Персональные данные в салоне красоты: анкета, фото, согласия

Салон красоты обрабатывает больше чувствительных данных, чем кажется владельцу. Кроме имени и телефона в карточке клиента копятся аллергии, противопоказания, беременность, перенесённые процедуры, фотографии кожи и волос до и после, данные детей, которых приводят на стрижку. Часть этого — специальные категории персональных данных, для которых закон требует письменного согласия. А фото «до и после» в соцсетях — это ещё и вопрос охраны изображения по Гражданскому кодексу.

Разберём по ситуациям, что можно делать с одной галочкой согласия при записи, где нужно отдельное письменное согласие, как оформить согласие на публикацию фото и как устроить права доступа, чтобы мастер видел только то, что нужно для работы.

Какие данные собирает салон

Анкета здоровья: самое чувствительное место

Статья 10 152-ФЗ запрещает обработку специальных категорий, в том числе сведений о состоянии здоровья, кроме случаев, перечисленных в части 2. Для салона красоты реально применимы два основания:

• письменное согласие клиента (п. 1 ч. 2 ст. 10);
• обработка в медико-профилактических целях лицом, профессионально занимающимся медицинской деятельностью и обязанным сохранять врачебную тайну (п. 4 ч. 2 ст. 10). Это основание касается медицинских организаций с лицензией — например, клиник косметологии, где процедуры выполняет врач. Обычный салон с парикмахерами и мастерами маникюра на него опереться не может.

Значит, если вы спрашиваете клиента об аллергии на краситель или о беременности перед процедурой и записываете ответ, нужно письменное согласие. По части 4 статьи 9 письменное согласие должно содержать ФИО и адрес клиента, реквизиты документа, удостоверяющего личность, наименование и адрес салона, цель, перечень данных, перечень действий, срок и способ отзыва, подпись. Равнозначно бумажному согласие в форме электронного документа, подписанного электронной подписью в соответствии с законом.

Как сделать проще

1. Спросите себя, нужно ли хранить ответ. Иногда достаточно задать вопрос устно перед процедурой и не записывать. Нет записи — нет обработки специальной категории.
2. Если хранить нужно (например, чтобы при следующем визите мастер не забыл об аллергии), выделите в карточке отдельное поле «противопоказания» и закройте его ролями: видят только мастера соответствующих услуг.
3. Оформите отдельное письменное согласие на анкету: на бумаге при первом визите или электронно с подписью. Храните его вместе с карточкой.
4. Укажите в политике отдельную цель «обеспечение безопасности услуг с учётом противопоказаний» с перечнем данных и сроком хранения.

Фото «до и после»: две разные нормы

Фотографии результата — главный маркетинговый материал салона. Но здесь работают сразу два закона.

Первый — статья 152.1 Гражданского кодекса: обнародование и дальнейшее использование изображения гражданина допускаются только с его согласия. Исключения (публичный интерес, съёмка в общественных местах, позирование за плату) к фото клиента в кресле обычно не подходят.

Второй — статья 10.1 152-ФЗ о персональных данных, разрешённых для распространения. Если по фото можно узнать человека, публикация в соцсетях и на сайте — это распространение персональных данных. Для него нужно отдельное согласие, оформленное отдельно от других согласий, а требования к его содержанию утверждены приказом Роскомнадзора от 24.02.2021 № 18.

Что делать, если клиент отозвал согласие

Удалить публикацию в разумный срок. Требование субъекта прекратить распространение обязательно для оператора. Поэтому храните перечень опубликованных фото с привязкой к клиенту: где и когда опубликовано. В нормальной системе учёта это поле в карточке клиента.

Онлайн-запись и форма на сайте

Запись через сайт или виджет — это сбор данных через интернет. Нужны:

• ссылка на политику обработки на странице записи (ч. 2 ст. 18.1 152-ФЗ);
• отдельная неотмеченная галочка согласия с текстом согласия — если вы обрабатываете данные заявки на основании согласия;
• хранение данных записи на серверах в России (ч. 5 ст. 18);
• отдельная галочка для рассылок и напоминаний рекламного характера, если вы их делаете.

