RGPD en institut de beauté : le guide pratique de mise en conformité
En bref
Un institut de beauté doit respecter le RGPD dès qu'il collecte des données de clientes. Concrètement : informer les clientes, ne collecter que l'utile, obtenir un consentement explicite pour les données de santé du questionnaire et pour les photos publiées, limiter les durées de conservation, tenir un registre des traitements et choisir des prestataires qui hébergent les données de façon sécurisée, idéalement dans l'UE.
À retenir
- Le questionnaire de santé contient des données sensibles : base légale, sécurité et accès limité sont indispensables.
- Le logiciel est votre sous-traitant : exigez un contrat conforme à l'article 28 du RGPD.
- Fixez une durée de conservation pour chaque type de donnée et supprimez ce qui n'est plus nécessaire.
- Publier une photo avant/après exige un accord distinct du consentement au soin.
- La CNIL est l'autorité de contrôle en France ; en Belgique c'est l'APD, au Luxembourg la CNPD.
Coordonnées, historique des rendez-vous, allergies, traitements, photos du visage ou du corps : un institut de beauté manipule chaque jour des informations personnelles, dont certaines très sensibles. Le RGPD s'applique à vous, quelle que soit la taille de votre structure, que vous travailliez seule ou avec une équipe.
Le sujet fait souvent peur, mais l'essentiel tient en quelques principes de bon sens. Ce guide traduit le RGPD en actions concrètes pour un institut, une onglerie, un bar à cils, un centre laser ou une clinique esthétique. Il ne remplace pas un conseil juridique, mais il vous donne une base solide.
Quelles données un institut de beauté collecte-t-il ?
Faites d'abord l'inventaire. Vous collectez probablement plus de données que vous ne le pensez, sur plusieurs supports : agenda, téléphone, messagerie, fiches papier, logiciel.
| Type de donnée | Exemples | Sensibilité |
|---|---|---|
| Identification et contact | Nom, téléphone, e-mail, date de naissance | Standard |
| Rendez-vous et achats | Historique des soins, prestations, bons cadeaux | Standard |
| Données de santé | Allergies, traitements, grossesse, pathologies cutanées | Catégorie particulière (art. 9) |
| Photos | Avant/après, suivi de cicatrisation | Élevée, parfois donnée de santé |
| Préférences marketing | Consentement aux SMS ou e-mails promotionnels | Standard |
Les informations du questionnaire de santé sont-elles des données sensibles ?
Oui. Les informations sur l'état de santé, comme une allergie, un traitement ou une grossesse, font partie des catégories particulières de données visées par l'article 9 du RGPD. Leur traitement est en principe interdit, sauf exceptions. En institut, l'exception la plus courante est le consentement explicite de la cliente, recueilli pour une finalité précise : la sécurité du soin.
Concrètement, la cliente doit comprendre pourquoi vous lui posez ces questions et accepter clairement. Ces données ne doivent être accessibles qu'aux personnes qui réalisent le soin, et jamais utilisées à d'autres fins, par exemple marketing.
Clinique ou cabinet de médecine esthétique en France : les données de patients relèvent du secret médical, et leur hébergement par un prestataire est soumis à la certification HDS (hébergement de données de santé). Vérifiez la situation de votre logiciel pour votre activité.
Quelles sont les obligations concrètes du RGPD pour un institut ?
Voici la checklist à parcourir. La plupart des points se règlent en une après-midi et se revoient une fois par an.
- Tenir un registre des traitements : liste des traitements (gestion des rendez-vous, fiches clientes, prospection), finalités, données, durées, destinataires. La CNIL propose un modèle simplifié.
- Informer les clientes : une mention d'information claire sur le formulaire de réservation et une politique de confidentialité sur votre site.
- Minimiser les données : ne demander que ce qui sert réellement au soin.
- Recueillir les bons consentements : données de santé, utilisation des photos, messages promotionnels, chacun séparément.
- Fixer des durées de conservation et supprimer ou anonymiser ensuite.
- Sécuriser l'accès : mots de passe personnels, comptes séparés par collaboratrice, verrouillage des écrans, pas de fiches papier qui traînent à l'accueil.
- Encadrer les prestataires : contrat de sous-traitance avec votre logiciel, votre outil d'envoi de SMS, votre hébergeur.
- Prévoir la gestion des demandes : accès, rectification, effacement, opposition, dans un délai d'un mois.
- Savoir réagir à une violation : notifier la CNIL dans les 72 heures si la violation présente un risque pour les personnes.
Combien de temps conserver les données des clientes ?
