RODO i karta klienta w salonie beauty, zgody, dokumentacja, przechowywanie

W skrócie: Karta klienta w salonie beauty zawiera dane o zdrowiu (alergie, przeciwwskazania, choroby, ciąża, leki), które są danymi szczególnej kategorii w rozumieniu art. 9 RODO. Ich przetwarzanie jest co do zasady zakazane, a salon musi wskazać wyjątek, którym najczęściej jest wyraźna, dobrowolna zgoda klientki (art. 9 ust. 2 lit. a RODO). Zgoda na dane o zdrowiu musi być oddzielona od zgody marketingowej, nie wolno łączyć ich w jednym akapicie. Minimum dokumentacji to: karta klienta, klauzula informacyjna, zgody (zabiegowa, RODO, marketingowa, wizerunkowa), rejestr czynności przetwarzania oraz umowy powierzenia z każdym zewnętrznym dostawcą (system rezerwacji, chmura, księgowość). Papierowych kart nie wolno trzymać w miejscu dostępnym dla osób postronnych. Kary UODO dotyczą także małych salonów, w lutym 2026 r. Prezes UODO nałożył 16 804 zł na małego przedsiębiorcę.

Salon paznokci, gabinet kosmetyczny, studio rzęs, każdy z nich przetwarza dziennie ogromne ilości danych osobowych, często nie zdając sobie z tego sprawy. Imię, telefon, historia wizyt, ale też alergie, przeciwwskazania, przebyte choroby, ciąża, przyjmowane leki, zdjęcia „przed i po", numer do płatności. Duża część tych danych to nie zwykłe dane kontaktowe, tylko dane wrażliwe o zdrowiu, objęte najostrzejszą ochroną prawną, jaką zna RODO.

Większość właścicielek salonów prowadzi karty klientów w dobrej wierze i z troską o klientkę, ale bez świadomości, że robi to niezgodnie z prawem. Zgoda wpleciona w regulamin, karty papierowe leżące na recepcji, brak umowy z dostawcą Booksy, jedna zgoda „na wszystko". Każda z tych rzeczy to potencjalne naruszenie, za które grożą kary, i to niezależnie od wielkości salonu.

Ten artykuł porządkuje temat od strony praktycznej: co konkretnie musi zawierać karta klienta, jak zbierać zgody, żeby były ważne, jak długo i gdzie przechowywać dane, z kim podpisać umowy i jakie błędy kosztują najwięcej. Ważne zastrzeżenie: to przewodnik edukacyjny, nie porada prawna. Wzory dokumentów i konkretne wdrożenie warto skonsultować z prawnikiem specjalizującym się w RODO dla branży beauty, bo szczegóły decydują o zgodności.

Dlaczego karta klienta w salonie beauty to dane wrażliwe, nie zwykłe

Zacznijmy od sedna, bo z niego wynika cała reszta obowiązków. To, co odróżnia salon beauty od zwykłego sklepu w kontekście RODO, to charakter danych, które zbiera.

Karta klienta i wywiad przed zabiegiem zawierają pytania o stan zdrowia: alergie, przeciwwskazania, przebyte choroby, ciążę, przyjmowane leki. Zgodnie z art. 9 ust. 1 RODO dane dotyczące zdrowia są danymi szczególnej kategorii, a ich przetwarzanie jest co do zasady całkowicie zakazane. To brzmi drastycznie, ale ma logikę: prawo traktuje informacje o zdrowiu jako szczególnie wrażliwe i wymaga od każdego, kto je przetwarza, wskazania konkretnego wyjątku, który to przetwarzanie legalizuje.

Dla salonu beauty tym wyjątkiem jest najczęściej wyraźna, dobrowolna zgoda klientki (art. 9 ust. 2 lit. a RODO). To znaczy, że salon nie może po prostu zbierać danych o zdrowiu „bo tak wygodnie" ani „bo tak robią wszyscy". Musi mieć na to wyraźną zgodę, sformułowaną zgodnie z wymogami prawa. Bez tej zgody przetwarzanie danych o zdrowiu jest nielegalne, nawet jeśli klientka podała je dobrowolnie w rozmowie.

