Vendégkarton GDPR 2026: hozzájárulás minta kozmetikusnak

A vendégkarton GDPR szerint akkor rendben, ha csak a kezeléshez szükséges adatot tartalmazza, a vendég tájékoztatást kap róla, és a különleges adatokra külön hozzájárulást ad. Az allergia, a bőrbetegség vagy a terhesség egészségügyi adat, ehhez a GDPR 9. cikke szerint kifejezett hozzájárulás kell. Hírlevélhez, SMS-akcióhoz a reklámtörvény szerint újabb, külön hozzájárulás.

A kozmetikai vendégkarton a szalon egyik legértékesebb eszköze: ebből tudod, mire allergiás a vendég, milyen kezelést kapott, és mikor érdemes visszahívni. Pont ezért ez az a dokumentum, ahol a legtöbb adatvédelmi hiba születik. Az alábbiakban végigmegyünk a szabályokon, és adunk egy mintaszöveget, amit az ügyvédeddel pár perc alatt a szalonodra szabhatsz.

Mi kerülhet a vendégkartonra a GDPR szerint?

A GDPR 5. cikke szerint csak annyi adatot gyűjthetsz, amennyi a célhoz szükséges, és csak addig tárolhatod, amíg a cél indokolja. A vendégkarton célja a biztonságos, személyre szabott kezelés és a vendégkapcsolat. Minden mező mellé tedd fel a kérdést: kell ez a kezeléshez?

Mikor egészségügyi adat az allergia a kozmetikai kartonon?

A GDPR 4. cikk 15. pontja szerint egészségügyi adat minden olyan adat, amely az érintett múltbeli, jelenlegi vagy jövőbeli testi vagy pszichikai egészségi állapotáról hordoz információt. Az „allergiás a latexre”, a „rosaceás a bőre”, a „vérhígítót szed” vagy a „terhes” bejegyzés tehát mind egészségügyi adat, akkor is, ha nem orvos, hanem kozmetikus rögzíti.

A 9. cikk (1) bekezdése főszabályként tiltja az ilyen adatok kezelését, a (2) a) pont szerint viszont kezelhetők, ha az érintett kifejezett hozzájárulását adta. A gyakorlatban ez egy külön, a vendég által aláírt vagy digitálisan elfogadott nyilatkozat, amely megmondja, milyen adatot és miért rögzítesz. Az általános ÁSZF-be rejtett mondat nem elég.

Hírlevél és SMS: a marketing-hozzájárulás külön kérés

A gazdasági reklámtevékenységről szóló törvény (Grt.) 6. § (1) bekezdése szerint reklám közvetlen megkereséssel, például e-mailben vagy SMS-ben csak akkor küldhető, ha a címzett előzetesen, egyértelműen és kifejezetten hozzájárult. A (3) bekezdés szerint ezt a hozzájárulást bármikor, ingyenesen visszavonhatja. A GDPR 7. cikk (3) bekezdése ugyanezt mondja: a visszavonás nem érinti a korábbi adatkezelés jogszerűségét.

Fontos különbség: az időpont-emlékeztető nem reklám, hanem a foglalás teljesítésének része, ehhez nem kell marketing-hozzájárulás. A „novemberi akció: -20% arckezelésre” viszont reklám. Ha a kettőt egy csatornán küldöd, a szövegben is tartsd szét őket. A kész szövegekhez a szalonos e-mail és SMS marketingről szóló cikkünk ad ötleteket.

Vendégkarton GDPR mintaszöveg: hozzájárulás kozmetikusnak

Az alábbi szöveg kiindulópont, nem kész jogi dokumentum. A szögletes zárójeles részeket töltsd ki, és élesítés előtt ügyvéddel ellenőriztesd.

„1. Egészségügyi adatok. Hozzájárulok, hogy a [Szalon neve] a kezeléseim biztonságos elvégzése érdekében rögzítse és a vendégkartonomon tárolja az általam megadott egészségügyi adatokat (például allergia, bőrbetegség, szedett gyógyszer, terhesség). Tudomásul veszem, hogy hozzájárulásomat bármikor visszavonhatom, ebben az esetben egyes kezelések nem végezhetők el biztonságosan. [ ] Igen, hozzájárulok.”

