Защита персональных данных для салона красоты
Салон красоты обрабатывает данные клиентов — имя, телефон, историю посещений, иногда сведения о противопоказаниях, — и данные своих работников. Разберём, что оформить и где салоны чаще всего ошибаются.
Знакомые ситуации
- •Записываем клиентов в CRM и в бумажный журнал — что нужно оформить.
- •Рассылаем клиентам акции и напоминания о записи — хватит ли согласия при записи.
- •Публикуем фотографии работ в соцсетях — можно ли так делать.
Что нужно по 152-ФЗ
Уведомление Роскомнадзора
Уведомить надзорный орган об обработке нужно до её начала (часть 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ); если обработка уже идёт, уведомление подают, не откладывая. Исключение осталось за обработкой исключительно без средств автоматизации — то есть за полностью бумажным учётом. Для салона это значит: как только запись ведётся в CRM, таблице или боте, уведомление нужно.
Политика обработки
Политику обработки публикуют и дают к ней доступ там, где собираются данные — на сайте, в форме записи или в мессенджер-боте (часть 2 статьи 18.1 того же закона). Политика отвечает на вопрос, что и зачем вы обрабатываете, поэтому её текст пишется под ваши процессы, а не берётся с чужого сайта.
Основания: услуга, рассылка, фотографии
Запись и оказание услуги — исполнение договора, отдельного согласия для этого обычно не требуется. Рассылка акций — другая цель: на неё берут отдельное согласие, которое можно отозвать. Для публикации фотографий клиента нужно согласие на распространение персональных данных (статья 10.1) — общего согласия при записи для этого недостаточно.
Сведения о здоровье клиента
Аллергии, противопоказания, беременность — специальная категория персональных данных (статья 10). Их собирают только в объёме, который нужен для безопасности процедуры, и с согласия клиента; хранить медицинские справки целиком не нужно.
Бумажный журнал записи
Если журнал записи или карточки клиентов ведутся на бумаге, это обработка без средств автоматизации: она идёт по правилам, утверждённым постановлением Правительства Российской Федерации от 15.09.2008 № 687 (типовые формы, обособленное хранение, раздельная фиксация данных с разными целями). У салона, который целиком перешёл в CRM, этих обязанностей нет.
С чего начать
Нужно ли уведомлять Роскомнадзор →Профиль обработки и типовые объекты преднастроятся под вашу отрасль — можно изменить позже.
С каких документов начать
Каждый собирается под вашу организацию: реквизиты по ИНН, содержание — по ответам о том, что и как вы обрабатываете. Сколько документов входит в комплект, написано на карточке.
Что должно быть в приказе о назначении ответственного за организацию обработки персональных данных (статья 22.1 152-ФЗ): кого назначают, его функции и как оформить. Структура документа.
Что должно быть в политике обработки персональных данных по части 2 статьи 18.1 152-ФЗ, как её составить под реальные процессы и где опубликовать. Структура документа и частые ошибки.
Какие реквизиты должны быть в согласии на обработку персональных данных по части 4 статьи 9 152-ФЗ, когда оно нужно, а когда основанием служит договор. Структура и требование об отдельном документе.
Что должно быть в согласии на рекламную рассылку: два основания сразу — часть 1 статьи 15 152-ФЗ и часть 1 статьи 18 закона «О рекламе», каналы связи, срок и порядок отзыва. Кто доказывает наличие согласия.
Какие сведения указывают в уведомлении об обработке персональных данных (статья 22 152-ФЗ), кому обязательно его подавать и как это сделать бесплатно через Портал персональных данных Роскомнадзора (pd.rkn.gov.ru).
Какие графы нужны в журнале учёта согласий субъектов: дата, цель, срок действия и отметка об отзыве. Зачем нужен журнал, если бремя доказывания согласия лежит на операторе (часть 3 статьи 9 152-ФЗ).
Частые вопросы
Нужно ли салону красоты уведомлять Роскомнадзор?
Да, если запись клиентов ведётся в электронном виде — в CRM, таблице, боте или системе записи. Уведомление бесплатное и подаётся до начала обработки. Исключение осталось только для полностью бумажного журнала записи.
Можно ли публиковать фотографии клиентов «до и после»?
Только с согласием на распространение персональных данных (статья 10.1 Федерального закона от 27.07.2006 № 152-ФЗ). Оно отдельное: согласие, которое клиент дал при записи, публикацию не покрывает, а по требованию клиента публикацию нужно прекратить.
Нужно ли согласие на рассылку акций, если клиент оставил телефон при записи?
Да. Телефон получен для записи и напоминаний о визите, а реклама — другая цель: на неё берут отдельное согласие, и клиент вправе его отозвать.
Подробнее в Базе знаний
Материал носит информационный характер и не заменяет индивидуальную оценку. Требования применяются с учётом целей обработки и особенностей организации.