To rozróżnienie (dane zwykłe kontra dane o zdrowiu) jest fundamentem wszystkich dalszych obowiązków. Dane kontaktowe (imię, telefon) można przetwarzać na podstawie umowy albo zgody. Dane o zdrowiu wymagają osobnej, wyraźnej zgody i szczególnej ochrony. Mylenie tych dwóch kategorii to źródło większości błędów w salonach.

Kto jest administratorem danych i co to oznacza w praktyce

Zanim przejdziemy do dokumentów, jedna kluczowa rola. Administratorem danych osobowych (ADO) jest właściciel salonu albo osoba prowadząca gabinet. To on odpowiada za całość przetwarzania danych klientek i to na nim spoczywa obowiązek zgodności z RODO.

Ta odpowiedzialność jest osobista i nie da się jej scedować. Stylistka pracująca w salonie przetwarza dane w imieniu administratora, ale to administrator (właściciel) odpowiada przed UODO. To także administrator decyduje o celach i sposobach przetwarzania, ustala dokumentację i odpowiada za jej wdrożenie.

Konsekwencja praktyczna: jeśli jesteś właścicielką salonu, obowiązki RODO są twoje, nawet jeśli nie znasz się na prawie, nawet jeśli salon jest jednoosobowy, nawet jeśli „nikt tego nie sprawdza". Wielkość działalności nie wyłącza odpowiedzialności, o czym boleśnie przekonują się mali przedsiębiorcy, na których UODO nakłada kary.

Co musi zawierać karta klienta zgodna z RODO

Karta klienta to serce dokumentacji, bo to w niej gromadzą się dane wrażliwe. Oto co powinna zawierać i, co równie ważne, czego zawierać nie powinna.

Karta powinna zbierać wyłącznie dane niezbędne do celu, jakim jest bezpieczne i skuteczne przeprowadzenie zabiegu. To zasada minimalizacji danych, jedna z podstawowych w RODO. Zbierasz to, co potrzebne, nie „na wszelki wypadek".

Pytaj o to, co ma związek z bezpieczeństwem zabiegu: alergie, ciążę, leki (np. światłouczulające), choroby przewlekłe wpływające na przeciwwskazania, wcześniejsze reakcje skóry. Te dane mają uzasadnienie, bo chronią klientkę i ciebie przed powikłaniami.

Nie pytaj o dane bez związku z zabiegiem: stan cywilny, wykształcenie, dokładne zarobki, szczegóły życia prywatnego wykraczające poza obsługę. Zbieranie danych, których nie potrzebujesz do celu, jest naruszeniem zasady minimalizacji.

Kartę klienta prowadzi się razem z dokumentacją przebiegu zabiegu (użyte produkty, reakcja skóry) i, jeśli je zbierasz, notatkami przydatnymi w obsłudze (upodobania klientki, preferencje). Uwaga: nawet notatki typu „córka bierze ślub za tydzień" albo „lubi kawę bez cukru" są danymi osobowymi i podlegają ochronie, bo pozwalają zidentyfikować i profilować klientkę.

System zgód, cztery różne zgody, których nie wolno łączyć

To najczęstsze i najbardziej kosztowne źródło błędów. Wielu przedsiębiorców w branży beauty łączy różne zgody w jednym, nieczytelnym akapicie. To poważny błąd, bo prawo wymaga, żeby zgody były rozdzielone.

W salonie beauty funkcjonują zwykle cztery różne zgody o różnych celach i podstawach prawnych:

Zgoda na przetwarzanie danych o zdrowiu (RODO, art. 9). Legalizuje zbieranie alergii, przeciwwskazań, chorób. Musi być wyraźna, dobrowolna i dotyczyć konkretnego celu (np. „przetwarzanie danych zdrowotnych w celu wykluczenia przeciwwskazań do zabiegu"). Idzie w parze ze zgodą zabiegową.

Zgoda zabiegowa. Świadoma zgoda klientki na wykonanie konkretnego zabiegu, po zapoznaniu się z jego przebiegiem i ryzykiem. Chroni salon przed roszczeniami.