Le RGPD ne fixe pas de durée universelle : c'est à vous de la définir et de la justifier selon la finalité. Quelques repères couramment admis peuvent vous guider ; documentez vos choix dans votre registre.
| Donnée | Repère de conservation | Remarque |
|---|---|---|
| Fiche cliente active | Pendant la relation commerciale | Mettre à jour régulièrement |
| Prospection commerciale | 3 ans après le dernier contact de la cliente | Repère recommandé par la CNIL |
| Questionnaire de santé et consentements | Durée justifiée par la sécurité et les réclamations possibles | À définir avec votre assureur ou conseil |
| Pièces comptables | Selon les obligations comptables et fiscales | Factures et justificatifs |
| Dossier médical (médecine esthétique) | Règles propres au dossier médical | Se référer au cadre applicable aux médecins |
Peut-on publier des photos avant/après sur Instagram ?
Seulement avec l'accord explicite et préalable de la cliente, distinct du consentement au soin. Une photo de visage ou de corps permet d'identifier une personne et peut révéler des informations sur sa santé (acné, cicatrices, pathologie cutanée).
Rédigez une autorisation claire : quelles photos, sur quels supports (site, Instagram, publicité), pour quelle durée, et la possibilité de retirer son accord à tout moment. Les photos réalisées pour le suivi du soin restent dans la fiche et ne servent qu'à ce suivi. Sur les réseaux, recadrez autant que possible pour éviter d'identifier la cliente.
Rappels SMS, e-mails, WhatsApp : qu'est-ce qui est autorisé ?
Les confirmations et rappels de rendez-vous font partie du service demandé par la cliente : ils sont légitimes sans consentement marketing, à condition de ne pas contenir de publicité. Les messages promotionnels, eux, relèvent de la prospection commerciale.
En France, la prospection électronique auprès des particuliers requiert en principe leur consentement préalable. Pour vos clientes existantes, vous pouvez leur proposer des services analogues à ceux déjà achetés, si elles ont été informées et ont pu s'y opposer simplement. Pour WhatsApp, veillez aussi à ne pas utiliser un téléphone personnel dont les contacts sont synchronisés sans contrôle.
Et en Belgique, en Suisse et au Luxembourg ?
En Belgique et au Luxembourg, le RGPD s'applique de la même façon ; les autorités de contrôle sont respectivement l'Autorité de protection des données (APD) et la Commission nationale pour la protection des données (CNPD). En Suisse, c'est la loi fédérale sur la protection des données révisée (nLPD), en vigueur depuis septembre 2023, qui s'applique, sous le contrôle du Préposé fédéral à la protection des données et à la transparence (PFPDT). Ses principes sont proches du RGPD : transparence, proportionnalité, sécurité.
Questions fréquentes
Un institut doit-il désigner un délégué à la protection des données (DPO) ?
En général non. La désignation est obligatoire notamment lorsque le traitement à grande échelle de données sensibles est une activité de base, ce qui n'est pas le cas d'un institut classique. Une personne référente en interne reste utile.
Un registre des traitements est-il obligatoire pour un petit institut ?
Dans la pratique, oui : l'exemption prévue pour les structures de moins de 250 personnes ne s'applique pas lorsque vous traitez des données de santé ou de manière régulière. La CNIL met à disposition un modèle simplifié.
Une cliente peut-elle demander la suppression de sa fiche ?
Oui, elle dispose d'un droit à l'effacement. Vous devez y répondre dans un délai d'un mois, sauf si une obligation légale vous impose de conserver certaines informations, comme les factures.
Peut-on garder les fiches papier ?
Oui, le RGPD s'applique aussi au papier. Elles doivent être rangées dans un meuble fermé, accessibles uniquement aux personnes autorisées et détruites à la fin de la durée de conservation.
Que risque un institut qui ne respecte pas le RGPD ?
La CNIL peut prononcer des mises en demeure et des sanctions financières, proportionnées à la gravité et à la taille de la structure. Le risque le plus concret reste souvent la perte de confiance des clientes après un incident.
WhatsApp est-il conforme au RGPD pour échanger avec les clientes ?
Pour des messages simples (rappel, confirmation), c'est courant. Évitez d'y échanger des données de santé ou des photos sensibles, et préférez un téléphone professionnel. Un logiciel qui envoie les rappels automatiquement limite ces échanges manuels.
Fonctionnalités Treatflow associées
Sources
Gérez votre institut depuis un seul endroit
Agenda, fiches clientes, formulaires et rappels dans une seule application. 14 jours gratuits, sans carte bancaire.
Essai gratuit
Comment choisir un logiciel conforme au RGPD ?
Votre logiciel héberge l'essentiel de vos données clientes ; il doit vous faciliter la conformité, pas la compliquer.
Treatflow héberge les données sur des serveurs dans l'Union européenne (Francfort), avec connexion SSL et sauvegardes quotidiennes. L'institut reste propriétaire de ses données clientes.