Karta klientki w salonie beauty a RODO: dane o zdrowiu i zgody

Każdy gabinet, który dba o bezpieczeństwo zabiegu, prowadzi kartę klientki: pyta o alergie, leki, choroby skóry, ciążę. Dokładnie te odpowiedzi są jednocześnie najbardziej wrażliwymi danymi, jakie masz o klientce. To nie jest przesada prawników: RODO traktuje je jako osobną kategorię i ustawia wyższy próg ich zbierania niż adresu czy telefonu.

Ten tekst ma charakter informacyjny i nie jest poradą prawną. Szczegóły dla Twojego salonu (podstawy prawne, klauzule, okresy przechowywania) ustal z prawnikiem lub inspektorem ochrony danych. Aktualne stanowiska organu znajdziesz na stronie UODO.

Dlaczego odpowiedzi z wywiadu to dane o zdrowiu

Art. 9 ust. 1 RODO zabrania przetwarzania szczególnych kategorii danych, w tym danych dotyczących zdrowia. Rozporządzenie (tekst na EUR-Lex) stanowi w art. 9 ust. 1 dosłownie o „danych dotyczących zdrowia”, a motyw 35 opisuje je szeroko jako informacje o przeszłym, obecnym lub przyszłym zdrowiu fizycznym lub psychicznym osoby.

W salonie takie dane to nie tylko diagnozy. Do tej kategorii mogą należeć także informacje o ciąży, przyjmowanych lekach, chorobach skóry, alergiach czy przebytych zabiegach, zebrane w karcie konsultacyjnej. Jeśli piszesz o nich, wpisujesz w system rezerwacji albo notujesz na marginesie, to je przetwarzasz.

Zakaz i wyjątek: wyraźna zgoda

Zakaz z art. 9 ust. 1 ma wyjątki wymienione w ust. 2. Dla salonu kosmetycznego w praktyce najczęściej wskazuje się pierwszy z nich: według art. 9 ust. 2 lit. a osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach.

Zwróć uwagę na dwa słowa: „wyraźną” i „konkretnych”. Oznaczają one, że zgoda ma być osobna, napisana zrozumiale i odnosić się do jasno nazwanego celu, np. „oceny przeciwwskazań i bezpieczeństwa zabiegu”. Nie miesza się jej z regulaminem ani ze zgodą marketingową.

Czy w Twojej sytuacji może istnieć inna podstawa, to pytanie do prawnika. Salon kosmetyczny zwykle nie jest podmiotem leczniczym, więc przepisy dotyczące świadczeń zdrowotnych nie przenoszą się na niego automatycznie.

Jak zbudować kartę klientki

Karta powinna służyć jednemu celowi: bezpiecznemu wykonaniu zabiegu. Z tego celu wynika, o co pytasz.

Zasady, które porządkują kartę:

1. Pytaj tylko o to, co jest potrzebne do tego zabiegu. Przy laminacji brwi nie potrzebujesz historii chorób przewlekłych, której wymagasz przed makijażem permanentnym. Zob. zestawienie pytań w tekście Przeciwwskazania do makijażu permanentnego.
2. Zgodę na dane o zdrowiu oddziel od marketingu. Newsletter, promocje i wykorzystanie zdjęć to osobne zgody, odrębnie zaznaczane.
3. Powiedz, kto jest administratorem i po co zbierasz dane. Klientka dostaje klauzulę informacyjną w zrozumiałej formie. Obowiązek informacyjny wynika z RODO; jego dokładny zakres ustal z prawnikiem (nie weryfikowaliśmy go w tekście rozporządzenia).
4. Zapisuj wynik testu i partię produktu. To dokumentacja bezpieczeństwa, nie marketing.
5. Nie fotografuj skóry bez osobnej zgody. Zdjęcie przed/po bywa także daną o zdrowiu (np. zmiany skórne).

Gdzie przechowujesz kartę

Karta papierowa leży w zamykanej szafce, a nie na recepcji obok kasy. Karta elektroniczna znajduje się w systemie, który ma hasła, kontrolę dostępu i umowę powierzenia z dostawcą, jeśli system przetwarza dane w Twoim imieniu. Przy rozwiązaniach rezerwacyjnych i CRM sprawdź, jak dostawca opisuje przetwarzanie danych i czy kartę da się z nich usunąć na żądanie klientki.

Tego tekstu nie uzupełniamy okresem przechowywania w latach, bo nie znaleźliśmy jednego wiążącego źródła dla salonów kosmetycznych. Ustal go z prawnikiem i zapisz w swojej polityce.

Czego nie robić z formularzem

• Nie wysyłaj formularza z pytaniami o zdrowie komunikatorem prywatnym (messenger, SMS), bez ustalenia, gdzie te dane później trafią.
• Nie wpisuj diagnoz klientek do notatek w kalendarzu, który widzą inne osoby lub który synchronizuje się z prywatną skrzynką.
• Nie zbieraj „na zapas”. Pytanie o dane, których nie używasz, nie poprawia bezpieczeństwa, a powiększa ryzyko.
• Nie ukrywaj zgody w regulaminie. Zgoda na dane o zdrowiu ma być wyraźna, nie domyślna.
• Nie udostępniaj kart innym osobom (np. koleżance z gabinetu obok), jeśli nie wynika to ze zgody lub umowy.

Co zrobić z kartą po zabiegu

Karta dokumentuje, co zrobiłaś i dlaczego. To przydaje się, gdy klientka wróci z reakcją albo pretensją. Dlatego dobrze, by zawierała datę, zakres zabiegu, użyty produkt i wynik wywiadu. Aktualizuj ją przy każdej wizycie: alergie i leki zmieniają się, a pytania, które zadajesz przed zabiegiem, nie mogą opierać się na wiedzy sprzed pół roku.

Jeśli prowadzisz także zabiegi ze złamaniem ciągłości skóry, dochodzą wymagania higieniczne, o których piszemy w tekście Higiena i sterylizacja w gabinecie beauty.

Pierwsze kroki w tym tygodniu

1. Przeczytaj swoją obecną kartę i podkreśl wszystkie pytania o zdrowie.
2. Dla każdego sprawdź, czy jest potrzebne do zabiegu, który wykonujesz.
3. Dodaj osobne, jasno nazwane pole zgody na przetwarzanie danych o zdrowiu.
4. Oddziel zgody marketingowe.
5. Umów konsultację z prawnikiem lub IOD, jeśli prowadzisz większy salon albo masz system z kartami w chmurze.

Jeśli zaczynasz dopiero pracę i układasz dokumenty od zera, przydatne bywa też spojrzenie na to, jak wygląda pierwszy miesiąc praktyki: pierwszy miesiąc po kursie beauty.

Źródła

• Rozporządzenie (UE) 2016/679 (RODO), art. 9 ust. 1 i ust. 2 lit. a, motyw 35, EUR-Lex.
• UODO: aktualne wytyczne i stanowiska organu. Nie znaleźliśmy tam wytycznych skierowanych wprost do salonów kosmetycznych, więc nie przypisujemy organowi stanowiska w tej sprawie.