją w Polsce, w regionie Microsoft Azure Poland Central. To nie zastępuje Twoich obowiązków administratora. Więcej o bezpieczeństwie danych opisuje artykuł Bookito: RODO i ochrona danych klientów. Gotowy wzór obowiązku informacyjnego jest w tekście klauzula informacyjna RODO dla salonu kosmetycznego.
Najczęściej zadawane pytania
Co trzeba mieć w salonie kosmetycznym, żeby spełniać RODO?
Sześć rzeczy: klauzulę informacyjną, rejestr czynności przetwarzania, umowy powierzenia z dostawcami, zgody tam, gdzie są wymagane, procedurę na naruszenia i prośby klientek oraz zasady dostępu i przechowywania danych.
Czy kosmetyczka bez firmy też musi stosować RODO?
Tak. Wyjątek dotyczy tylko czynności czysto osobistych lub domowych. Przyjmowanie klientek i zapisywanie ich danych to działalność zarobkowa, więc jesteś administratorem tych danych niezależnie od formy działalności.
Jak długo przechowywać dane klientek i kartę zabiegu?
RODO nie podaje liczby lat. Wymaga, żebyś określiła okres albo kryterium i napisała o tym w klauzuli. Dokumenty księgowe i podatkowe mają osobne okresy, które ustal z księgową.
Czy do wysyłania SMS-ów klientkom potrzebna jest osobna zgoda?
Do reklam i promocji tak, osobno na każdy kanał (art. 398 Prawa komunikacji elektronicznej). Przypomnienie o umówionej wizycie to nie marketing i zgody marketingowej nie wymaga.
Czy potrzebuję zgody klientki na zdjęcia efektów zabiegu?
Tak, jeśli je publikujesz. Rozpowszechnianie wizerunku wymaga zezwolenia osoby, która jest na zdjęciu. Zapisz zgodę i zakres: gdzie zdjęcie zostanie pokazane, np. Instagram lub strona.
Źródła
- RODO, tekst rozporządzenia 2016/679, EUR-Lex
- UODO: Rejestrowanie czynności przetwarzania
- UODO: Zgłaszanie naruszeń
- Prawo komunikacji elektronicznej, art. 398, ISAP
- Ustawa o prawie autorskim i prawach pokrewnych, art. 81, ISAP
Ten tekst nie jest poradą prawną. Więcej o zasadach działania bez firmy znajdziesz w artykule działalność nierejestrowana w beauty, o danych przy zmianie systemu w tekście RODO a przeniesienie bazy klientów, a o zapisach w regulaminie w szablonie regulaminu salonu.
Chcesz mieć dane klientek w jednym systemie z umową powierzenia? Załóż konto w Bookito.