Zgoda marketingowa. Na wysyłanie newslettera, SMS z ofertami, wiadomości po wizycie. Osobna od pozostałych.

Zgoda na wykorzystanie wizerunku. Jeśli publikujesz zdjęcia klientek (efekty zabiegów) na stronie albo w mediach społecznościowych, potrzebujesz osobnej, wyraźnej zgody na wizerunek.

Żelazna zasada: każda z tych zgód musi być oddzielna, sformułowana jasno dla laika, przejrzysta i odseparowana od innych oświadczeń. Nie wolno wrzucać zgody na dane o zdrowiu razem ze zgodą marketingową w jeden akapit regulaminu. Zgoda musi być też dobrowolna, co znaczy, że odmowa zgody marketingowej nie może blokować wykonania zabiegu.

Ważny niuans: nie wszystko wymaga zgody. Zgoda nie jest „dziką kartą" na wszystko, a używanie jej jako uniwersalnej podstawy grozi karami za fikcyjne zgody. Przykład: karta lojalnościowa oparta na wielokrotnych wizytach może działać na podstawie umowy (klientka akceptuje regulamin programu), a nie zgody. Newsletter z ofertami wymaga zgody marketingowej. Dobór właściwej podstawy prawnej do każdego celu to element, który warto skonsultować z prawnikiem.

Klauzula informacyjna, obowiązek, o którym salony zapominają

Poza zgodami salon ma obowiązek poinformować klientkę o tym, co dzieje się z jej danymi. Służy temu klauzula informacyjna (obowiązek informacyjny), osobny dokument, który klientka powinna otrzymać.

Klientka musi być w pełni świadoma, w jaki sposób, gdzie i przez kogo jej dane będą przetwarzane. Klauzula informacyjna musi być oddzielnym dokumentem i zawierać co najmniej:

Kto jest administratorem danych (ADO), czyli dane salonu/właściciela. Cel i podstawę prawną przetwarzania. Okres przechowywania danych. Informację o prawach klientki (dostęp, sprostowanie, usunięcie, sprzeciw). Informację o odbiorcach danych (np. system rezerwacji, księgowość). Informację o prawie wniesienia skargi do UODO.

Klauzula informacyjna to nie to samo co zgoda. Zgoda to oświadczenie klientki („wyrażam zgodę"). Klauzula to informacja od salonu do klientki („informujemy, że..."). Oba dokumenty są potrzebne i pełnią różne funkcje.

Umowy powierzenia, najczęściej pomijany obowiązek

Tu dochodzimy do obowiązku, o którym zapomina większość salonów, a który wprost wynika z art. 28 RODO. Jeśli korzystasz z jakiegokolwiek zewnętrznego podmiotu, który ma dostęp do danych twoich klientek, musisz z nim mieć umowę powierzenia przetwarzania danych.

Kogo to dotyczy w typowym salonie:

Dostawca systemu rezerwacji online (Booksy, Versum, Fresha i inne). Ma dostęp do bazy klientek, więc wymaga umowy powierzenia.

Dostawca chmury, w której przechowujesz dane albo zdjęcia.

Biuro księgowe, jeśli przekazujesz mu dane klientek (np. do faktur).

Każdy inny podmiot przetwarzający dane w twoim imieniu (np. firma marketingowa wysyłająca SMS).

Brak umowy powierzenia z tymi podmiotami wprost narusza art. 28 RODO. W praktyce dostawcy tacy jak Booksy zwykle udostępniają wzór umowy powierzenia do zawarcia, ale to na tobie, jako administratorze, spoczywa obowiązek jej podpisania i przechowywania. Wielu właścicieli korzysta z systemu rezerwacji latami bez świadomości, że ta umowa jest potrzebna.

Rejestr czynności przetwarzania, dokument, który wykazuje zgodność

Kolejny dokument, który salon powinien mieć: rejestr czynności przetwarzania (RCP). To lista wszystkich operacji, jakie salon wykonuje na danych klientek, z przypisanymi celami i podstawami prawnymi.

RCP odpowiada na pytania: jakie dane zbierasz, w jakim celu, na jakiej podstawie prawnej, jak długo przechowujesz, komu udostępniasz. To dokument wewnętrzny, którego UODO może zażądać podczas kontroli, żeby sprawdzić, czy salon panuje nad swoim przetwarzaniem danych.

