Karta klienta fryzjera a RODO

Karta klienta fryzjer lub barber to zwykle prosty notatnik: ulubiona długość, numer maszynki, kolor farby, telefon do umówienia. Problem zaczyna się, gdy do karty trafia zdanie "uczulony na farby" albo "łuszczyca na skórze głowy". Wtedy zwykły notatnik staje się zbiorem danych zdrowotnych. Ten artykuł pokazuje, co wpisać do karty klienta w salonie fryzjerskim, czego unikać i co zrobić, żeby karta była dokumentem, a nie ryzykiem. Zgody i monitoring omawiamy osobno w tekście o RODO w barbershopie. Tu skupiamy się na samej karcie.

Najważniejsze w skrócie

• RODO nie każe prowadzić karty klienta. Nie znaleźliśmy przepisu, który by tego wymagał. Jeśli ją prowadzisz, odpowiadasz za zawarte w niej dane.
• Zapisuj tylko to, co potrzebne do usługi. Zasada minimalizacji (art. 5 ust. 1 lit. c) wyklucza "na zapas" PESEL, adres czy datę urodzenia.
• Alergie i choroby skóry to dane zdrowotne. To szczególna kategoria, której przetwarzanie co do zasady jest zakazane, o ile nie spełnisz warunku z art. 9 ust. 2. Najprostsza ścieżka to wyraźna zgoda.
• Klient musi wiedzieć, co z kartą robisz. Informacje z art. 13 podajesz przy zbieraniu danych.
• Okres przechowywania wyznaczasz Ty i uzasadniasz go celem. RODO nie podaje liczby lat.

Po co karta klienta w salonie

Karta ma trzy zadania. Skraca rozmowę ("tak jak ostatnio"), pomaga uniknąć błędu (nie ten kolor, nie ta farba) i pokazuje, że wiesz, co robiłeś u danego klienta. Ten ostatni punkt ma znaczenie, gdy klient zgłosi reklamację albo skargę, o czym piszemy w tekstach o alergii na farby do brody i skardze klienta do Sanepidu.

Każde z tych zadań to osobny cel przetwarzania. Cel wyznacza, co wolno zapisać, bo dane mają być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach (art. 5 ust. 1 lit. b).

Jakie dane wolno zapisać w karcie klienta fryzjera

Pytanie "wolno" zamień na "po co". Dane muszą być adekwatne, stosowne i ograniczone do tego, co niezbędne (art. 5 ust. 1 lit. c). Dla typowej usługi fryzjerskiej oznacza to krótką listę:

Dane	Po co	Uwaga
Imię (i ewentualnie nazwisko)	Rozpoznanie klienta	Wystarczy imię, jeśli to Ci wystarcza
Telefon	Umówienie i przypomnienie wizyty	Podstawą bywa umowa (art. 6 ust. 1 lit. b)
Historia usług i preferencje	Powtórzenie usługi, ochrona przed błędem	Opis zabiegu, nie opis życia klienta
Kolor i skład farby	Bezpieczeństwo, powtórzenie koloru	To dane o usłudze, nie o zdrowiu
Adres	Tylko przy wizytach u klienta	W salonie niepotrzebny
E-mail	Opcjonalny kontakt	Marketing wymaga osobnej podstawy

Jeśli prowadzisz usługi wyjazdowe, adres zbierasz tylko dla tych wizyt. Pozostałych pól nie dodawaj "na wszelki wypadek". Dane powinny być też prawidłowe i w razie potrzeby uaktualniane (art. 5 ust. 1 lit. d), więc raz na jakiś czas porządkuj karty.

Alergie i dane zdrowotne: kiedy to dane szczególnej kategorii

RODO definiuje dane dotyczące zdrowia jako dane o zdrowiu fizycznym lub psychicznym osoby, ujawniające informacje o stanie jej zdrowia (art. 4 pkt 15). Zdanie "alergia na PPD" mieści się w tej definicji. Dane zdrowotne należą do szczególnych kategorii, których przetwarzanie jest zabronione (art. 9 ust. 1), chyba że zachodzi jeden z warunków z ust. 2.

W salonie fryzjerskim najprostszym warunkiem jest wyraźna zgoda klienta na przetwarzanie tych danych w konkretnym celu (art. 9 ust. 2 lit. a). Pozostałe warunki z ust. 2 dotyczą węższych sytuacji, na przykład ustalenia, dochodzenia lub obrony roszczeń (lit. f). Nie rozstrzygamy, kiedy któryś z nich zadziała w Twoim salonie. Jeśli planujesz opierać się na czymś innym niż zgoda, skonsultuj to z prawnikiem.

