Jak wdrożyć RODO w salonie kosmetycznym krok po kroku?

RODO w salonie w 7 krokach: podstawy prawne, klauzula i zgody, rejestr czynności, umowy powierzenia, okresy przechowywania, zabezpieczenia i wycieki.

RODO w salonie kosmetycznym to kilka dokumentów i kilka nawyków zespołu. Nie potrzebujesz do tego firmy doradczej. Potrzebujesz listy kroków i dwóch, trzech wieczorów. Oto cała kolejka:

1. Spisz, jakie dane zbierasz i gdzie leżą.
2. Przypisz każdemu celowi podstawę prawną.
3. Przygotuj klauzulę informacyjną i zgody.
4. Załóż rejestr czynności przetwarzania.
5. Podpisz umowy powierzenia i daj zespołowi upoważnienia.
6. Ustal, jak długo przechowujesz dane.
7. Zabezpiecz dane i przygotuj procedury na prośby klientek i wycieki.

Niżej każdy krok rozpisujemy na konkretne czynności. Gotowe wzory klauzuli i zgód są w osobnym tekście o zgodzie RODO dla klientki.

Jakie dane klientek zbiera salon kosmetyczny?

Pierwszy krok to spis. Przejdź przez salon i zapisz każde miejsce, w którym lądują dane klientek. Zwykle jest ich więcej, niż się wydaje:

Ten spis przyda Ci się w każdym następnym kroku. Z niego powstanie rejestr czynności i lista zabezpieczeń. Często już na tym etapie widać, co wyrzucić. Zeszyt w recepcji, który dubluje kalendarz w systemie, tylko zwiększa ryzyko.

Na jakiej podstawie prawnej salon przetwarza dane klientek?

Drugi krok to przypisanie podstawy do każdego celu. RODO daje ich sześć w art. 6 ust. 1, a dla danych o zdrowiu osobne w art. 9 ust. 2. W salonie wystarczy pięć:

• Umowa (art. 6 ust. 1 lit. b). Rezerwacja, przypomnienie SMS o wizycie, wykonanie usługi. Zgoda nie jest tu potrzebna.
• Obowiązek prawny (art. 6 ust. 1 lit. c). Faktury i rozliczenia podatkowe.
• Prawnie uzasadniony interes (art. 6 ust. 1 lit. f). Obrona przed roszczeniami, notatki o usługach w karcie klientki.
• Zgoda (art. 6 ust. 1 lit. a). Promocje SMS-em i e-mailem, publikacja zdjęć.
• Wyraźna zgoda (art. 9 ust. 2 lit. a). Wywiad zdrowotny przed zabiegiem.

Przypomnienie o umówionej wizycie nie jest marketingiem. SMS z rabatem na laminację brwi już tak. Do niego potrzebujesz zgody z RODO i z art. 398 Prawa komunikacji elektronicznej.

Jakie dokumenty RODO musi mieć salon?

Trzeci krok to dokumenty dla klientek. Salon potrzebuje klauzuli informacyjnej i trzech zgód. We wszystkich naszych tekstach trzymamy się tej samej zasady:

• Klauzula informacyjna (art. 13 RODO). Mówi, kto przetwarza dane, po co, jak długo i jakie prawa ma klientka. Klientka jej nie podpisuje, tylko dostaje do przeczytania.
• Zgoda na zabieg z wywiadem zdrowotnym. Wywiad i oświadczenie o prawdziwości odpowiedzi są jej częścią. Zgoda na przetwarzanie danych o zdrowiu stoi w tym samym dokumencie jako osobny, wyraźnie oddzielony punkt (art. 7 ust. 2 i art. 9 ust. 2 lit. a RODO).
• Zgoda marketingowa. Osobny dokument albo osobne, puste pole do zaznaczenia.
• Zgoda na wizerunek. Osobny dokument, bo wymaga go art. 81 ustawy o prawie autorskim.

Wzory klauzuli, zgody marketingowej i zgody na zdjęcia znajdziesz we wzorze zgody RODO klientki. Pełny dokument z wywiadem zdrowotnym pokazujemy we wzorze zgody na makijaż permanentny.

Czy mały salon musi prowadzić rejestr czynności przetwarzania?

