Все безопасно / Блог / Салоны и клиники
Обработка персональных данных в салоне красоты и частной клинике
Салон знает о клиенте больше, чем кажется: телефон, историю визитов, противопоказания, аллергии, фото "до и после". Часть этого - данные о здоровье, и для них в 152-ФЗ свои правила. Разберём, какие персональные данные обрабатывает салон красоты, какое согласие нужно и чем отличается обработка персональных данных в клинике.
Какие персональные данные обрабатывает салон красоты
| Данные | Где обычно лежат | Что нужно |
|---|---|---|
| Имя, телефон, история визитов | YCLIENTS, DIKIDI, CRM, форма на сайте | Политика, согласие у формы, сервис записи назван в политике |
| Противопоказания, аллергии, жалобы | Анкета, карта клиента, заметки мастера | Данные о здоровье: только с письменного согласия |
| Фото "до и после" | Телефон мастера, соцсети, сайт | Отдельное согласие на публикацию |
| Переписка с клиентом | Онлайн-чат на сайте, мессенджеры | Чат-сервис назван в политике, понятно, где хранится переписка |
Персональные данные в салоне красоты можно собирать только под конкретные цели (ст. 5 152-ФЗ). Цели обработки персональных данных для салона красоты обычно такие: запись на услуги, оказание услуги, напоминания о визитах и рассылки. Их нужно перечислить в политике, а собирать данные сверх этих целей нельзя.
Согласие на обработку персональных данных в салоне красоты
Обычные контактные данные салон обрабатывает с согласия клиента: галочка у формы записи на сайте и ссылка на политику. С данными о здоровье строже. Противопоказания, аллергии и жалобы - специальная категория персональных данных, и без медицинской лицензии салон может обрабатывать их только с письменного согласия клиента (ст. 10 152-ФЗ). Письменное - значит на бумаге с подписью клиента или в электронном документе с электронной подписью (ст. 9 ч. 4). Галочки на сайте для этого недостаточно, проще всего взять согласие в анкете при первом визите.
Фото "до и после" в соцсетях - это распространение персональных данных. На него нужно отдельное согласие, не совмещённое с другими (ст. 10.1 152-ФЗ), и согласие на использование изображения (ст. 152.1 ГК РФ). Галочка "согласен на обработку" при записи его не заменяет.
Если у салона есть медицинская лицензия, например на косметологию, к этим процедурам применяются правила для клиник.
Если клиентов записывает бот, он тоже обрабатывает их данные. Как сделать это безопасно - на странице ИИ-администратор для салона и клиники.
Обработка персональных данных в клинике
Для лечения клиника обрабатывает данные о здоровье без отдельного согласия: закон разрешает это в медицинских целях, если обработку ведёт медицинский работник, обязанный хранить врачебную тайну (ст. 10 ч. 2 152-ФЗ).
Но вокруг лечения есть много обработки, к медицинским целям не относящейся:
- форма записи на сайте с полем "опишите жалобу" собирает данные о здоровье ещё до визита и уходит в сервис форм или CRM;
- онлайн-чат, куда пациенты пишут симптомы, хранит переписку у стороннего сервиса;
- рассылки, напоминания и отзывы пациентов;
- медицинская информационная система и колл-центр, которые обрабатывают данные по поручению клиники.
Для этого нужны согласия, указание сервисов в политике и поручения обработки. В уведомлении в Роскомнадзор клиника указывает специальную категорию данных.
Что нужно сделать салону или клинике
Проверить сайт и онлайн-запись
Формы, виджеты записи, чат и скрипты: какие данные куда уходят.
Подготовить документы
Политика, согласие для формы на сайте, письменное согласие на данные о здоровье для анкеты, согласие на публикацию фото.
Разместить политику и согласие на сайте
У каждой формы записи. Лишние поля про здоровье в форме лучше убрать.
Подать уведомление в Роскомнадзор
С указанием данных о здоровье и сервисов, которые получают данные клиентов. Подробнее - в статье об уведомлении для ИП и самозанятых.
Наше мнение
Самые чувствительные данные в салоне обычно хранятся не на сайте, а в анкетах и в телефонах мастеров: противопоказания, переписка, фото клиентов в личных мессенджерах и галерее. Мы считаем, что начинать стоит с анкеты и фото, а не с политики на сайте: именно там данные о здоровье и изображения клиентов, за которые спрашивают строже всего. Остальное по 152-ФЗ - на странице 152-ФЗ для сайта.
Частые вопросы
Нужно ли салону красоты письменное согласие на данные о здоровье?
Да, и у письменного согласия есть обязательное содержание: данные клиента, название и адрес салона, цель, перечень данных и действий с ними, срок действия и способ отзыва, подпись клиента (ст. 9 ч. 4 152-ФЗ). Строчки "согласен на обработку" внизу анкеты для этого мало.
Нужно ли отдельное согласие на фото клиента "до и после"?
Да. В согласии на распространение клиент может поставить условия, например запретить публикацию с его именем, и салон обязан опубликовать эти условия в течение трёх рабочих дней (ст. 10.1 ч. 9-10 152-ФЗ). Если клиент потребует убрать фото, публикацию нужно прекратить, а по прямому требованию к тому, кто его разместил, - в течение трёх рабочих дней (ч. 12, 14).
YCLIENTS и персональные данные: кто отвечает, если записи хранятся там?
Вы. Салон остаётся оператором, а сервис записи обрабатывает данные по вашему поручению. Его нужно назвать в политике и проверить, что поручение обработки есть в условиях сервиса.
Нужно ли клинике согласие пациента на обработку персональных данных?
Для лечения основание даёт закон. Для записи через сайт, рассылок, отзывов и всего, что не относится к медицинским целям, согласие нужно.
Нужно ли салону подавать уведомление в Роскомнадзор?
Да. Для каждой цели в уведомлении указываются категории данных, в том числе данные о здоровье, и где находится база с данными клиентов (ст. 22 ч. 3 и ч. 3.1 152-ФЗ), то есть и сервис записи, если клиенты хранятся там. Если позже вы смените сервис записи или начнёте собирать анкеты, уведомление нужно изменить.