GDPR per centri estetici: cosa devi fare davvero (con checklist)

Il primo passo è sapere cosa raccogli. Fai un elenco onesto, includendo anche ciò che finisce su WhatsApp o sul telefono del centro.

L'informativa (art. 13 GDPR) spiega alla cliente in modo semplice chi tratta i suoi dati, perché, per quanto tempo e quali diritti ha. Deve essere consegnata o resa disponibile al momento della raccolta dei dati, per esempio con il primo modulo o nella pagina di prenotazione online.

I dati sanitari sono categorie particolari di dati: il loro trattamento è vietato salvo specifiche eccezioni. Per un centro estetico non medico, la via più lineare è di solito il consenso esplicito della cliente, raccolto per iscritto insieme al modulo di anamnesi e limitato ai dati davvero necessari per il trattamento. Negli studi medici le basi giuridiche possono essere diverse: lì è bene farsi seguire da un consulente.

Qualunque sia la base giuridica, vale il principio di minimizzazione: chiedi solo ciò che serve. Per una manicure non serve un'anamnesi medica completa; per un trattamento laser o un trucco permanente sì.

Le foto sono fondamentali per documentare laser, trattamenti viso, trucco permanente e medicina estetica. Ma sono anche dati personali, spesso molto sensibili. Due regole pratiche: chiedi un consenso specifico e distingui tra uso interno (documentazione) e uso pubblico (Instagram, sito). Una cliente può accettare il primo e rifiutare il secondo.

Il problema più comune è il telefono personale dell'operatrice pieno di foto delle clienti, magari sincronizzate su un cloud privato. Meglio scattare con un dispositivo del centro e salvare le foto direttamente sulla scheda cliente. In Treatflow le foto prima/dopo restano sulla scheda e sulla seduta, sui server UE del gestionale.

L'art. 30 GDPR prevede un'esenzione per le organizzazioni con meno di 250 dipendenti, ma non quando trattano categorie particolari di dati in modo non occasionale. Un centro che raccoglie regolarmente anamnesi rientra quasi sempre in questo caso. Il Garante mette a disposizione indicazioni e un modello di registro sul proprio sito.

Il registro non deve essere complicato: per ogni trattamento indica finalità, categorie di dati e interessati, destinatari, tempi di conservazione e misure di sicurezza.

Il fornitore del tuo gestionale tratta i dati delle clienti per conto tuo: è un responsabile del trattamento (art. 28 GDPR). Lo stesso vale per servizi di invio SMS, email o per chi gestisce il tuo sito.

Il GDPR non fissa una durata unica: i dati vanno conservati per il tempo necessario alle finalità. Per la documentazione dei trattamenti molti centri scelgono un periodo che copra eventuali contestazioni; i documenti fiscali seguono invece gli obblighi di legge, in genere dieci anni. Decidi i tuoi tempi, scrivili nell'informativa e nel registro e applicali davvero, cancellando o anonimizzando i dati delle clienti che non tornano più.

Un telefono rubato con le foto delle clienti, un'email inviata al destinatario sbagliato, un accesso non autorizzato: sono violazioni dei dati (data breach). Se c'è un rischio per le persone, la violazione va notificata al Garante entro 72 ore da quando ne vieni a conoscenza, e nei casi più gravi vanno informate anche le clienti. Annota comunque ogni incidente in un registro interno.

In Svizzera si applica la nuova legge federale sulla protezione dei dati (nLPD), in vigore da settembre 2023, con l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) come autorità. I principi sono molto simili al GDPR: trasparenza, minimizzazione, sicurezza e particolare tutela dei dati sulla salute. Se hai clienti dall'Italia, tieni presente anche il GDPR.

Usa questa lista come punto di partenza e rivedila una volta all'anno.