Tak. Czwarty krok dotyczy praktycznie każdego salonu. Rejestr czynności przetwarzania opisuje art. 30 RODO. Ust. 5 zwalnia z niego firmy zatrudniające mniej niż 250 osób, ale tylko gdy spełniają trzy warunki naraz. Przetwarzanie ma być sporadyczne, bez ryzyka dla klientek i bez danych szczególnej kategorii. Salon umawia klientki codziennie, więc przetwarzanie nie jest sporadyczne. Wyjątek odpada, nawet jeśli nie zbierasz wywiadu zdrowotnego.

Rejestr to tabela w arkuszu. Jeden wiersz to jedna czynność. Tak wygląda przykładowy wiersz:

Osobne wiersze zrób dla wywiadu zdrowotnego i zgód na zabieg, marketingu, zdjęć przed i po, rozliczeń księgowych oraz danych zespołu. Podstawy prawnej art. 30 nie wymaga, ale dopisz ją w osobnej kolumnie. Przyda się przy każdej kontroli i każdym pytaniu klientki.

Czy salon musi mieć inspektora ochrony danych?

Nie. Inspektor jest obowiązkowy między innymi wtedy, gdy główna działalność polega na przetwarzaniu danych o zdrowiu na dużą skalę (art. 37 ust. 1 lit. c RODO). Pojedynczy salon czy studio PMU tej skali nie osiąga. Motyw 91 RODO podaje podobny przykład lekarza w indywidualnej praktyce. Możesz wyznaczyć inspektora dobrowolnie, ale nie musisz.

Z kim salon musi podpisać umowę powierzenia?

Piąty krok to umowy z firmami, które przetwarzają dane klientek na Twoje zlecenie. Wymaga tego art. 28 RODO. W salonie zwykle są to:

• dostawca systemu rezerwacji,
• operator bramki SMS, jeśli wysyłasz SMS-y poza systemem rezerwacji,
• firma, która obsługuje stronę z formularzem kontaktowym,
• biuro rachunkowe, jeśli dostaje dane klientek, na przykład z imiennych faktur.

Zespół to osobna sprawa. Osoby z dostępem do danych przetwarzają je tylko na Twoje polecenie (art. 29 i art. 32 ust. 4 RODO). Najprostszy dowód to pisemne upoważnienie z zobowiązaniem do poufności. Daj je każdej osobie, która widzi dane klientek, także recepcji i stażystce.

DamiBook ma umowę powierzenia jako załącznik do regulaminu. Zawierasz ją przy rejestracji konta, a lista podwykonawców jest w jej załączniku. Dane klientek leżą na serwerach w Unii Europejskiej.

Jak długo salon może przechowywać dane klientek?

Szósty krok to terminy. RODO mówi tylko, że dane trzymasz nie dłużej, niż to potrzebne (art. 5 ust. 1 lit. e). Konkretne liczby biorą się z innych przepisów:

Weźmy fakturę z marca 2026 roku. Dotyczy podatku dochodowego za 2026 rok, który rozliczasz w 2027 roku. Pięć lat liczysz od końca 2027 roku, więc fakturę trzymasz do końca 2032 roku.

Klientka może dochodzić roszczeń z umowy przez sześć lat, a koniec terminu przypada na ostatni dzień roku. Dlatego zgody i historię wizyt trzymasz co najmniej tyle. Po zabiegu przechowujesz je już w celu obrony przed roszczeniami (art. 9 ust. 2 lit. f i art. 17 ust. 3 lit. e RODO). Te same terminy wpisz do klauzuli informacyjnej i do rejestru.

Jak zabezpieczyć dane klientek w salonie?

Siódmy krok zaczyna się od zabezpieczeń z art. 32 RODO. W salonie najczęściej zawodzą proste rzeczy, więc od nich zacznij:

• Każda osoba ma własne konto do systemu. Nie dzielicie jednego hasła.
• Tablet i telefon salonu mają kod blokady ekranu.
• Zdjęcia przed i po trzymasz w systemie albo na koncie salonu, nie w prywatnej galerii stylistki.
• Z klientkami piszesz z numeru salonu, nie z prywatnego.
• Papierowe zgody leżą w zamykanej szafce, nie na ladzie.
• Osoba, która odchodzi z zespołu, traci dostęp w dniu odejścia.

W DamiBook każda osoba z zespołu ma rolę: Właścicielka, Menedżerka, Recepcja albo Specjalistka. Recepcja nie widzi kart PMU, bo są w nich dane o zdrowiu. Specjalistka widzi swój kalendarz i swoje klientki. Numery telefonów i adresy e-mail klientek są w bazie zaszyfrowane. Podpisy i zdjęcia z kart PMU leżą na prywatnym dysku, dostępnym tylko po zalogowaniu. Link do potwierdzenia wizyty w SMS-ie ma losowy, nieodgadywalny kod i pokazuje tylko dane tej jednej wizyty. Szczegóły zespołu i dostępów opisujemy na stronie funkcji zespołu.

