Każdy gabinet, który zapisuje klientów na wizyty, prowadzi karty klienta czy wystawia rachunki, przetwarza dane osobowe — a więc podlega RODO. W tym poradniku znajdziesz bezpłatny wzór klauzuli informacyjnej do uzupełnienia oraz wyjaśnienie, kiedy mały salon musi prowadzić rejestr czynności przetwarzania i jak on wygląda.
Bezpłatny wzór
Klauzula informacyjna RODO dla gabinetu (PDF, 1 strona A4)
Administrator, cele i podstawy przetwarzania w tabeli, odbiorcy, okres przechowywania, prawa klienta i informacje dodatkowe. Pola do uzupełnienia oznaczone w nawiasach.
Czym jest klauzula informacyjna i kiedy ją przekazać?
Klauzula informacyjna to informacja dla klienta wymagana przez art. 13 RODO: kto przetwarza jego dane, w jakim celu, na jakiej podstawie, komu je przekazuje, jak długo je przechowuje i jakie ma prawa. Przekazujesz ją w momencie zbierania danych — np. razem z kartą klienta, przy zapisie online albo wywieszoną w gabinecie i dostępną na stronie internetowej. Klient nie musi jej podpisywać, ale potwierdzenie otrzymania ułatwia wykazanie, że obowiązek został spełniony.
Najważniejsze elementy klauzuli w gabinecie
- Administrator — Twoje dane jako osoby prowadzącej działalność i kontakt w sprawach danych.
- Cele i podstawy prawne — wykonanie usługi (art. 6 ust. 1 lit. b), rozliczenia (lit. c), obsługa roszczeń (lit. f), przypomnienia i marketing za zgodą (lit. a), a dane o zdrowiu — wyłącznie na podstawie wyraźnej zgody (art. 9 ust. 2 lit. a).
- Odbiorcy — biuro rachunkowe, system rezerwacji, poczta i chmura, firma IT. Z każdym takim dostawcą potrzebna jest umowa powierzenia.
- Okres przechowywania — wpisz konkretnie, a nie „przez czas nieokreślony”.
- Prawa klienta — dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw, wycofanie zgody i skarga do Prezesa UODO.
Czy mały salon musi prowadzić rejestr czynności przetwarzania?
Rejestr czynności przetwarzania (art. 30 RODO) to wewnętrzny dokument opisujący, jakie dane przetwarzasz i po co. Firmy zatrudniające mniej niż 250 osób są z tego obowiązku zwolnione tylko wtedy, gdy przetwarzanie jest sporadyczne, nie stwarza ryzyka i nie obejmuje szczególnych kategorii danych.
W praktyce gabinet przetwarza dane klientów regularnie (każda wizyta), a często także dane o zdrowiu z karty klienta. Dlatego zwolnienie zwykle nie ma zastosowania i rejestr warto — a najczęściej trzeba — prowadzić, nawet w jednoosobowej działalności. To także pierwszy dokument, o który może zapytać UODO.
Jak wygląda rejestr czynności w gabinecie? Przykład
| Czynność | Cel | Kategorie osób i danych | Odbiorcy | Okres przechowywania | Zabezpieczenia |
|---|---|---|---|---|---|
| Obsługa klientów i wizyt | Umówienie i wykonanie usługi | Klienci: imię, nazwisko, telefon, historia wizyt | Dostawca systemu rezerwacji | [np. X lat od ostatniej wizyty] | Hasła, dostęp tylko dla personelu |
| Karty klienta | Bezpieczne wykonanie zabiegu | Klienci: dane o zdrowiu, przeciwwskazania | Brak | [okres wskazany w klauzuli] | Zamykana szafka, ograniczony dostęp |
| Rozliczenia | Obowiązki podatkowe | Klienci: dane z faktur | Biuro rachunkowe | Zgodnie z przepisami podatkowymi | Umowa powierzenia, kopie zapasowe |
| Przypomnienia i marketing | Przypomnienia o wizytach, oferta | Klienci, którzy wyrazili zgodę: telefon, e-mail | Dostawca SMS / mailingu | Do wycofania zgody | Ewidencja zgód |
Jeśli zatrudniasz pracowników albo współpracowników, w rejestrze dochodzą czynności kadrowe. Rejestr aktualizujesz za każdym razem, gdy zmienia się sposób przetwarzania — np. wprowadzasz nowy system rezerwacji albo kamerę do zdjęć.
Najczęstsze błędy RODO w salonach
- Klauzula skopiowana z internetu z celami i odbiorcami, których gabinet nie ma.
- Jedna zgoda „na RODO” zamiast osobnej zgody na dane o zdrowiu i osobnej na marketing.
- Brak umów powierzenia z systemem rezerwacji czy biurem rachunkowym.
- Karty klientów na widoku — na recepcji albo w niezamykanej szufladzie.
- Brak procedury na wypadek naruszenia — np. zgubiony telefon z listą klientów. Naruszenie trzeba ocenić i w określonych przypadkach zgłosić do UODO w ciągu 72 godzin.
- Inspektor ochrony danych powołany „na wszelki wypadek” — mały gabinet zwykle nie ma takiego obowiązku.
Pełny pakiet RODO dla gabinetu
Każdy pakiet dokumentacji Zgodnego Gabinetu zawiera komplet RODO dopasowany do danego modelu pracy: klauzule informacyjne, rejestr czynności przetwarzania, zgody, procedurę i kartę naruszenia ochrony danych, zasady przechowywania dokumentacji oraz materiały dotyczące powierzenia danych — w plikach Word i PDF, z 2 latami aktualizacji. Zobacz pakiety dla swojej branży.
Zobacz też: wzór karty klienta i wzór zgody na zabieg kosmetyczny.
Najczęstsze pytania
Czy klient musi podpisać klauzulę informacyjną?
Nie. Klauzula to informacja, a nie zgoda. Podpis lub zaznaczenie „otrzymałem informację” jedynie ułatwia wykazanie, że obowiązek informacyjny został spełniony.
Czy gabinet jednoosobowy musi prowadzić rejestr czynności?
Zwykle tak, bo przetwarza dane klientów regularnie, a często także dane o zdrowiu. Zwolnienie dla małych firm dotyczy tylko przetwarzania sporadycznego i bez danych szczególnych kategorii.
Czy potrzebuję inspektora ochrony danych (IOD)?
Mały gabinet zazwyczaj nie musi powoływać IOD — obowiązek dotyczy m.in. podmiotów, których główna działalność polega na przetwarzaniu danych szczególnych kategorii na dużą skalę. Jeśli go nie powołujesz, nie wpisuj go do klauzuli.
Źródła
Materiał informacyjny. Nie stanowi indywidualnej porady prawnej. Klauzulę i rejestr należy dostosować do faktycznego sposobu przetwarzania danych w gabinecie.
