Згоди RODO клієнток у салоні краси — медичні дані, фото для портфоліо, політика конфіденційності [2026]

Б'юті-салони (нігті, брови, вії) обробляють чутливі дані — алергії, медичні дані, ліки, вагітність, фото клієнток. Кожен з цих типів даних має окремий правовий режим RODO. Без правильної форми згоди — це не теорія, а конкретні штрафи UODO та цивільні позови після витоку фото з Instagram.

Особисті дані vs чутливі — ключова різниця

RODO ділить дані на звичайні (ім'я, телефон, e-mail) та спеціальні категорії (Ст. 9):

• Дані про здоров'я (алергії, шкірні хвороби, AZS, псоріаз, вагітність)
• Біометричні дані (фото обличчя для портфоліо)
• Етнічне походження, переконання, генетичні дані

Б'юті-салон регулярно збирає перші два. Це змінює правову основу — стаття 6.1.b (виконання договору) НЕ достатня. Потрібна чітка згода (Ст. 9.2.a) — окрема, письмова, усвідомлена.

Які згоди потрібні в б'юті-салоні

1. Згода на обробку особистих даних

Ім'я, телефон, e-mail — для бронювання, контакту. Основа: Ст. 6.1.b. Має містити: мету, період зберігання, права доступу/виправлення/видалення.

2. Згода на дані про здоров'я (КРИТИЧНО)

Окрема згода — має бути усвідомлена і чітка:

"Я добровільно і усвідомлено даю згоду на обробку моїх даних щодо стану здоров'я (алергії, ліки, вагітність, шкірні захворювання) {салоном} з метою безпечного виконання процедури. Дані будуть оброблятися протягом 5 років з останнього візиту."

Відсутність цієї згоди = незаконна обробка спеціальних категорій даних = штраф до 20 млн EUR або 4% обороту. Для малого салону UODO зазвичай накладає 5-50 тис. PLN.

3. Згода на фото портфоліо

Фото для Instagram, Facebook = зображення + біометричні дані. Окрема згода: мета, період, право відкликати в будь-який момент.

4. Маркетингова згода (розсилка, SMS)

Окрема згода. Клієнтка ОБОВ'ЯЗКОВО має право відмовитися без втрати доступу до процедури. Double opt-in.

5. Згода на патч-тест

Частина картки клієнтки — підтверджує виконання тесту і отримання інформації про ризик.

Форма згоди — папір, цифровий підпис, чекбокс?

RODO вимагає усвідомленої, добровільної, конкретної, однозначної згоди:

• Папір з підписом — золотий стандарт, зберігаєш 5 років
• Цифровий підпис на планшеті — припустимий, але потрібен механізм доказу
• Чекбокс без підпису — НЕ ДОСТАТНЬО для даних здоров'я

Політика конфіденційності — обов'язково публічно

Кожен салон має мати публічно доступну політику конфіденційності (Ст. 13 RODO). Формат: плакат на ресепшні, документ на запит, сайт салону.

Має містити: дані адміністратора, цілі обробки, правову основу, період зберігання (5 років для здоров'я), кому передається (Booksy = процесор), права клієнтки, право скарги до UODO.

Найчастіші помилки в RODO б'юті-салонів

1. "Згода на все" в одному рядку — невідповідно RODO, кожна мета = окрема згода
2. Фото в Instagram без чіткої згоди — класика, одна скарга = штраф
3. Картки клієнток на ресепшні — порушення конфіденційності
4. Особистий телефон з базою клієнток — WhatsApp з 200 клієнтками. Витік = штраф
5. Відсутність договору з процесором — Booksy/BookingTime = процесори, потрібен Ст. 28 RODO

Витік даних — що робити

RODO Ст. 33 вимагає повідомити UODO протягом 72 годин. Процедура: зупини поширення, оціни обсяг, повідом клієнток (якщо ризик високий), подай в UODO через uodo.gov.pl, задокументуй.

Без повідомлення в 72 год = окремий штраф (до 10 млн EUR або 2% обороту).

Шаблони документів RODO для салону

Повний пакет документів RODO для салону (згоди клієнтки, політика конфіденційності, політика cookies, реєстр операцій обробки, інформаційне повідомлення) знайдеш у пакеті PRO (697 PLN) NailsReady. 21 документ — все, що інспектор UODO та Sanepid можуть перевірити.

FAQ

Чи клієнтка має підписувати згоди при кожному візиті?

Ні — згоди підписують при першому візиті. На наступних — усне підтвердження. Оновлення раз на 5 років або при зміні послуг.

Чи можу зберігати картки клієнток в електронному вигляді?

Так, але система має відповідати RODO: шифрування, контроль доступу, резервні копії, лог змін. Booksy відповідає. Excel на робочому столі — НІ.

Що з клієнтками з України — інші правила?

Ні — RODO стосується всіх осіб в EU незалежно від громадянства.

Чи маю призначити DPO?

Малі салони — НІ. Обов'язок при великій обробці (>5 000 клієнток/рік або >50 працівників). Малий салон тільки веде реєстр операцій обробки (Ст. 30).

Що якщо клієнтка хоче видалити свої дані?

Видалити протягом 30 днів — за винятком інших юридичних основ (рахунки — 5 років для податкової).