Jak odpowiedzieć na prośbę klientki o dostęp do danych albo ich usunięcie?

Klientka może poprosić o dostęp do danych (art. 15), ich sprostowanie (art. 16), usunięcie (art. 17), przeniesienie (art. 20) albo zgłosić sprzeciw (art. 21). Na odpowiedź masz miesiąc. Przy skomplikowanej sprawie możesz go przedłużyć o dwa miesiące, ale w pierwszym miesiącu musisz o tym klientkę zawiadomić (art. 12 ust. 3). Ustal, kto w salonie przyjmuje takie prośby. Sprawdź tożsamość osoby, która prosi, zanim cokolwiek jej wyślesz.

Usunięcie danych nie zawsze oznacza usunięcie wszystkiego. Faktury trzymasz do końca terminu podatkowego. Podpisane zgody możesz zatrzymać do końca terminu przedawnienia. Napisz klientce, które dane zostają, na jakiej podstawie i do kiedy.

W DamiBook dane klientki widzisz i poprawiasz w jej karcie. Przycisk „Usuń dane (RODO)” trwale wymazuje dane osobowe. Historia wizyt zostaje bezosobowo w statystykach. Przycisk nie zadziała, gdy klientka ma zaplanowaną wizytę, więc najpierw ją odwołaj. Usuwa też podpisane zgody i karty zabiegowe, więc zanim go klikniesz, zdecyduj, czy zgody są Ci jeszcze potrzebne. Klientka z kontem w strefie klientki może sama usunąć konto, ze skutkiem takim samym. Gdy poprosi o pełną kopię danych, eksport przygotujemy na Twoje życzenie, bo samodzielnego przycisku eksportu w panelu nie ma.

Co zrobić, gdy dojdzie do wycieku danych klientek?

Załóżmy, że stylistka gubi telefon bez blokady ekranu. W galerii są zdjęcia klientek po zabiegach, a na WhatsAppie rozmowy z numerami. To naruszenie ochrony danych. Postępujesz tak:

1. Zgłaszasz naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości do 72 godzin od jego stwierdzenia. Zgłoszenia nie robisz tylko wtedy, gdy naruszenie raczej nie stwarza ryzyka dla klientek (art. 33 ust. 1).
2. Zawiadamiasz klientki, gdy ryzyko dla nich jest wysokie (art. 34).
3. Wpisujesz zdarzenie do wewnętrznego rejestru naruszeń, także gdy go nie zgłaszasz (art. 33 ust. 5).
4. Zmieniasz hasła, zdalnie blokujesz urządzenie i odbierasz dostęp do kont salonu.

Podsumowanie

• RODO w salonie to siedem kroków, od spisu danych po procedurę na wyciek.
• Rezerwacje opierasz na umowie. Zgody zbierasz na dane o zdrowiu, marketing i zdjęcia. Wzory są we wzorze zgody RODO klientki.
• Rejestr czynności prowadzi każdy salon. Inspektor ochrony danych nie jest obowiązkowy.
• Faktury trzymasz 5 lat od końca roku terminu płatności podatku, a zgody i historię wizyt 6 lat od końca roku ostatniej wizyty.
• Wyciek zgłaszasz do UODO w ciągu 72 godzin, chyba że nie stwarza ryzyka.

Jeśli porządkujesz salon od strony formalnej, sprawdź też, jakie są wymagania sanepidu dla salonu kosmetycznego.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 5, 6, 7, 9, 12, 13, 15-17, 20, 21, 28-30, 32-34, 37, motyw 91 (EUR-Lex), stan na październik 2026.
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (ISAP), stan na październik 2026.
• Ustawa z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej, art. 398 (ISAP), stan na październik 2026.
• Ustawa z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych, art. 81 (ISAP), stan na październik 2026.
• Ustawa z dnia 23 kwietnia 1964 r. Kodeks cywilny, art. 118 (ISAP), stan na październik 2026.
• Ustawa z dnia 29 sierpnia 1997 r. Ordynacja podatkowa, art. 70 i 86 (ISAP), stan na październik 2026.
• Urząd Ochrony Danych Osobowych, stan na październik 2026.
• Regulamin DamiBook z umową powierzenia przetwarzania danych, stan na październik 2026.