# RODO w salonie kosmetycznym: co trzeba mieć, nawet bez firmy - URL: https://bookito.pl/blog/rodo-maly-salon - Opublikowano: 2026-08-23 - Dla: Salony beauty - Kategoria: Dla początkujących - Tagi: rodo, dane osobowe, klauzula informacyjna, zgoda na sms, mały salon > RODO w salonie kosmetycznym dotyczy każdej, kto zapisuje dane klientek, także bez firmy. Dostajesz checklistę 6 dokumentów, wzór klauzuli informacyjnej do wydruku i zasady zgód na SMS, zdjęcia i dane o zdrowiu. RODO w salonie kosmetycznym dotyczy każdej osoby, która zapisuje dane klientek, także na działalności nierejestrowanej. Mały salon potrzebuje sześciu rzeczy: klauzuli informacyjnej, rejestru czynności przetwarzania, umów powierzenia, zgód tam, gdzie są wymagane, procedury na naruszenia i prośby klientek oraz zasad dostępu i przechowywania danych. ## Najważniejsze informacje - RODO dotyczy Cię, jeśli zapisujesz imię, telefon lub historię wizyt klientek. Forma działalności nie ma znaczenia, bo wyjątek obejmuje tylko czynności czysto osobiste lub domowe. - Do obsługi rezerwacji nie potrzebujesz zgody klientki. Zgoda jest potrzebna na marketing, publikację zdjęć i zapis danych o zdrowiu. - Marketing przez SMS, e-mail lub telefon wymaga osobnej zgody na każdy kanał (art. 398 Prawa komunikacji elektronicznej). - Dane o zdrowiu (alergie, ciąża, choroby skóry) to dane szczególnej kategorii. Zbieraj je w formularzu ze zgodą i tylko w zakresie potrzebnym do zabiegu. - Naruszenie ochrony danych, które grozi ryzykiem dla klientek, zgłaszasz do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin. ## Czy kosmetyczka bez firmy też musi stosować RODO? Tak. RODO nie pyta o formę działalności, tylko o to, czy przetwarzasz dane osobowe. Wyjątek w art. 2 rozporządzenia dotyczy czynności o charakterze czysto osobistym lub domowym. Prowadzenie gabinetu, nawet nierejestrowanego, do nich nie należy. Jesteś więc administratorem danych swoich klientek tak samo jak salon z dziesięcioma stanowiskami, tylko Twoja lista obowiązków jest krótsza. ## Checklista 6 dokumentów RODO dla małego salonu Sześć dokumentów i działań wystarcza zwykle do uporządkowania ochrony danych w jednoosobowym salonie. Skopiuj listę do notatnika i odhaczaj. 1. **Klauzula informacyjna (art. 13).** Informujesz klientkę, kim jesteś, po co zbierasz dane, na jakiej podstawie, jak długo je przechowujesz i jakie ma prawa. 2. **Rejestr czynności przetwarzania (art. 30).** Prosta tabela: jakie dane, w jakim celu, gdzie leżą, jak długo. UODO wskazuje, że wyjątek dla firm poniżej 250 osób nie działa, gdy przetwarzanie nie jest sporadyczne albo obejmuje dane szczególnych kategorii. Salon z kartami klientek i danymi o zdrowiu zwykle powinien rejestr prowadzić. 3. **Umowy powierzenia (art. 28).** Każdy dostawca, który trzyma dane Twoich klientek (system rezerwacji, program do kart), powinien mieć z Tobą taką umowę. 4. **Zgody tam, gdzie są potrzebne.** Marketing (osobno SMS, e-mail, telefon), zdjęcia klientek i dane o zdrowiu. 5. **Procedura na naruszenia i prośby klientek.** Wiesz, co zrobisz, gdy zgubisz telefon z danymi albo klientka poprosi o usunięcie danych. 6. **Zasady dostępu i przechowywania.** Kto ma wgląd w dane i na jak długo je trzymasz. RODO nie podaje liczby lat, wymaga, żebyś określiła okres albo kryterium. ## Wzór klauzuli informacyjnej do wydruku przy recepcji Klauzula mieści się w trzech zdaniach. Wydrukuj ją przy recepcji i dodaj na stronie rezerwacji. To propozycja do dostosowania, nie porada prawna. > Administratorem Twoich danych osobowych jest [imię i nazwisko lub nazwa salonu], [adres i e-mail]. Dane (imię, telefon, e-mail, historia wizyt) przetwarzamy, żeby realizować rezerwacje i usługi (art. 6 ust. 1 lit. b RODO) i przechowujemy je przez [okres lub kryterium, np. do końca roku po ostatniej wizycie]. Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania i sprzeciwu oraz prawo wniesienia skargi do Prezesa UODO. Jeśli prowadzisz marketing, dopisz osobne pole zgody. Zgoda nie może być warunkiem zapisu na wizytę. ## Kiedy potrzebujesz zgody klientki? Zgody potrzebujesz na trzy rzeczy: marketing, zdjęcia i dane o zdrowiu. Rezerwacja i wykonanie usługi jej nie wymagają, bo opierają się na umowie. - **Marketing przez SMS, e-mail lub telefon.** Przepisy wymagają zgody na każdy kanał osobno (art. 398 Prawa komunikacji elektronicznej). Przypomnienie o umówionej wizycie nie jest marketingiem. Lista klientek z innego systemu zgody nie daje. - **Zdjęcia klientek.