Dla małego salonu RCP nie musi być skomplikowany, ale musi istnieć i odzwierciedlać rzeczywistość. Przykładowe czynności w rejestrze salonu: prowadzenie kart klientek (cel: bezpieczeństwo zabiegu, podstawa: zgoda art. 9), rezerwacja wizyt (cel: realizacja usługi, podstawa: umowa), marketing (cel: informowanie o ofertach, podstawa: zgoda marketingowa), dokumentacja księgowa (cel: obowiązek prawny).

Tabela, komplet dokumentacji RODO dla salonu beauty

Poniższa tabela zbiera dokumenty, które powinien mieć salon beauty, z ich funkcją. To praktyczna checklista do sprawdzenia własnej dokumentacji.

Salon, który ma wszystkie te pozycje uzupełnione i stosowane w praktyce, jest przygotowany na kontrolę UODO i chroniony przed większością typowych naruszeń.

Przechowywanie danych, gdzie, jak długo i jak bezpiecznie

Zebranie zgód to jedno, ale równie ważne jest to, jak fizycznie i cyfrowo przechowujesz dane. Tu popełnia się błędy, które są łatwe do wykrycia podczas kontroli i kosztowne.

Fizyczne bezpieczeństwo kart papierowych. Papierowych kart klientów nie wolno trzymać w miejscach łatwo dostępnych dla osób postronnych, na przykład na blacie recepcji, gdzie dostęp może mieć każdy. Karty muszą być przechowywane w zamykanych szafkach albo szufladach, dostępnych tylko dla upoważnionych osób. Karta z danymi o zdrowiu leżąca na widoku to naruszenie.

Bezpieczeństwo cyfrowe. Dane w systemie rezerwacji, w chmurze albo w plikach powinny być chronione hasłem, dostępne tylko dla upoważnionych. Zdjęcia „przed i po", zawierające wizerunek i często dane o stanie skóry, również wymagają zabezpieczenia.

Okres przechowywania. Dane przechowuje się tylko tak długo, jak to konieczne do celu, dla którego zostały zebrane, albo tak długo, jak wymagają tego przepisy (np. dokumentacja księgowa, przedawnienie roszczeń). Po ustaniu celu i upływie wymaganych okresów dane należy usunąć. Trzymanie danych klientki, która nie była w salonie od lat i nie wróci, „bo a nuż", bez podstawy prawnej, jest naruszeniem. Konkretne okresy warto ustalić z prawnikiem, bo zależą od rodzaju danych i celu.

Prawidłowe niszczenie. Dane, które usuwasz, muszą być zniszczone bezpiecznie. Wyrzucenie kart z danymi klientek do zwykłego śmietnika to naruszenie, które realnie kończy się karą (patrz sekcja o karach).

Prawa klientki, na co masz miesiąc i co musisz umożliwić

RODO daje klientce konkretne prawa (art. 15-22), a salon ma obowiązek je realizować. Warto je znać, bo klientka może z nich skorzystać w każdej chwili.

Klientka ma prawo do: dostępu do swoich danych (np. historii zabiegów), sprostowania błędów, usunięcia danych (jeśli nie ma podstawy prawnej do ich dalszego przechowywania), ograniczenia przetwarzania oraz sprzeciwu wobec marketingu.

Salon musi odpowiedzieć na żądanie klientki w ciągu miesiąca i bez opłat. To znaczy, że jeśli klientka poprosi „proszę usunąć moje dane" albo „proszę o kopię mojej karty", masz miesiąc na realizację i nie możesz za to pobrać opłaty.

Przy marketingu kluczowe jest umożliwienie łatwego wycofania zgody. Każdy SMS marketingowy powinien mieć możliwość „wypisania się", a salon powinien prowadzić rejestr wycofań, żeby nie wysyłać wiadomości osobom, które się wypisały. Wysyłanie marketingu do kogoś, kto wycofał zgodę, jest naruszeniem.

