RODO dla salonów: Co musisz spełnić w 2026 roku

Ochrona danych osobowych to nie tylko biurokratyczny obowiązek – to fundament zaufania między Tobą a Twoimi klientami. Salony, studia fitness, centra wellness i inni usługodawcy pracują z wrażliwymi danymi na co dzień: imiona i nazwiska, numery telefonów, adresy e-mail, informacje zdrowotne, dane płatnicze. Ogólne rozporządzenie o ochronie danych (RODO) ustanawia jasne zasady postępowania z tymi danymi. W tym artykule wyjaśnimy, co dokładnie musisz spełnić w 2026 roku i jak może Ci w tym pomóc Twój system rezerwacji.

Jakie dane osobowe zbierają salony

Być może nie zdajesz sobie z tego sprawy, ale jako usługodawca przetwarzasz zaskakująco dużą ilość danych osobowych. Należą do nich:

Dane identyfikacyjne – imię, nazwisko, data urodzenia
Dane kontaktowe – telefon, e-mail, adres
Dane o rezerwacjach – historia wizyt, preferowane usługi, ulubiony personel
Informacje zdrowotne – alergie, przeciwwskazania, ograniczenia zdrowotne (szczególnie w usługach kosmetycznych i wellness)
Dane płatnicze – numery kart (jeśli je przechowujesz), historia płatności
Preferencje marketingowe – zgoda na newsletter, kanały komunikacji
Zdjęcia – zdjęcia przed/po przy zabiegach kosmetycznych

Każda z tych kategorii podlega specyficznym zasadom RODO. Dane zdrowotne są uznawane za szczególną kategorię danych z surowszym reżimem ochrony.

Podstawy prawne przetwarzania

RODO wymaga, abyś dla każdego typu przetwarzania miał ważną podstawę prawną. Dla salonów najważniejsze są te trzy:

Wykonanie umowy

Kiedy klient dokonuje rezerwacji, zawiera z Tobą umowę o świadczenie usługi. Do jej realizacji potrzebujesz jego imienia, kontaktu i informacji o wybranej usłudze. Do tego przetwarzania nie potrzebujesz odrębnej zgody – jest ono niezbędne do spełnienia tego, o co klient Cię poprosił.

Uzasadniony interes

Niektóre przetwarzanie możesz uzasadnić prawnie uzasadnionym interesem, na przykład wysyłanie przypomnień o rezerwacjach czy przechowywanie historii wizyt w celu ulepszania usług. Musisz jednak przeprowadzić tzw. test równowagi – Twój interes nie może przeważać nad prawami klienta.

Zgoda

Do komunikacji marketingowej (newsletter, oferty promocyjne, zniżki urodzinowe) potrzebujesz wyraźnej zgody klienta. Musi ona być dobrowolna, konkretna, świadoma i jednoznaczna. Wstępnie zaznaczone pola wyboru nie stanowią ważnej zgody.

Zarządzanie zgodami

Ewidencja zgód to jeden z obszarów, w których salony najczęściej popełniają błędy. Dla każdej zgody musisz odnotować:

Kto udzielił zgody (identyfikacja klienta)
Kiedy zgoda została udzielona (data i godzina)
Na co klient wyraził zgodę (dokładna treść)
W jaki sposób zgoda została udzielona (formularz online, dokument papierowy)

Klient ma prawo w każdej chwili wycofać swoją zgodę, a Ty musisz mieć mechanizm umożliwiający to i ewidencjonujący. Wycofanie zgody musi być równie łatwe jak jej udzielenie.

Okres przechowywania danych

RODO zabrania przechowywania danych osobowych dłużej, niż jest to konieczne do celu, w którym zostały zebrane. Ustal jasną politykę retencji:

Aktywni klienci – dane przechowujesz przez okres trwania relacji
Nieaktywni klienci – zalecany okres przechowywania to 2–3 lata od ostatniej wizyty
Dokumenty księgowe – ustawowy obowiązek przechowywania 5–10 lat
Dane zdrowotne – przez okres niezbędny do bezpiecznego świadczenia usług, potem usunąć
Zgody marketingowe – do momentu wycofania zgody przez klienta

Po upływie okresu przechowywania musisz dane bezpiecznie usunąć lub zanonimizować.

