GDPR pre salóny: Čo musíte splniť v roku 2026

Ochrana osobných údajov nie je len byrokratická povinnosť – je to základ dôvery medzi vami a vašimi klientmi. Salóny, fitness štúdiá, wellness centrá a ďalší poskytovatelia služieb pracujú s citlivými dátami denne: mená, telefónne čísla, e-maily, zdravotné informácie, platobné údaje. Všeobecné nariadenie o ochrane osobných údajov (GDPR) stanovuje jasné pravidlá, ako s týmito dátami nakladať. V tomto článku vám vysvetlíme, čo presne musíte splniť v roku 2026 a ako vám v tom môže pomôcť váš rezervačný systém.

Aké osobné údaje salóny zbierajú

Možno si to neuvedomujete, ale ako poskytovateľ služieb spracúvate prekvapivo veľké množstvo osobných údajov. Patria medzi ne:

• Identifikačné údaje – meno, priezvisko, dátum narodenia
• Kontaktné údaje – telefón, e-mail, adresa
• Údaje o rezerváciách – história návštev, preferované služby, obľúbený personál
• Zdravotné informácie – alergie, kontraindikácie, zdravotné obmedzenia (najmä u kozmetických a wellness služieb)
• Platobné údaje – čísla kariet (ak ich ukladáte), história platieb
• Marketingové preferencie – súhlas s newsletterom, komunikačné kanály
• Fotografie – pred/po snímky u kozmetických procedúr

Každá z týchto kategórií podlieha špecifickým pravidlám GDPR. Zdravotné údaje sú považované za osobitnú kategóriu dát s prísnejším režimom ochrany.

Právne základy spracúvania

GDPR vyžaduje, aby ste pre každý typ spracúvania mali platný právny základ. Pre salóny sú najrelevantnejšie tieto tri:

Plnenie zmluvy

Ak klient vykoná rezerváciu, uzatvára s vami zmluvu o poskytnutí služby. Na jej plnenie potrebujete jeho meno, kontakt a informácie o zvolenej službe. K tomuto spracúvaniu nepotrebujete osobitný súhlas – je nevyhnutné na splnenie toho, o čo vás klient požiadal.

Oprávnený záujem

Niektoré spracúvania môžete odôvodniť oprávneným záujmom, napríklad zasielanie pripomienok k rezerváciám alebo uchovávanie histórie návštev na zlepšenie služieb. Musíte však vykonať tzv. balančný test – váš záujem nesmie prevážiť nad právami klienta.

Súhlas

Na marketingovú komunikáciu (newsletter, akčné ponuky, narodeninové zľavy) potrebujete výslovný súhlas klienta. Ten musí byť slobodný, konkrétny, informovaný a jednoznačný. Predvyplnené zaškrtávacie políčka nie sú platným súhlasom.

Správa súhlasov

Evidencia súhlasov je jednou z oblastí, kde salóny najčastejšie chybujú. Pre každý súhlas musíte zaznamenať:

• Kto súhlas udelil (identifikácia klienta)
• Kedy bol súhlas udelený (dátum a čas)
• S čím klient súhlasil (presné znenie)
• Akým spôsobom bol súhlas udelený (online formulár, papierový dokument)

Klient má právo svoj súhlas kedykoľvek odvolať a vy musíte mať mechanizmus, ako to umožniť a evidovať. Odvolanie súhlasu musí byť rovnako jednoduché ako jeho udelenie.

Doba uchovávania údajov

GDPR zakazuje uchovávať osobné údaje dlhšie, než je nevyhnutné na účel, na ktorý boli zhromaždené. Stanovte si jasnú retenčnú politiku:

• Aktívni klienti – údaje uchovávate po dobu trvania vzťahu
• Neaktívni klienti – odporúčaná doba uchovávania je 2–3 roky od poslednej návštevy
• Účtovné doklady – zákonná povinnosť uchovávania 5–10 rokov
• Zdravotné údaje – po dobu nevyhnutnú na bezpečné poskytovanie služieb, potom vymazať
• Marketingové súhlasy – do odvolania súhlasu klientom

Po uplynutí doby uchovávania musíte údaje bezpečne vymazať alebo anonymizovať.