, Minta, GDPR 9. cikk (2) a) pont alapján, jogi lektorálás szükséges

„2. Ajánlatok és hírlevél. Hozzájárulok, hogy a [Szalon neve] a megadott e-mail-címemre és telefonszámomra akciókról, új kezelésekről szóló reklámüzeneteket küldjön. A hozzájárulást bármikor, ingyenesen visszavonhatom a leiratkozó linkkel vagy a [e-mail-cím] címen. [ ] E-mailben [ ] SMS-ben”

, Minta, Grt. 6. § alapján, jogi lektorálás szükséges

„3. Fotók. Hozzájárulok, hogy a kezelésemről készült, arcomat [ ] tartalmazó [ ] nem tartalmazó fotót a [Szalon neve] a weboldalán és közösségi média oldalain bemutassa. Tudomásul veszem, hogy kérésemre a fotót eltávolítják. [ ] Igen, hozzájárulok.”

, Minta, Ptk. 2:48. § és GDPR alapján, jogi lektorálás szükséges

A hozzájárulások mellé kell egy adatkezelési tájékoztató is, amely a GDPR 13. cikke szerint megnevezi az adatkezelőt, az adatkezelés célját és jogalapját, a címzetteket (például a foglalórendszer üzemeltetőjét), a tárolás idejét és az érintetti jogokat. A fotók publikálásának szabályait a before-after fotókról szóló cikkünk részletezi.

Ellenőrzőlista: GDPR-kompatibilis vendégkarton 10 pontban

1. 1Minden mezőről el tudod mondani, miért kell a kezeléshez.
2. 2Az egészségügyi adatokra külön, kifejezett hozzájárulást kérsz.
3. 3A marketing-hozzájárulás külön, üres jelölőnégyzettel, csatornánként.
4. 4A fotóhasználatra külön hozzájárulás van, a publikálás visszavonható.
5. 5Van rövid, érthető adatkezelési tájékoztató, a vendég megkapja vagy elérheti.
6. 6Meghatároztad és leírtad, meddig őrzöd a kartonokat (például az utolsó kezeléstől számított, indokolt ideig), és utána törlöd.
7. 7A papírkarton zárható helyen van, a digitális karton jelszóval és munkatársankénti jogosultsággal.
8. 8A foglalórendszer vagy CRM üzemeltetőjével adatfeldolgozói szerződésed van (GDPR 28. cikk).
9. 9Vezetsz adatkezelési nyilvántartást: a GDPR 30. cikk (5) szerinti 250 fő alatti mentesség nem vonatkozik a különleges adatok kezelésére.
10. 10Tudod, mit teszel, ha a vendég kéri az adatai törlését vagy másolatát.

Ha baj van: elveszett telefon, feltört fiók, rossz címre ment üzenet

Egy szalonnál az adatvédelmi incidens ritkán hekkertámadás. Sokkal gyakoribb, hogy elvész a telefon a vendégek számaival, valaki hozzáfér a foglalórendszer jelszavához, vagy egy csoportos üzenetben mindenki látja a többi címzett e-mail-címét. A GDPR erre is ad teendőket, és a határidő rövid.

1. 1Állítsd meg a bajt: jelszócsere, a telefon távoli zárolása, a hozzáférés letiltása. A foglalórendszer vagy CRM üzemeltetőjét is azonnal értesítsd, mert a GDPR 33. cikk (2) szerint az adatfeldolgozónak is jeleznie kell feléd, ha nála történt incidens.
2. 2Mérd fel a kockázatot: milyen adat érintett, hány vendégé, és van-e köztük egészségügyi adat. Egy titkosított, jelszóval védett eszköz elvesztése más súlyú, mint egy nyitott táblázaté.
3. 372 órán belül jelentsd a NAIH-nak, ha az incidens kockázattal jár a vendégekre. A 33. cikk (1) szerint ez a tudomásszerzéstől számított legfeljebb 72 óra, késés esetén az okát is meg kell adni.
4. 4Tájékoztasd a vendégeket, ha magas a kockázat. A 34. cikk szerint közérthetően kell leírni, mi történt, milyen következménye lehet, és mit tettél ellene.
5. 5Vezesd nyilvántartásban az incidenst akkor is, ha nem kellett bejelenteni: a 33. cikk (5) szerint a tényeket, a hatásokat és az intézkedéseket rögzíteni kell.