Co z tego wynika praktycznie:

• Pytaj o alergie tylko wtedy, gdy wykonujesz zabieg, w którym to ma znaczenie (farbowanie, zabiegi chemiczne). Przy zwykłym strzyżeniu nie ma sensu dopisywać rubryki "choroby".
• Zapisuj w karcie wniosek, a nie diagnozę. "Reakcja na farbę, bez farbowania" mówi więcej niż pełen opis dolegliwości.
• Choroby skóry, przy których odmawiasz usługi, opisaliśmy w tekście o chorobach skóry i odmowie usługi. Zapis o odmowie też bywa daną zdrowotną, więc traktuj go ostrożnie.

Zgoda ma być wyrażona w sposób odróżniający ją od innych kwestii, jasnym i prostym językiem (art. 7 ust. 2). Klient może ją w każdej chwili wycofać, a wycofanie musi być równie łatwe jak wyrażenie (art. 7 ust. 3). Warto też znać art. 7 ust. 4: oceniając dobrowolność zgody, bierze się pod uwagę, czy od niej nie uzależniono usługi, gdy dane nie są do niej niezbędne.

Zgoda, informacja i podstawa przetwarzania

Zebranie danych zaczyna się od informacji. Przy zbieraniu danych od klienta podajesz m.in. swoją tożsamość i dane kontaktowe, cele i podstawę prawną, odbiorców danych, okres przechowywania lub kryteria jego ustalenia, prawa klienta (dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw), prawo do cofnięcia zgody oraz do skargi do organu nadzorczego (art. 13 ust. 1 i 2).

W salonie to jedna kartka przy kasie albo krótki tekst w formularzu rezerwacji. Najczęstsze podstawy dla zwykłych danych w karcie to:

• Umowa (art. 6 ust. 1 lit. b): dane niezbędne, żeby wykonać usługę, w tym umówić wizytę.
• Prawnie uzasadniony interes (art. 6 ust. 1 lit. f): np. zapis, co zrobiłeś klientowi, na wypadek reklamacji. Klient może wnieść sprzeciw (art. 21 ust. 1), a przy marketingu bezpośrednim sprzeciw jest bezwzględny (art. 21 ust. 2 i 3).
• Zgoda (art. 6 ust. 1 lit. a): m.in. na zdjęcia "przed i po" oraz wiadomości marketingowe, osobno od zgody zdrowotnej.

Którą podstawę przypiszesz do którego pola, zapisz w rejestrze czynności. Przedsiębiorca zatrudniający mniej niż 250 osób jest z niego zwolniony, ale nie wtedy, gdy przetwarzanie nie ma charakteru sporadycznego albo obejmuje dane szczególnych kategorii (art. 30 ust. 5). Stała karta klienta z danymi o alergiach spełnia te przesłanki, więc rejestr praktycznie powinieneś prowadzić. Wskazówki UODO do jego tworzenia znajdziesz w opracowaniu Urzędu.

Przechowywanie, okres i usuwanie danych

RODO nie podaje, ile lat wolno trzymać kartę. Dane mają być przechowywane nie dłużej, niż jest to niezbędne do celów przetwarzania (art. 5 ust. 1 lit. e). Okres musisz więc sam uzasadnić celem. Przy karcie, która służy obronie na wypadek reklamacji, punktem odniesienia bywają terminy przedawnienia. Kodeks cywilny przewiduje trzy lata dla roszczeń związanych z prowadzeniem działalności gospodarczej, przy czym koniec terminu przypada na ostatni dzień roku kalendarzowego (art. 118). Roszczenia mogą mieć inne terminy, więc nie traktuj tego jako gotowej liczby.

Prosta zasada: zdecyduj, zapisz w informacji dla klienta i stosuj. Przykładowo możesz ustalić osobne okresy dla historii usług, danych zdrowotnych i danych marketingowych. Dane marketingowe usuwasz po wycofaniu zgody, a klient może żądać usunięcia danych, które nie są już niezbędne do celów, w których je zebrano (art. 17 ust. 1 lit. a). Zawsze sprawdź, czy nie trzymasz ich z innego powodu, na przykład księgowego.

Wzór karty klienta: struktura bez treści prawnych

Poniżej szkielet karty. Treść klauzul i zgód dopasuj do swojego salonu lub weź z gotowych dokumentów.

1. Nagłówek: imię klienta, telefon, data pierwszej wizyty.
2. Informacja: odnośnik do klauzuli informacyjnej i potwierdzenie, że klient ją otrzymał.
3. Historia usług: data, rodzaj usługi, użyte narzędzia lub produkty, uwagi o preferencjach.
4. Pole bezpieczeństwa (tylko przy zabiegach chemicznych): próba uczuleniowa, wynik, decyzja o wykonaniu lub odmowie.
5. Zgody: osobne, niezaznaczone domyślnie pola na dane zdrowotne, zdjęcia i marketing.
6. Data usunięcia lub przeglądu karty.