Naruszenie danych, kiedy i jak zgłosić

Może się zdarzyć wyciek albo naruszenie ochrony danych: zgubiony laptop z bazą, włamanie do systemu, karty wyrzucone do śmietnika, wysłanie danych do niewłaściwej osoby. RODO nakłada wtedy konkretne obowiązki.

Jeśli naruszenie wiąże się z wysokim ryzykiem dla praw klientek, salon musi powiadomić klientki (osoby, których dane dotyczą) bez zbędnej zwłoki. Naruszenie zgłasza się też do UODO, standardowo w ciągu 72 godzin od stwierdzenia.

Kluczowa nauka z praktyki UODO: sam brak współpracy z urzędem po naruszeniu bywa karany surowiej niż samo naruszenie. Dlatego w razie wycieku nie wolno chować głowy w piasek, tylko działać zgodnie z procedurą.

Kary UODO, dlaczego mały salon też jest na celowniku

Powszechne przekonanie „jestem małym salonem, UODO się mną nie zajmie" jest fałszywe i kosztowne. Niewielka skala działalności nie wyłącza odpowiedzialności.

Konkretny, aktualny przykład: w lutym 2026 r. Prezes UODO nałożył na małego przedsiębiorcę karę 16 804 zł, i to nie za samo naruszenie ochrony danych, lecz za brak współpracy z urzędem po zgłoszeniu, że dokumenty z danymi klientów wylądowały w śmietniku (decyzja z 5.02.2026 r., DKE.561.9.2025). To pokazuje dwie rzeczy: że UODO działa także wobec małych podmiotów, i że kara może wynikać nie tylko z samego naruszenia, ale też z braku reakcji.

Za niedopełnienie obowiązków RODO Prezes UODO może nałożyć dotkliwe kary finansowe. Poza samym kosztem finansowym kara niszczy budowany latami wizerunek bezpiecznego, zaufanego gabinetu. W branży, w której klientki powierzają salonowi dane o swoim zdrowiu, utrata zaufania bywa dotkliwsza niż sama grzywna.

Najczęstsze błędy RODO w salonach, checklista do sprawdzenia

Zbierzmy najczęstsze naruszenia, które warto sprawdzić u siebie od razu.

Łączenie zgody na dane o zdrowiu ze zgodą marketingową w jednym akapicie. To jeden z najczęstszych i najpoważniejszych błędów.

Papierowe karty klientów leżące na recepcji, dostępne dla osób postronnych.

Brak umowy powierzenia z dostawcą systemu rezerwacji (Booksy i inne), chmurą, biurem księgowym.

Brak klauzuli informacyjnej albo wrzucenie jej razem ze zgodą.

Zbieranie danych zbędnych do zabiegu (stan cywilny, zarobki).

Publikowanie zdjęć klientek bez osobnej zgody na wizerunek.

Brak rejestru czynności przetwarzania.

Przechowywanie danych bez ograniczenia czasowego, „na zawsze".

Wyrzucanie dokumentów z danymi do zwykłego śmietnika.

Brak procedury na wypadek żądania klientki (usunięcie, dostęp) albo naruszenia danych.

Każdy z tych punktów to potencjalne naruszenie. Salon, który przejdzie tę listę i wyeliminuje braki, znacząco obniża ryzyko kary.

Jak wdrożyć RODO w salonie, praktyczna kolejność

RODO wygląda na przytłaczające, ale wdrożenie da się rozłożyć na konkretne kroki. Oto sensowna kolejność.

Krok pierwszy, ustal, jakie dane zbierasz i po co. Przejrzyj kartę klienta, system rezerwacji, notatki. To podstawa do rejestru czynności.

Krok drugi, przygotuj komplet dokumentów: kartę klienta zgodną z minimalizacją, cztery rozdzielone zgody, klauzulę informacyjną, rejestr czynności, politykę ochrony danych. Tu warto skorzystać z gotowych wzorów przygotowanych przez prawnika dla branży beauty i dostosować je do swojego salonu, zamiast pisać od zera.

Krok trzeci, podpisz umowy powierzenia z każdym zewnętrznym dostawcą.