Подробнее о галочках и тексте согласия — в статье согласие на обработку ПДн отдельным документом, про локализацию сервисов записи — локализация ПДн: Google Формы и зарубежные виджеты.

Дети и законные представители

Согласие на обработку данных ребёнка даёт родитель или иной законный представитель, а договор на услугу фактически заключается с ним. В карточке ребёнка храните данные родителя как контактного лица. Фото детей для соцсетей — только с письменного согласия родителя на распространение и использование изображения; лучше вообще не публиковать узнаваемые лица детей.

Кто что видит: права доступа

Самая частая проблема салонов — общий доступ ко всей базе для всех сотрудников. Мастер, который уходит в соседний салон, забирает с собой выгрузку клиентов. Защита начинается не с NDA, а с настроек системы:

В homade мастер по умолчанию видит только свои записи, а владелец управляет правами сотрудников. Сайт продукта — homade.ru. Как защищать клиентскую базу от увода — в статье менеджер ушёл с клиентской базой.

Как хранить согласия и что показать при проверке

Согласие нужно не только получить, но и доказать. Часть 3 статьи 9 152-ФЗ возлагает обязанность доказать получение согласия на оператора, то есть на салон. Для каждого типа согласия это выглядит по-разному.

Храните и версии текстов согласий: если вы изменили текст в марте, а клиент дал согласие в январе, при проверке нужно показать январский текст. Проще всего держать тексты на отдельных страницах сайта с датой редакции.

Ещё один практический момент — отзыв согласия. Клиент может отозвать согласие на рассылки или на публикацию фото в любой момент. В карточке клиента должна быть отметка об отзыве, а сотрудники должны знать, что после неё публикацию нужно удалить, а рассылки — отключить. Если отзыв пришёл в мессенджер мастеру, а до владельца не дошёл, это всё равно нарушение салона.

Данные сотрудников салона

Мастера и администраторы — тоже субъекты персональных данных. Для кадрового учёта согласие не требуется, основанием служат Трудовой и Налоговый кодексы. Но если вы публикуете фото мастеров на сайте и в соцсетях, указываете их имена в онлайн-записи или передаёте их данные партнёрам, нужно согласие на распространение — так же, как с клиентами. Для мастеров, работающих по договору аренды кресла или как самозанятые, основание — договор с ними.

Документы, которые нужны салону

1. Политика обработки ПДн на сайте и на странице записи.
2. Текст согласия на обработку данных заявки и отдельный — на рассылки.
3. Письменное согласие на обработку данных о здоровье, если вы храните анкету.
4. Согласие на распространение персональных данных и использование изображения — для фото в соцсетях.
5. Уведомление в Роскомнадзор с целями: оказание услуг, запись, лояльность, маркетинг, кадровый учёт.
6. Для ООО — приказ об ответственном и положение об обработке.

Полный минимальный пакет — в статье документы по 152-ФЗ для малого бизнеса, порядок подачи уведомления — уведомление в Роскомнадзор.

Сколько стоит ошибка

За публикацию фото без согласия по статье 152.1 ГК клиент вправе требовать удаления и компенсации морального вреда в суде. Посчитать свой риск по КоАП можно в калькуляторе штрафов по 152-ФЗ.

План на неделю

1. Проверьте форму онлайн-записи: политика, отдельная галочка, где хранятся данные.
2. Решите, храните ли вы противопоказания. Если да — подготовьте письменное согласие и закройте поле ролями.
3. Подготовьте согласие на фото и видео для соцсетей. Без подписанного согласия — только фото без лица.
4. Настройте роли в системе записи: мастер видит свои записи, экспорт только у владельца.
5. Подайте или обновите уведомление в Роскомнадзор.