Práva klientov podľa GDPR

Vaši klienti majú podľa GDPR rad práv, na ktoré musíte byť pripravení reagovať do 30 dní:

• Právo na prístup – klient môže požiadať o kópiu všetkých údajov, ktoré o ňom vediete
• Právo na opravu – klient môže požiadať o opravu nepresných údajov
• Právo na výmaz – tzv. právo byť zabudnutý, ak nie je dôvod údaje ďalej uchovávať
• Právo na prenositeľnosť – klient môže požiadať o export svojich dát v strojovo čitateľnom formáte
• Právo namietať – najmä proti spracúvaniu na účely priameho marketingu

Ako vám Resovu pomáha s GDPR

Resovu bolo od začiatku navrhnuté s ohľadom na GDPR compliance. Systém ponúka rad funkcií, ktoré vám uľahčia dodržiavanie predpisov:

• Automatická správa súhlasov – pri rezervácii klient vidí a odsúhlasí presné podmienky spracúvania, všetko je zalogované
• Nastaviteľná doba uchovávania – definujte, po akej dobe neaktivity sa majú údaje automaticky anonymizovať
• Export dát klienta – na požiadanie vygenerujete kompletný prehľad údajov klienta
• Právo na výmaz – možnosť vymazať alebo anonymizovať všetky dáta klienta na jedno kliknutie
• Šifrovanie dát – všetky dáta sú šifrované pri prenose aj v úložisku
• Auditný log – záznam o tom, kto, kedy a ako s údajmi manipuloval

Vďaka týmto funkciám nemusíte viesť zložité tabuľky a papierovú evidenciu. Resovu sa postará o technickú stránku GDPR, zatiaľ čo vy sa môžete sústrediť na svojich klientov.

Často kladené otázky

Musí malý salón s jedným zamestnancom dodržiavať GDPR? Áno. GDPR sa vzťahuje na všetky subjekty, ktoré spracúvajú osobné údaje fyzických osôb, bez ohľadu na veľkosť firmy. Aj živnostník s jedným kreslom musí mať právny základ na spracúvanie dát, informovať klientov a chrániť ich údaje.

Hrozí mi pokuta za nedodržanie GDPR? Áno. Úrad na ochranu osobných údajov môže udeliť pokutu až do výšky 20 miliónov EUR alebo 4 % ročného obratu. V praxi úrady u malých podnikateľov udeľujú nižšie pokuty, ale aj desiatky tisíc eur môžu byť citeľné. Navyše riskujete stratu dôvery klientov.

Môžem posielať klientom narodeninové zľavy bez súhlasu? Nie. Narodeninová ponuka je forma priameho marketingu a vyžaduje výslovný súhlas klienta. Bez súhlasu môžete posielať iba komunikáciu priamo súvisiacu s poskytovanou službou, ako sú potvrdenie rezervácie a pripomienky termínov.

Ako dlho môžem uchovávať fotografie klientov (pred/po)? Fotografie sú osobné údaje a na ich vyhotovenie a uchovávanie potrebujete výslovný súhlas. Odporúčame uchovávať ich maximálne po dobu aktívneho vzťahu s klientom plus 1 rok. Na použitie na sociálnych sieťach alebo webe potrebujete samostatný súhlas.

Musím mať zodpovednú osobu na ochranu osobných údajov (DPO)? Väčšina salónov a menších štúdií DPO mať nemusí. Povinnosť sa týka najmä subjektov, ktorých hlavnou činnosťou je rozsiahle spracúvanie osobitných kategórií údajov. Napriek tomu je dobré mať osobu, ktorá GDPR vo firme sleduje a zabezpečuje dodržiavanie pravidiel.