Fiche client d'institut de beauté et RGPD

Une fiche client d'institut de beauté peut contenir ce qui sert à la prestation et à la relation : coordonnées, historique des soins, produits utilisés, préférences, remarques neutres. Elle ne doit pas contenir d'appréciation sur la personne, et les données de santé n'y figurent qu'avec un consentement exprès. La CNIL (Commission nationale de l'informatique et des libertés) fixe aussi des durées de conservation à respecter.

Ce que l'on peut écrire, ce que l'on évite

La CNIL demande, dans les zones de commentaires, des informations « neutres, factuelles et objectives ». Transposé à un institut :

La CNIL cite des exemples de commentaires à proscrire, comme des remarques sur la situation familiale ou des formules stigmatisantes. Elle rappelle surtout que la cliente peut demander à lire ce qui la concerne : écrivez comme si elle allait le lire.

Les données de santé : le point sensible du métier

Dans un institut, la santé arrive vite dans la conversation : peau réactive, allergie, traitement en cours, grossesse. Ce sont des données de santé, que la CNIL range parmi les données sensibles, particulièrement protégées par le RGPD (règlement général sur la protection des données). D'après la CNIL, elles ne peuvent être collectées qu'avec le « consentement exprès » de la personne, et seulement si elles sont pertinentes et proportionnées.

Deux situations à distinguer :

• Ce qu'un texte impose. Pour l'épilation à la lumière pulsée ou au laser, le code de la santé publique prévoit une fiche d'information remise avant le premier acte, dont une copie datée et signée par le client est conservée trois ans (article D1151-4). Ce document a sa propre règle : voir l'épilation à la lumière pulsée.
• Ce que vous choisissez de noter. Pour tout le reste, demandez-vous si l'information est nécessaire à la prestation, recueillez l'accord exprès de la cliente, et faites valider la méthode par votre conseil ou en consultant la CNIL.

Combien de temps garder les fiches

Les questions-réponses de la CNIL sur ses référentiels de gestion commerciale donnent ces repères :

• pendant la relation commerciale, puis trois ans après sa fin pour la prospection ;
• à la fin, suppression, sauf archivage séparé imposé par une obligation légale (comptable, fiscale) ou utile comme preuve en cas de litige, dans la limite de la prescription ;
• pour un compte en ligne inactif, la CNIL recommande deux ans après la dernière action.

Le référentiel n'est pas contraignant, mais un institut qui s'en écarte doit pouvoir justifier son choix.

Et l'assistant dans tout ça

Deux assistants, deux règles d'accès :

• L'assistant du site, ouvert à tous, n'a jamais accès aux fiches clientes. Il répond à partir de la carte des soins et des conditions de rendez-vous. Les conseils de la CNIL sur les chatbots recommandent d'afficher une mise en garde invitant à ne pas communiquer de données sensibles, et de purger celles qui arriveraient quand même.
• L'assistant de l'équipe, réservé aux esthéticiennes, peut retrouver l'historique d'une cliente. Ne lui donnez accès qu'aux personnes qui en ont besoin, et n'y versez que des fiches déjà nettoyées selon les règles ci-dessus.

Points à vérifier avant de brancher un fichier

1. Les zones de commentaires sont relues et neutres.
2. Aucune donnée de santé n'y figure sans accord exprès.
3. Les clientes parties depuis plus de trois ans sont supprimées ou archivées à part.
4. La mention d'information des clientes dit à quoi sert le fichier et qui le lit.
5. Le contrat avec le fournisseur de l'outil précise son rôle et ce qu'il fait des données : à vérifier avec lui avant de vous engager.

La même logique vaut pour l'historique des couleurs dans un salon de coiffure : voir la fiche technique coloration.