RGPD en institut de beauté — les cinq erreurs les plus coûteuses

Un contrôle commence rarement par la politique de confidentialité. Il commence par une question : sur quelle base traitez-vous des données de santé ? Voici les cinq réponses qui posent le plus souvent problème.

1. Un seul consentement pour tout

Le consentement au soin, le consentement au traitement des données de santé et le consentement à la publication de photographies sont trois décisions distinctes. Si la cliente coche une seule case, aucun n’est libre — et un consentement qui n’est pas libre n’en est pas un.

Le test est simple : la cliente peut-elle refuser le consentement marketing et être soignée quand même ? Si non, il y a un problème.

2. Des questions de santé sans base au titre de l’article 9

Une fiche client qui interroge sur la grossesse, les traitements et les affections cutanées contient des données relevant de l’article 9 du RGPD. Leur traitement est interdit par principe ; une base au titre de l’article 6 ne suffit pas.

En institut, la base est normalement le consentement explicite (article 9.2.a), encadré par la loi Informatique et Libertés. Lorsque le soin est réalisé par un professionnel de santé, c’est l’article 9.2.h qui s’applique — et dans ce cas on ne recueille pas de consentement, puisqu’il n’est pas la base.

Tranchez une fois, par écrit, de quel côté vous vous situez.

3. Les photos avant et après

Une photographie de visage n’est pas automatiquement une donnée biométrique : elle le devient lorsqu’un traitement technique vise à identifier la personne de manière unique, ce qui est rare en institut. En revanche, la photo d’une lésion cutanée est une donnée de santé, ce qui suffit.

La publication est une question distincte. Le consentement à documenter un soin et le consentement à le publier sur Instagram sont deux autorisations différentes.

4. Conserver « au cas où »

Des fiches vieilles de huit ans, on ne sait jamais. Le principe de limitation de conservation impose une durée définie et son respect.

Le repère utile est la prescription : cinq ans en droit commun (article 2224 du Code civil), portée à dix ans en cas de dommage corporel (article 2226). Cinq ans constituent donc un minimum prudent.

Conserver plus longtemps que nécessaire est en soi un manquement — et aggrave le préjudice en cas de violation.

5. Aucun contrat de sous-traitance

Logiciel de réservation, gestion des fiches clients, cabinet comptable, stockage des photos dans le cloud : chacun traite des données pour votre compte et chacun exige un contrat au titre de l’article 28.3 du RGPD.

C’est le document demandé en premier, parce que son absence se voit immédiatement.

À faire cette semaine

Séparez les consentements en cases distinctes. Vérifiez que le questionnaire de santé dispose de son propre consentement explicite. Fixez une durée de conservation et appliquez-la. Rassemblez les contrats de sous-traitance de vos prestataires.

Votre autorité de contrôle est la CNIL — c’est là qu’aboutit la réclamation d’une cliente mécontente.