RODO w salonie beauty — pięć błędów, które kosztują najwięcej

Kontrola w salonie kosmetycznym rzadko zaczyna się od polityki prywatności. Zaczyna się od pytania: na jakiej podstawie przetwarzacie dane o zdrowiu? Poniżej pięć rzeczy, które w praktyce wychodzą najczęściej.

1. Jedna zgoda na wszystko

Zgoda na zabieg, zgoda na dane o zdrowiu i zgoda na zdjęcia w mediach społecznościowych to trzy odrębne decyzje. Jeśli klientka zaznacza jeden haczyk, żadna z nich nie jest dobrowolna — a zgoda niedobrowolna jest nieważna.

Test jest prosty: czy klientka może odmówić zgody marketingowej i nadal dostać zabieg? Jeśli nie, macie problem.

2. Przeciwwskazania bez podstawy prawnej

Karta klienta z pytaniami o ciążę, leki i choroby to dane o zdrowiu w rozumieniu art. 9 RODO. Ich przetwarzanie jest domyślnie zakazane. Zwykła „zgoda na przetwarzanie danych osobowych" z art. 6 nie wystarcza — potrzebna jest wyraźna zgoda z art. 9 ust. 2 lit. a, sformułowana osobno.

Wyjątek dotyczy gabinetów, w których zabieg wykonuje osoba wykonująca zawód medyczny — tam podstawą jest art. 9 ust. 2 lit. h i zgody się nie zbiera. Pytanie, do której grupy należycie, warto rozstrzygnąć raz, a nie przy każdej kontroli.

3. Zdjęcia przed i po jako dane biometryczne

Zdjęcie twarzy samo w sobie nie jest daną biometryczną. Staje się nią dopiero wtedy, gdy jest przetwarzane technicznie w celu jednoznacznej identyfikacji. W salonie zwykle tak nie jest — ale zdjęcie zmiany skórnej to już dana o zdrowiu.

Osobna sprawa to publikacja. Zgoda na dokumentację zabiegu i zgoda na publikację w Instagramie to dwie różne rzeczy, a tej drugiej nie da się domniemywać.

4. Przechowywanie „na wszelki wypadek"

Kartoteki sprzed ośmiu lat, bo a nuż się przyda. RODO wymaga określenia okresu przechowywania i trzymania się go. Sensowny punkt odniesienia to okres przedawnienia roszczeń — sześć lat jest ostrożnym minimum, bo bieg terminu przy szkodzie na osobie liczy się od dowiedzenia się o szkodzie.

Trzymanie danych dłużej niż to konieczne jest naruszeniem samo w sobie. I zwiększa szkodę, jeśli dojdzie do wycieku.

5. Brak umowy powierzenia z dostawcami

Systemy do rezerwacji, oprogramowanie do kartotek, biuro rachunkowe, chmura na zdjęcia — każdy z nich przetwarza dane w Waszym imieniu. Każdy wymaga umowy powierzenia na podstawie art. 28 ust. 3 RODO.

To jest ten dokument, o który kontrola pyta najszybciej, bo jego brak widać od razu.

Co zrobić w tym tygodniu

Rozdzielcie zgody na osobne pola. Sprawdźcie, czy wywiad zdrowotny ma własną, wyraźną zgodę. Ustalcie i zapiszcie okres przechowywania. Zbierzcie umowy powierzenia od dostawców. Organem nadzorczym jest Prezes UODO — i to do niego trafia skarga niezadowolonej klientki.