RODO dla salonów: ochrona danych klientów po ludzku

Każdy salon jest jednocześnie małą bazą danych osobowych. Imię, telefon, e-mail, historia wizyt, czasem nawet notatki o alergiach lub o kolorze, którego klient nie znosi — to wszystko dane osobowe objęte RODO. Dobra wiadomość jest taka, że większość obowiązków spełnisz zdrowym rozsądkiem i kilkoma ustawieniami, a nie drogim prawnikiem.

Ten artykuł podsumowuje praktyczne podstawy ochrony danych dla fryzjerstwa, kosmetyki, barbershopów i wellness. To nie jest porada prawna — w spornych sytuacjach zwróć się do specjalisty lub bezpośrednio do Urzędu Ochrony Danych Osobowych (UODO). Celem jest, żebyś wiedział, na co uważać i jak ustawić działalność uczciwie.

Jakie dane salon właściwie zbiera

Zanim cokolwiek ustawisz, zrób przegląd. Typowy salon pracuje z:

• Danymi kontaktowymi — imię, telefon, e-mail na potrzeby rezerwacji i przypomnień.
• Danymi operacyjnymi — historia wizyt, wykonane usługi, ceny, karta klienta i notatki o wcześniejszych zabiegach.
• Bardziej wrażliwymi notatkami — alergie, stan skóry lub włosów. Dane o zdrowiu należą do szczególnej kategorii i wymagają większej ostrożności.
• Preferencjami marketingowymi — zgoda na newsletter, ofertę urodzinową itp.

Obowiązuje prosta zasada: zbieraj tylko to, co naprawdę potrzebne. Data urodzenia dla zniżki urodzinowej ma sens; numeru PESEL nie musisz wpisywać do karty klienta.

Podstawa prawna: kiedy wystarczy umowa, a kiedy potrzebna jest zgoda

RODO nie wymaga zgody na wszystko. W codziennej działalności oprzyj się na tych podstawach:

1. Wykonanie umowy — aby obsłużyć klienta i wysłać potwierdzenie rezerwacji, zgoda nie jest potrzebna. Bez jego danych po prostu nie mógłbyś wykonać usługi.
2. Prawnie uzasadniony interes — tu często mieści się transakcyjne przypomnienie o wizycie przez SMS lub e-mail, bo w interesie klienta i salonu leży, by klient się pojawił.
3. Zgoda — potrzebna do marketingu. Masowe e-maile i newslettery oraz SMS-y promocyjne wysyłaj tylko do osób, które wyraziły jasną, dobrowolną zgodę.

Kluczowe jest oddzielenie komunikacji operacyjnej od marketingowej. Przypomnienie „jutro o 14:00 masz wizytę” to coś innego niż „w tym tygodniu -20% na strzyżenie”. Tego drugiego bez zgody wysyłać nie wolno.

Zgoda, która się obroni

Ważna zgoda jest dobrowolna, konkretna i możliwa do wykazania. W praktyce oznacza to:

• Żadnych zaznaczonych z góry pól. Klient musi aktywnie wyrazić zgodę.
• Oddzielne zgody na marketing e-mail i SMS, żeby człowiek mógł wybrać.
• Łatwe wypisanie się w każdej wiadomości marketingowej — link do rezygnacji w e-mailu, „STOP” przy SMS.
• Zapis o zgodzie — kiedy i jak klient ją wyraził. Zwykle ewidencjonuje to za ciebie dobrze dobrany system rezerwacji.

Jak długo przechowywać dane

Dane osobowe nie powinny leżeć „na wszelki wypadek na zawsze”. Ustal rozsądny okres przechowywania:

• Aktywni klienci — dane trzymasz przez czas trwania relacji i bieżącej opieki.
• Nieaktywni klienci — jeśli ktoś nie przyszedł od kilku lat, rozważ usunięcie lub anonimizację.
• Dokumenty księgowe — paragony i faktury podlegają terminom podatkowym, które mają pierwszeństwo przed usunięciem.

Wystarczy mieć politykę spisaną i jej przestrzegać. Coroczny przegląd „porządkowy” w zupełności wystarcza.

Prawa klientów, które musisz umieć obsłużyć

Zgodnie z RODO klienci mają kilka praw, a ty powinieneś umieć na nie reagować:

• Dostęp — co o nim prowadzisz.
• Sprostowanie — gdy telefon lub imię są błędne.
• Usunięcie — „prawo do bycia zapomnianym”, o ile nie ma prawnego powodu, by trzymać dane dalej.
• Sprzeciw wobec marketingu — w każdej chwili i natychmiast.

W praktyce takie żądania obsłużysz szybciej, gdy dane są w jednym miejscu, a nie w pięciu zeszytach i trzech telefonach.

Bezpieczne przechowywanie kart klientów

Najczęstszy wyciek danych w małym salonie to nie haker — to zgubiony telefon, współdzielone hasło lub papierowa księga na recepcji. Podstawowa higiena:

• Jeden zabezpieczony system zamiast papieru i notatek w telefonie. Centralizacja danych sama w sobie jest środkiem bezpieczeństwa.
• Silne hasła i własne konto dla każdego pracownika, żebyś wiedział, kto ma do czego dostęp.
• Ograniczony dostęp — osoba dorywcza nie musi widzieć całej historii wszystkich klientów.
• Żadnych wrażliwych notatek w otwartych czatach typu WhatsApp czy Messenger.

Jeśli przy okazji obsługujesz płatności, wybieraj też kasę dla salonu z uwagą na to, jak obchodzi się z danymi i gdzie je hostuje.

Strona, cookies i formularz rezerwacji

RODO dotyczy też twojej strony. Jeśli masz stronę salonu z podstawowymi elementami i formularz rezerwacji, pamiętaj o:

• Banerze cookies dla analityki i skryptów marketingowych.
• Polityce przetwarzania danych dostępnej z formularza.
• Minimum pól w formularzu — nie pytaj o to, czego rezerwacja nie potrzebuje.

Jak wybrać narzędzia, które ułatwią RODO

Oprogramowanie zamienia zgodność z przepisami w rutynę. Przy wyborze pytaj:

• Czy dane są hostowane w UE i czy dostawca oferuje umowę powierzenia przetwarzania?
• Czy system potrafi ewidencjonować zgody i oddzielać wiadomości operacyjne od marketingowych?
• Czy dane klienta da się wyeksportować i usunąć w kilka kliknięć?

To wszystko zwykle wchodzi w skład przyzwoitego systemu rezerwacji dla salonu. Zamiast papieru trzymasz dane zaszyfrowane w jednym miejscu, obsługujesz żądanie klienta w kilka minut, a zgody masz udokumentowane automatycznie. Najszybciej sprawdzisz to, zakładając darmowe konto YourSalon i od razu ustawiając oddzielne zgody na przypomnienia i marketing.

RODO nie jest pułapką na małe firmy — to instrukcja, jak obchodzić się z danymi tak, by klienci dalej ci ufali. A zaufanie to w salonie najcenniejsza waluta.