Zgoda na zdrowie, wizerunek i marketing to trzy różne zgody. Połączenie ich w jednym podpisie to najczęstszy błąd, o którym piszemy też przy okazji regulaminu salonu fryzjerskiego.

Karta klienta fryzjera: papier czy aplikacja do rezerwacji

Forma nie zmienia zasad, zmienia ryzyka. Papierową kartę trzymasz w zamykanej szufladzie, nie na blacie przy fotelu. Bezpieczeństwo przetwarzania ma być adekwatne do ryzyka (art. 32 ust. 1). W aplikacji:

• sprawdź, kto jest dostawcą. Gdy dostawca przetwarza dane w Twoim imieniu, potrzebujesz umowy lub innego instrumentu prawnego spełniającego art. 28 ust. 3, a administrator ma korzystać z podmiotów dających wystarczające gwarancje (art. 28 ust. 1),
• zabezpiecz dostęp hasłem i nie dziel konta między pracownikami,
• nie wpisuj alergii w wolne pole notatki, do którego dostęp ma każdy z zespołu, bez potrzeby.

W razie naruszenia ochrony danych (np. zgubiony telefon z kartami) zgłaszasz je organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia, o ile naruszenie może skutkować ryzykiem dla praw lub wolności osób (art. 33 ust. 1). W pakiecie Fundament znajdziesz formularz zgody RODO klienta, politykę prywatności salonu i rejestr czynności przetwarzania, które porządkują ten obszar.

Najczęściej zadawane pytania

Czy fryzjer musi prowadzić kartę klienta?

Nie znaleźliśmy przepisu RODO ani ustawy zakaźnej, który nakazywałby kartę klienta w salonie fryzjerskim. To Twoja decyzja organizacyjna, ale jeśli ją prowadzisz, przetwarzasz dane osobowe i masz obowiązki z RODO.

Czy mogę zapisać w karcie, że klient ma alergię?

Informacja o alergii to dane dotyczące zdrowia. Ich przetwarzanie jest zabronione, chyba że spełnisz warunek z art. 9 ust. 2, a w salonie najprościej jest uzyskać wyraźną zgodę klienta. Zapisuj tylko to, co potrzebne do bezpiecznego wykonania zabiegu.

Jak długo przechowywać kartę klienta?

RODO nie wskazuje liczby lat. Dane trzymasz nie dłużej, niż to niezbędne do celu (art. 5 ust. 1 lit. e). Okres ustal sam, uzasadnij go i wpisz do informacji dla klienta. Terminy przedawnienia roszczeń z Kodeksu cywilnego (art. 118) mogą być jednym z punktów odniesienia.

Czy klient może zażądać usunięcia swojej karty?

Może żądać usunięcia danych m.in. wtedy, gdy nie są już niezbędne do celów zebrania albo cofnął zgodę i nie ma innej podstawy (art. 17 ust. 1). Zanim usuniesz, sprawdź, czy nie masz obowiązku lub uzasadnionego powodu, żeby część danych zachować.

Czy karta klienta w aplikacji różni się od papierowej?

Zasady są te same. Dochodzi umowa z dostawcą aplikacji, jeśli przetwarza dane w Twoim imieniu (art. 28), oraz zabezpieczenie dostępu do systemu (art. 32).

---

Stan prawny na: 2 listopada 2026
Podstawa prawna: rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO; tekst w polskiej wersji językowej, m.in. art. 4 pkt 15, art. 5, 6, 7, 9, 13, 17, 21, 28, 30 ust. 5, 32, 33); ustawa z 23 kwietnia 1964 r. Kodeks cywilny (tekst jedn. Dz.U. 2026 poz. 795; art. 118). Korzystaliśmy też z wskazówek UODO o rejestrze czynności. Nie sprawdzaliśmy: ustawy z 10 maja 2018 r. o ochronie danych osobowych, stanowisk ani decyzji UODO dotyczących kart klienta w salonach, przepisów o bezpieczeństwie kosmetyków i dokumentacji zabiegów, okresów przedawnienia innych niż z art. 118 ani przepisów o prawach pacjenta (nie stosujemy ich do usług fryzjerskich). Wnioski o podstawach przetwarzania w salonie to nasza interpretacja i wymagają potwierdzenia przez prawnika lub inspektora ochrony danych. Tekst nie jest poradą prawną.
Ostatni przegląd: 2 listopada 2026