** Rozpowszechnianie wizerunku wymaga zezwolenia osoby na zdjęciu (art. 81 ustawy o prawie autorskim i prawach pokrewnych). Zdjęcia efektów publikujesz po wyraźnej zgodzie, najlepiej zapisanej. - **Dane o zdrowiu.** Uczulenia, ciąża, choroby skóry to dane szczególnej kategorii. Zbieraj je w formularzu ze zgodą, tylko to, co potrzebne do bezpiecznego zabiegu. Zasada: jedna zgoda to jeden cel. Nie używaj pola "wyrażam zgodę na wszystko". ## Czego zwykle nie potrzebujesz w jednoosobowym salonie? Zwykle nie potrzebujesz inspektora ochrony danych ani oceny skutków dla zwykłej obsługi rezerwacji. Inspektor jest obowiązkowy w przypadkach z art. 37 RODO, na przykład przy przetwarzaniu danych szczególnych kategorii na dużą skalę. Ocena skutków (art. 35) dotyczy przetwarzania o wysokim ryzyku. Przy kilkudziesięciu stałych klientkach to zwykle nie ten poziom. Jeśli ktoś sprzedaje Ci drogi "pakiet RODO", zapytaj, których z sześciu punktów checklisty on dotyczy. Wątpliwości rozstrzygnij z prawnikiem lub na stronie uodo.gov.pl. ## Jak to wygląda w Bookito? Bookito przetwarza dane Twoich klientek jako podmiot przetwarzający. Na życzenie podpisujemy umowę powierzenia (kontakt@bookito.pl), a listę podprocesorów znajdziesz na bookito.pl/podprocesorzy. Dane klientki możesz w każdej chwili wyeksportować lub usunąć. Dane szczególnej kategorii, jak alergie, notatki zabiegowe i odpowiedzi w formularzach zgód, szyfrujemy w bazie algorytmem AES-256-GCM, a klucz trzymamy poza bazą, w Azure Key Vault. Nie szyfrujemy natomiast imienia, telefonu i e-maila klientki na poziomie pola. Serwery stoją w Polsce, w regionie Microsoft Azure Poland Central. To nie zastępuje Twoich obowiązków administratora. Więcej o bezpieczeństwie danych opisuje artykuł [Bookito: RODO i ochrona danych klientów](/blog/bookito-bezpieczenstwo-rodo-ochrona-danych). Gotowy wzór obowiązku informacyjnego jest w tekście [klauzula informacyjna RODO dla salonu kosmetycznego](/blog/klauzula-informacyjna-rodo-salon-kosmetyczny). ## Najczęściej zadawane pytania ### Co trzeba mieć w salonie kosmetycznym, żeby spełniać RODO? Sześć rzeczy: klauzulę informacyjną, rejestr czynności przetwarzania, umowy powierzenia z dostawcami, zgody tam, gdzie są wymagane, procedurę na naruszenia i prośby klientek oraz zasady dostępu i przechowywania danych. ### Czy kosmetyczka bez firmy też musi stosować RODO? Tak. Wyjątek dotyczy tylko czynności czysto osobistych lub domowych. Przyjmowanie klientek i zapisywanie ich danych to działalność zarobkowa, więc jesteś administratorem tych danych niezależnie od formy działalności. ### Jak długo przechowywać dane klientek i kartę zabiegu? RODO nie podaje liczby lat. Wymaga, żebyś określiła okres albo kryterium i napisała o tym w klauzuli. Dokumenty księgowe i podatkowe mają osobne okresy, które ustal z księgową. ### Czy do wysyłania SMS-ów klientkom potrzebna jest osobna zgoda? Do reklam i promocji tak, osobno na każdy kanał (art. 398 Prawa komunikacji elektronicznej). Przypomnienie o umówionej wizycie to nie marketing i zgody marketingowej nie wymaga. ### Czy potrzebuję zgody klientki na zdjęcia efektów zabiegu? Tak, jeśli je publikujesz. Rozpowszechnianie wizerunku wymaga zezwolenia osoby, która jest na zdjęciu. Zapisz zgodę i zakres: gdzie zdjęcie zostanie pokazane, np. Instagram lub strona. ## Źródła - [RODO, tekst rozporządzenia 2016/679, EUR-Lex](https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32016R0679) - [UODO: Rejestrowanie czynności przetwarzania](https://uodo.gov.pl/pl/383/214) - [UODO: Zgłaszanie naruszeń](https://uodo.gov.pl/pl/525/2584) - [Prawo komunikacji elektronicznej, art. 398, ISAP](https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20240001221) - [Ustawa o prawie autorskim i prawach pokrewnych, art. 81, ISAP](https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU19940240083) Ten tekst nie jest poradą prawną. Więcej o zasadach działania bez firmy znajdziesz w artykule [działalność nierejestrowana w beauty](/blog/dzialalnosc-nierejestrowana-beauty), o danych przy zmianie systemu w tekście [RODO a przeniesienie bazy klientów](/blog/rodo-przeniesienie-bazy-klientow), a o zapisach w regulaminie w [szablonie regulaminu salonu](/blog/template-regulamin-salonu-wzor). Chcesz mieć dane klientek w jednym systemie z umową powierzenia? [Załóż konto w Bookito](/zaloz-konto).