Krok czwarty, zabezpiecz przechowywanie: zamykane szafki na karty papierowe, hasła i ograniczony dostęp do danych cyfrowych, procedura niszczenia.

Krok piąty, wdróż procedury na żądania klientek i na wypadek naruszenia.

Krok szósty, przeszkol personel, bo to często pracownik przez nieświadomość powoduje naruszenie.

To jednorazowa praca, którą potem się tylko aktualizuje. Koszt (czas plus ewentualny gotowy pakiet dokumentów albo konsultacja prawna) jest wielokrotnie niższy niż kara i utrata zaufania klientek.

RODO chroni salon tak samo jak klientkę

Na koniec zmiana perspektywy, która pomaga przestać traktować RODO jak uciążliwy obowiązek. Dobrze wdrożone RODO nie jest tylko ochroną klientki. Jest ochroną salonu.

Karta klienta z prawidłowo zebraną zgodą zabiegową i zdrowotną chroni cię przed roszczeniami, bo dokumentuje, że klientka poinformowała o przeciwwskazaniach i wyraziła świadomą zgodę. Uporządkowana dokumentacja to tarcza w razie sporu. Ochrona danych buduje też zaufanie: klientka, która widzi, że salon poważnie traktuje jej dane o zdrowiu, ufa mu bardziej.

Jest jeszcze jeden wymiar, szczególnie ważny w branży beauty: baza klientek chroniona przez RODO jest twoim aktywem. To dane należące do salonu, nie do pojedynczej stylistki. Prawidłowo zabezpieczona baza to zabezpieczenie na wypadek, gdyby pracownik chciał ją „zabrać" przy odejściu, co jest osobnym, ważnym tematem prawnym.

RODO w salonie beauty nie jest biurokracją dla biurokracji. Jest ramą, która chroni najbardziej wrażliwe dane, jakie klientka ci powierza, dane o jej zdrowiu, i jednocześnie zabezpiecza twój biznes przed karami, roszczeniami i utratą zaufania. Wdrożone raz, porządnie, przestaje być problemem, a staje się fundamentem profesjonalnego, godnego zaufania salonu.

Źródła i uwagi metodologiczne

Piękne Prawo, „Jakie dokumenty musi mieć salon kosmetyczny? Lista 2026", komplet dokumentacji, dane o zdrowiu jako kategoria art. 9 RODO, kara UODO 16 804 zł z 5.02.2026 (DKE.561.9.2025), umowy powierzenia

MDL Kancelaria Prawna, „Prawne fundamenty Twojego salonu beauty", art. 9 ust. 1 i 2 lit. a RODO, wymóg oddzielenia zgód, przechowywanie kart papierowych, umowy powierzenia z art. 28

BPPZ, „RODO w branży beauty. Jak chronić dane klientów w salonach", prawa klientki art. 15-22, termin miesiąca, zgłoszenie naruszenia w 72 h, rejestr czynności przetwarzania, zgoda vs umowa jako podstawa

Dlakosmetologii.pl, „RODO i dokumentacja zabiegowa w kosmetologii", zasada minimalizacji danych, o co pytać i o co nie pytać, klauzula informacyjna jako osobny dokument

Gabinet od Zaplecza, „RODO w salonie kosmetycznym", zakres danych w karcie klienta, zgody na wizerunek, dokumentacja przebiegu zabiegu

RATIO-GO, „Dokumentacja RODO dla branży beauty", zakres pakietu dokumentacji, ryzyko przy wizerunku w social mediach

Uwagi metodologiczne. Artykuł ma charakter edukacyjny i nie stanowi porady prawnej. Interpretacja przepisów RODO w konkretnym salonie zależy od profilu działalności, rodzaju zabiegów i zakresu zbieranych danych. Podane podstawy prawne (art. 9, art. 6, art. 28, art. 15-22 RODO) i przykład kary UODO odzwierciedlają stan i publikacje branżowe z 2026 roku; przepisy i praktyka orzecznicza mogą się zmieniać. Wzory dokumentów (zgody, klauzula informacyjna, rejestr czynności, umowy powierzenia) oraz okresy przechowywania danych warto opracować lub zweryfikować z prawnikiem specjalizującym się w RODO dla branży beauty.