Wat vraagt de AVG van je salon als je een allergie op de klantkaart noteert?

Zodra je op een klantkaart noteert dat iemand reageert op een kleurmiddel, verwerk je een gezondheidsgegeven. De AVG noemt dat een bijzonder persoonsgegeven en stelt er in artikel 9 strengere eisen aan dan aan een telefoonnummer. Dit artikel legt uit wat dat concreet betekent voor de klantadministratie van een kapsalon of schoonheidssalon, zonder juridisch jargon en zonder paniek.

Waarom een allergie anders is dan de rest van de kaart

De Algemene verordening gegevensbescherming is sinds 25 mei 2018 van toepassing en wordt in Nederland aangevuld door de Uitvoeringswet AVG. Toezichthouder is de Autoriteit Persoonsgegevens. Voor de meeste velden op een klantkaart, zoals naam, telefoonnummer en de kleurformule van vorige keer, is die verordening goed te doen: je legt vast wat je nodig hebt om je werk te doen en je gaat er zorgvuldig mee om.

Voor gegevens over gezondheid gelden zwaardere regels. Artikel 9 AVG merkt gezondheidsgegevens aan als bijzondere persoonsgegevens en verbiedt het verwerken ervan in beginsel, tenzij er een uitzondering van toepassing is. Een genoteerde overgevoeligheid voor een kleurstof, een eerdere huidreactie of de melding dat een klant zwanger is, vallen daaronder.

Dat is geen reden om die informatie dan maar weg te laten. Integendeel: je hebt haar nodig om veilig te werken. Het betekent alleen dat je bewuster omgaat met de vraag wat je noteert, waarom je het noteert en wie het mag zien.

De grondslag: vraag het gewoon, en leg vast dat je het vroeg

Voor een salon is uitdrukkelijke toestemming van de klant de begaanbare route. Uitdrukkelijk betekent dat de klant weet wat er gebeurt en er actief mee instemt, niet dat er ergens een vinkje stond dat niemand heeft gelezen. In de praktijk is dat een kort gesprek bij de eerste behandeling:

• Je vertelt dat je noteert waar de klant gevoelig voor is, zodat elke collega dat kan zien.
• Je legt uit dat je die aantekening gebruikt om de behandeling veilig uit te voeren en voor niets anders.
• Je vraagt of dat akkoord is en zet in de kaart wanneer je dat hebt gevraagd.
• Je vertelt dat de klant het altijd kan laten verwijderen.

Dat laatste is belangrijk: toestemming is intrekbaar. Trekt een klant de toestemming in, dan haal je het gezondheidsveld leeg. De rest van de kaart, zoals de kleurformule en de behandelhistorie, mag blijven staan, want die berust op een andere grondslag, namelijk de uitvoering van de overeenkomst met de klant.

Wat je vastlegt en wat je weglaat

De AVG vraagt dataminimalisatie: niet meer dan nodig. Voor een salon betekent dat vooral dat je opschrijft wat je met je handen moet weten, en niet wat je in het gesprek toevallig hoort.

Wel of niet op de klantkaart

Wel noteren	Niet noteren
Reageert op een bepaalde kleurstof of stof in een product	De medische diagnose die daarachter zit
Datum en uitkomst van de laatste allergietest	De naam van de arts of dermatoloog
Huid was geirriteerd bij de vorige behandeling	Aandoeningen die niets met de behandeling te maken hebben
Klant meldt zwangerschap en wil daarom geen kleuring	De uitgerekende datum of details over de zwangerschap
Medicatie die het haar of de hoofdhuid aantoonbaar beinvloedt	Het volledige medicatieoverzicht

Schrijf ook in de taal van je vak en niet in de taal van een arts. Een salon is geen zorgaanbieder: je stelt geen diagnose, je stemt je behandeling af. Dat scheelt aanzienlijk in wat je moet vastleggen. Meer over de manier waarop je die velden praktisch inricht, staat in de gids over het opzetten van een digitale klantkaart.

Het verwerkingsregister is voor jou geen theorie

Artikel 30 AVG verplicht organisaties tot een register van verwerkingsactiviteiten. Er staat een uitzondering in voor organisaties met minder dan 250 medewerkers, waar vrijwel elke salon onder valt, maar die uitzondering vervalt zodra de verwerking niet incidenteel is, een risico voor betrokkenen inhoudt of bijzondere persoonsgegevens betreft.

Alle drie gelden voor een salon met allergievelden op de kaart: je doet het elke dag en het gaat om gezondheidsgegevens. In de praktijk heb je dus gewoon een register nodig. Gelukkig is dat geen boekwerk. Voor een salon volstaat een overzicht van een paar pagina's met per verwerking:

1. Wat je verwerkt: klantgegevens, behandelhistorie, kleurformules, gezondheidsgegevens over overgevoeligheid.
2. Waarom: veilig en reproduceerbaar behandelen van klanten.
3. Op welke grondslag: de overeenkomst met de klant, en uitdrukkelijke toestemming voor het gezondheidsveld.
4. Wie erbij kan: de stylisten die de klant behandelen, en de eigenaar.
5. Wie je leverancier is en dat je met die partij een verwerkersovereenkomst hebt.
6. Hoe lang je het bewaart en wanneer je opruimt.

