RODO w salonie kosmetycznym: praktyczny przewodnik z listą kontrolną

Każdy salon przetwarza dane kontaktowe: imię, nazwisko, telefon, e-mail. Do tego dochodzi historia wizyt, notatki, czasem data urodzenia i dane do faktury. W salonach wykonujących zabiegi pojawiają się też informacje o zdrowiu z wywiadu kosmetycznego oraz zdjęcia przed i po.

Dane potrzebne do umówienia i wykonania usługi przetwarzasz zwykle w celu realizacji umowy z klientką. Dane do faktur i rozliczeń przetwarzasz, bo wymagają tego przepisy podatkowe. Na marketing potrzebujesz zgody.

Dane o zdrowiu wymagają dodatkowego uzasadnienia według art. 9 RODO. W salonach kosmetycznych najczęściej jest nim wyraźna zgoda klientki, zebrana w wywiadzie kosmetycznym. W gabinetach prowadzonych przez lekarzy podstawą mogą być przepisy dotyczące udzielania świadczeń zdrowotnych. Jeśli nie masz pewności, która podstawa dotyczy Twojego gabinetu, skonsultuj to ze specjalistą od ochrony danych.

Klauzula informacyjna to krótki dokument, w którym informujesz klientkę o tym, jak przetwarzasz jej dane. Możesz ją dołączyć do potwierdzenia rezerwacji, do wywiadu kosmetycznego, umieścić na stronie rezerwacji online i wywiesić w salonie.

Zdjęcia do dokumentacji zabiegu i zdjęcia do publikacji na Instagramie to dwa różne cele. Do dokumentacji wystarczy zwykle informacja w ramach wywiadu i zgody na zabieg. Publikacja wymaga osobnej, dobrowolnej zgody na rozpowszechnianie wizerunku, którą klientka może w każdej chwili wycofać.

Nie przechowuj zdjęć klientek w prywatnej galerii telefonu pracownicy, zwłaszcza jeśli telefon synchronizuje się z prywatną chmurą. Bezpieczniej trzymać je w karcie klienta w programie, z dostępem tylko dla uprawnionych osób.

Papierowe karty powinny być przechowywane w zamykanej szafie, do której dostęp mają tylko uprawnione osoby. W przypadku programu do salonu zwróć uwagę na lokalizację serwerów, szyfrowanie połączenia, kopie zapasowe i możliwość nadawania uprawnień.

Dostawca programu przetwarza dane w Twoim imieniu, dlatego potrzebujesz z nim umowy powierzenia przetwarzania danych. Treatflow przechowuje dane na serwerach w UE (Frankfurt), z szyfrowaniem SSL i codziennymi kopiami zapasowymi, a właścicielem danych klientek pozostaje salon.

Wiele naruszeń zdarza się nie w systemach, ale w codziennych sytuacjach. Grafik z nazwiskami i zabiegami leży na ladzie, ekran komputera jest widoczny dla czekających klientek, a pracownica głośno pyta o alergię przy innych osobach.

Proste nawyki rozwiązują większość tych problemów i nie wymagają dużych inwestycji. Warto je spisać w krótkiej instrukcji dla zespołu i omówić przy wdrożeniu nowej osoby.

RODO nie podaje jednego okresu dla wszystkich danych. Każdy salon powinien ustalić okresy przechowywania dla poszczególnych kategorii i opisać je w dokumentacji. Dane do rozliczeń podatkowych przechowujesz tak długo, jak wymagają tego przepisy podatkowe. Dokumentację zabiegów zwykle przechowuje się przez okres, w którym klientka może zgłosić roszczenia.

Gabinety prowadzone przez lekarzy jako podmioty lecznicze podlegają przepisom o dokumentacji medycznej, które przewidują co do zasady dłuższe okresy przechowywania. Po upływie ustalonego okresu dane należy bezpiecznie usunąć lub zanonimizować.

Naruszeniem może być kradzież laptopa z bazą klientek, wysłanie wywiadu kosmetycznego do niewłaściwej osoby, zgubienie segregatora z kartami albo przejęcie konta e-mail salonu. W takiej sytuacji liczy się czas. RODO przewiduje, że administrator zgłasza naruszenie do organu nadzorczego, w Polsce do Prezesa UODO, bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem dla klientek.

Przy wysokim ryzyku musisz też poinformować klientki, których dane dotyczą. Każde naruszenie, także niezgłoszone, warto zapisać w wewnętrznym rejestrze: co się stało, jakie dane dotyczy i jakie kroki podjęto.

Przejdź przez tę listę raz w roku albo przy każdej większej zmianie w salonie, np. przy wdrożeniu nowego programu lub zatrudnieniu nowych osób.