Згоди RODO клієнток у салоні краси

Б'юті-салони (нігті, брови, вії) обробляють чутливі дані - алергії, медичні дані, ліки, вагітність, фото клієнток. Кожен з цих типів даних має окремий правовий режим RODO. Без правильної форми згоди - це не теорія, а конкретні штрафи UODO та цивільні позови після витоку фото з Instagram.

Особисті дані vs чутливі - ключова різниця

RODO ділить дані на звичайні (ім'я, телефон, e-mail) та спеціальні категорії (Ст. 9):

• Дані про здоров'я (алергії, шкірні хвороби, AZS, псоріаз, вагітність)
• Біометричні дані (увага: лише після технічної обробки зображення з метою однозначної ідентифікації, напр. система розпізнавання облич; звичайне фото клієнтки для портфоліо ще не є біометричними даними)
• Етнічне походження, переконання, генетичні дані

Б'юті-салон регулярно збирає перші два. Це змінює правову основу - стаття 6.1.b (виконання договору) НЕ достатня. Потрібна чітка згода (Ст. 9.2.a) - окрема, письмова, усвідомлена.

Які згоди потрібні в б'юті-салоні

1. Згода на обробку особистих даних

Ім'я, телефон, e-mail - для бронювання, контакту. Основа: Ст. 6.1.b. Має містити: мету, період зберігання, права доступу/виправлення/видалення.

2. Згода на дані про здоров'я (КРИТИЧНО)

Окрема згода - має бути усвідомлена і чітка:

"Я добровільно і усвідомлено даю згоду на обробку моїх даних щодо стану здоров'я (алергії, ліки, вагітність, шкірні захворювання) {салоном} з метою безпечного виконання процедури. Дані будуть оброблятися протягом 5 років з останнього візиту."

Відсутність цієї згоди = незаконна обробка спеціальних категорій даних = штраф до 20 млн EUR або 4% обороту. Для малого салону UODO зазвичай накладає 5-50 тис. PLN.

3. Згода на фото портфоліо

Фото для Instagram, Facebook = зображення та особисті дані клієнтки (саме фото ще не є біометричними даними - вони виникають лише після технічної обробки з метою ідентифікації). Публікація зображення потребує окремої згоди: мета, період, право відкликати в будь-який момент.

4. Маркетингова згода (розсилка, SMS)

Окрема згода. Клієнтка ОБОВ'ЯЗКОВО має право відмовитися без втрати доступу до процедури. Double opt-in.

5. Згода на патч-тест

Частина картки клієнтки - підтверджує виконання тесту і отримання інформації про ризик.

Форма згоди - папір, цифровий підпис, чекбокс?

RODO вимагає усвідомленої, добровільної, конкретної, однозначної згоди:

• Папір з підписом - золотий стандарт, зберігаєш 5 років
• Цифровий підпис на планшеті - припустимий, але потрібен механізм доказу
• Чекбокс без підпису - НЕ ДОСТАТНЬО для даних здоров'я

Політика конфіденційності - обов'язково публічно

Кожен салон має мати публічно доступну політику конфіденційності (Ст. 13 RODO). Формат: плакат на ресепшні, документ на запит, сайт салону.

Має містити: дані адміністратора, цілі обробки, правову основу, період зберігання (5 років для здоров'я), кому передається (Booksy = процесор), права клієнтки, право скарги до UODO.

Найчастіші помилки в RODO б'юті-салонів

1. "Згода на все" в одному рядку - невідповідно RODO, кожна мета = окрема згода
2. Фото в Instagram без чіткої згоди - класика, одна скарга = штраф
3. Картки клієнток на ресепшні - порушення конфіденційності
4. Особистий телефон з базою клієнток - WhatsApp з 200 клієнтками. Витік = штраф
5. Відсутність договору з процесором - Booksy/BookingTime = процесори, потрібен Ст. 28 RODO

Витік даних - що робити

RODO Ст. 33 вимагає повідомити UODO протягом 72 годин. Процедура: зупини поширення, оціни обсяг, повідом клієнток (якщо ризик високий), подай в UODO через uodo.gov.pl, задокументуй.

Без повідомлення в 72 год = окремий штраф (до 10 млн EUR або 2% обороту).

Шаблони документів RODO для салону

Повний пакет документів RODO для салону (згоди клієнтки, політика конфіденційності, політика cookies, реєстр операцій обробки, інформаційне повідомлення) знайдеш у пакеті PRO (249 PLN за акцією, регулярно 349 PLN) NailsReady. 20 документів - все, що інспектор UODO та Sanepid можуть перевірити.

FAQ

Чи клієнтка має підписувати згоди при кожному візиті?

Ні - згоди підписують при першому візиті. На наступних - усне підтвердження. Оновлення раз на 5 років або при зміні послуг.

Чи можу зберігати картки клієнток в електронному вигляді?

Так, але система має відповідати RODO: шифрування, контроль доступу, резервні копії, лог змін. Booksy відповідає. Excel на робочому столі - НІ.

Що з клієнтками з України - інші правила?

Ні - RODO стосується всіх осіб в EU незалежно від громадянства.

Чи маю призначити DPO?

Малі салони - НІ. Обов'язок при великій обробці (>5 000 клієнток/рік або >50 працівників). Малий салон тільки веде реєстр операцій обробки (Ст. 30).

Що якщо клієнтка хоче видалити свої дані?

Видалити протягом 30 днів - за винятком інших юридичних основ (рахунки - 5 років для податкової).