Mit nyersz egy rendben lévő kartonnal?

A jól felépített karton nem teher, hanem marketingalap. Ha a hozzájárulások tiszták, bátran küldhetsz visszahívó üzenetet, születésnapi ajánlatot vagy szezonális kampányt, és nem kell tartanod egy panasztól. A vendégek visszajelzéseit is könnyebb rendszerezni, erről a vendég-elégedettségi kérdőívről szóló írásunkban írtunk.

A Synk CRM-ben a foglalás, a vendégadatok és a marketing-hozzájárulás csatornánként külön mezőben él, így az automatikus kampány csak annak megy ki, aki kérte. A részletekről a szolgáltatásaink oldalán olvashatsz.

Gyakori kérdések a vendégkarton GDPR-ról

Kell hozzájárulás a vendég nevének és telefonszámának tárolásához?

Az időpont-foglaláshoz és egyeztetéshez szükséges alapadatok jellemzően a szerződés teljesítése jogalapon kezelhetők, ehhez nem kell külön hozzájárulás. Tájékoztatni viszont kell a vendéget, és reklámüzenethez már kifejezett hozzájárulás szükséges.

Egészségügyi adatnak számít, ha a vendég allergiáját felírom?

Igen. A GDPR 4. cikk 15. pontja szerint minden, az egészségi állapotra vonatkozó információ egészségügyi adat, akkor is, ha nem orvos, hanem kozmetikus rögzíti. Ezért a 9. cikk szerint kifejezett hozzájárulás kell hozzá: egy külön, a vendég által aláírt vagy digitálisan elfogadott nyilatkozat arról, milyen adatot és miért rögzítesz. Az ÁSZF-be rejtett mondat nem elég.

Meddig őrizhetem meg a vendégkartont?

A GDPR konkrét időt nem ír elő a kozmetikai kartonra, csak azt, hogy a célhoz szükséges ideig. Határozd meg és indokold az időtartamot az adatkezelési tájékoztatóban, és tartsd is be. A számlákra vonatkozó 8 éves számviteli megőrzés külön kötelezettség.

Küldhetek akciós SMS-t a régi vendégeimnek?

Csak annak, aki előzetesen és kifejezetten hozzájárult a reklámüzenethez. Aki nem járult hozzá, annak legfeljebb a foglalásával kapcsolatos szolgáltatási üzenetet küldhetsz. Érdemes a következő látogatáskor pótolni a hozzájárulást.

Mennyi időm van, ha a vendég kéri az adatai másolatát vagy törlését?

A GDPR 12. cikk (3) bekezdése szerint indokolatlan késedelem nélkül, de legfeljebb a kérelem beérkezésétől számított egy hónapon belül kell tájékoztatnod a megtett intézkedésekről. Összetett esetben ez további két hónappal meghosszabbítható, de a hosszabbításról és annak okáról az első hónapon belül szólnod kell.

Kell adatvédelmi tisztviselő egy kozmetikának?

A GDPR 37. cikke többek között akkor teszi kötelezővé, ha a fő tevékenységed különleges adatok, például egészségügyi adatok nagy számban történő kezelése. Egy kozmetikus fő tevékenysége a kezelés, nem az adatkezelés, ezért egy kis szalonnál ez jellemzően nem áll fenn. Több telephelyes, orvosi esztétikai szolgáltatást is nyújtó cégnél viszont érdemes ügyvéddel megvizsgáltatni.