Prawa klientów według RODO

Twoi klienci mają zgodnie z RODO szereg praw, na które musisz być gotowy odpowiedzieć w ciągu 30 dni:

Prawo dostępu – klient może poprosić o kopię wszystkich danych, które o nim przechowujesz
Prawo do sprostowania – klient może poprosić o poprawienie nieprawidłowych danych
Prawo do usunięcia – tzw. prawo do bycia zapomnianym, jeśli nie ma powodu do dalszego przechowywania danych
Prawo do przenoszenia – klient może poprosić o eksport swoich danych w formacie nadającym się do odczytu maszynowego
Prawo do sprzeciwu – szczególnie wobec przetwarzania w celach marketingu bezpośredniego

Jak Resovu pomaga w zgodności z RODO

Resovu zostało od początku zaprojektowane z myślą o zgodności z RODO. System oferuje szereg funkcji ułatwiających przestrzeganie przepisów:

Automatyczne zarządzanie zgodami – przy rezerwacji klient widzi i zatwierdza dokładne warunki przetwarzania, wszystko jest rejestrowane
Konfigurowalny okres przechowywania – zdefiniuj, po jakim czasie nieaktywności dane mają być automatycznie zanonimizowane
Eksport danych klienta – na żądanie wygenerujesz pełny przegląd danych klienta
Prawo do usunięcia – możliwość usunięcia lub zanonimizowania wszystkich danych klienta jednym kliknięciem
Szyfrowanie danych – wszystkie dane są szyfrowane podczas przesyłania i w magazynie
Dziennik audytu – zapis tego, kto, kiedy i jak manipulował danymi

Dzięki tym funkcjom nie musisz prowadzić skomplikowanych arkuszy i papierowej ewidencji. Resovu zajmie się techniczną stroną RODO, a Ty możesz skupić się na swoich klientach.

Najczęściej zadawane pytania

Czy mały salon z jednym pracownikiem musi przestrzegać RODO? Tak. RODO dotyczy wszystkich podmiotów przetwarzających dane osobowe osób fizycznych, niezależnie od wielkości firmy. Nawet jednoosobowa firma z jednym stanowiskiem musi mieć podstawę prawną do przetwarzania danych, informować klientów i chronić ich dane.

Czy grozi mi kara za nieprzestrzeganie RODO? Tak. Urząd Ochrony Danych Osobowych (UODO) może nałożyć karę do 20 milionów EUR lub 4% rocznego obrotu. W praktyce polskie organy w przypadku małych przedsiębiorców nakładają niższe kary, ale nawet kilkadziesiąt tysięcy złotych może być dotkliwe. Ponadto ryzykujesz utratę zaufania klientów.

Czy mogę wysyłać klientom zniżki urodzinowe bez zgody? Nie. Oferta urodzinowa jest formą marketingu bezpośredniego i wymaga wyraźnej zgody klienta. Bez zgody możesz wysyłać jedynie komunikację bezpośrednio związaną ze świadczoną usługą, taką jak potwierdzenie rezerwacji i przypomnienia o terminach.

Jak długo mogę przechowywać zdjęcia klientów (przed/po)? Zdjęcia są danymi osobowymi i do ich wykonania oraz przechowywania potrzebujesz wyraźnej zgody. Zalecamy przechowywanie ich maksymalnie przez okres aktywnej relacji z klientem plus 1 rok. Do wykorzystania w mediach społecznościowych lub na stronie internetowej potrzebujesz odrębnej zgody.

Czy muszę mieć inspektora ochrony danych (IOD)? Większość salonów i mniejszych studiów nie musi wyznaczać IOD. Obowiązek dotyczy przede wszystkim podmiotów, których główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych. Mimo to dobrze jest mieć osobę, która monitoruje RODO w firmie i zapewnia przestrzeganie zasad.