Wie mag de kaart zien

Toegang beperken is bij bijzondere persoonsgegevens geen nette gewoonte maar een eis. In een salon betekent dat concreet: iedereen die behandelt kan de waarschuwingsbalk zien, want dat is nodig om veilig te werken, maar niet iedereen hoeft de volledige historie van elke klant in te kunnen zien.

Werk je met stoelhuur, dan wordt de vraag scherper. Een zelfstandige die een stoel bij je huurt is een eigen ondernemer met eigen klanten, en dan moet je vooraf afspreken wiens klantgegevens het zijn en wie waarbij kan. Die situatie werken we uit in de vragen over klantkaarten bij stoelhuur en wisselende stylisten.

Afspraken met je leverancier

Bewaar je de kaarten in software, dan is die leverancier verwerker en jij verwerkingsverantwoordelijke. Artikel 28 AVG vraagt dan om een verwerkersovereenkomst. Daarin staat wat de leverancier met de gegevens mag doen, welke beveiliging hij treft, wat er gebeurt bij een datalek en wat er met je gegevens gebeurt als je stopt. Vraag die overeenkomst voordat je begint, niet als er iets is gebeurd.

Als het toch misgaat

Een datalek is niet alleen een inbraak op een server. Een vergeten laptop, een kaartenbak die op straat belandt, een e-mail met klantgegevens naar het verkeerde adres: het telt allemaal mee. Datalekken moeten binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens worden gemeld, tenzij het onwaarschijnlijk is dat het lek een risico oplevert. Alle datalekken moet je bovendien intern registreren, ook die je niet meldt.

Bij gezondheidsgegevens is de kans op een risico groter dan bij een lijst telefoonnummers, dus de drempel om te melden ligt lager. Houd daarom een simpel logboek bij met datum, wat er is gebeurd, welke gegevens het betrof en wat je hebt gedaan.

De maximale boete onder de AVG bedraagt 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Die bedragen zijn niet geschreven voor een salon met drie stoelen, maar ze geven wel aan hoe serieus de wetgever dit neemt. Voor jou is het reele risico eerder een boze klant en een beschadigde reputatie in de buurt.

Rechten van je klanten

Betrokkenen hebben recht op inzage, rectificatie, wissing, beperking, dataportabiliteit en bezwaar. Vraagt een klant om inzage in zijn kaart of om verwijdering, dan beantwoord je dat verzoek binnen een maand, met een verlenging van maximaal twee maanden als het verzoek complex is.

In een salon is zo'n verzoek zelden ingewikkeld, mits je kaarten op een plek staan. Ligt je administratie verspreid over een kaartenbak, de agenda, een groepsapp en de telefoon van een collega, dan kun je zo'n verzoek niet betrouwbaar beantwoorden. Dat is een van de fouten die salons in hun klantadministratie maken, en meteen de fout die het duurst uitpakt.

Bewaren en opruimen

De AVG noemt geen bewaartermijn voor klantkaarten. Je bepaalt zelf een redelijke termijn en legt uit waarom die redelijk is. Voor een salon is een termijn die aansluit op de klantrelatie logisch: zolang iemand klant is en een periode daarna, zodat een klant die na een tijd terugkomt zijn formule nog aantreft. Daarna ruim je op. De fiscale bewaarplicht van zeven jaar geldt voor je administratie, niet voor je klantkaarten, dus haal die twee niet door elkaar.

Conclusie: veilig werken en netjes vastleggen gaan samen

De AVG verbiedt je niet om te noteren waar een klant op reageert. Ze vraagt je om het bewust te doen: vraag toestemming, noteer alleen wat je nodig hebt, beperk de toegang, leg de verwerking vast in je register en ruim op wat niet meer nodig is. Doe je dat, dan is de kaart niet alleen correct maar ook veiliger dan de losse briefjes die hij vervangt.

Klantkaart Salon is daar op ingericht: een apart gezondheidsveld met beperkte toegang, een exportknop voor inzageverzoeken, verwijderen in hetzelfde scherm, gegevens op servers binnen de Europese Unie en een kant en klare beschrijving voor je verwerkingsregister. Hoe wij daarover denken en wie erachter zit, lees je op de pagina over de maker van deze site. Wil je zien hoe dat voor jouw salon werkt, bekijk dan de klantkaartsoftware van Klantkaart Salon en schrijf je situatie in het contactformulier. Je krijgt binnen twee werkdagen persoonlijk antwoord.