Можно не приступать к услуге, если клиент отказывается предоставить сведения, без которых её невозможно законно и безопасно оказать. Но отказ подписать отдельное согласие на обработку персональных данных сам по себе не всегда позволяет отказать в обслуживании.
Бьюти-услуги связаны с воздействием на человека, рисками и противопоказаниями. Персональные данные нужны салону в разных ситуациях:
- При записи и оказании услуги: создать карточку клиента в системе онлайн-записи или CRM, оформить заявку, связаться с клиентом, согласовать процедуру, зафиксировать предоставленную информацию о противопоказаниях, рисках и рекомендациях.
- При поступлении претензии: установить, кому, когда и какая услуга оказана, проверить доводы клиента. Если заявлен вред здоровью — рассмотреть относящиеся к нему медицинские документы.
- При возврате оплаты: определить получателя денег, получить необходимые для выбранного способа возврата сведения и реквизиты, оформить расчётные документы.
- После завершения обслуживания: сохранить документы в течение обоснованных или установленных законом сроков, в том числе для бухгалтерского учёта и защиты при возникновении спора.
- При рекламных рассылках или публикации фотографий и отзывов: использовать данные для самостоятельных целей, которые требуют отдельного оформления и не становятся частью договора на процедуру.
Поэтому предложение «не собирайте ничего, чтобы не заниматься персональными данными» для салона не подходит.
Нужно определить, какие сведения необходимы в каждой ситуации и на каком основании салон их обрабатывает.
Что разрешает закон о защите прав потребителей
Салон вправе требовать сведения, предоставление которых предусмотрено законодательством или непосредственно связано с исполнением договора. Если без них невозможно оказать выбранную услугу, отказ клиента предоставить их может препятствовать её выполнению.
Это исключение прямо предусмотрено пунктом 4 статьи 16 Закона о защите прав потребителей.
Но важно различать необходимые сведения и подпись под конкретным бланком согласия. Если закон позволяет обрабатывать данные без согласия, отсутствие этой подписи само по себе не делает обслуживание невозможным.
По требованию клиента салон должен объяснить конкретные причины и правовые основания невозможности обслуживания без данных: устно — незамедлительно, письменно — в течение семи дней.
Для исполнения договора согласие на обработку данных требуется не всегда
Пункт 5 части 1 статьи 6 Закона № 152-ФЗ допускает обработку данных, необходимых для заключения договора по инициативе клиента и исполнения договора с ним.
Поэтому ФИО и другие необходимые сведения в документах на услугу могут обрабатываться на договорном основании, без отдельного согласия на ту же обработку.
Это не освобождает салон от остальных обязанностей оператора. Цели, состав данных, основания, порядок обработки и сроки хранения должны соответствовать реальной работе бизнеса и быть отражены в его документах.
А информированное согласие на услугу?
В своей практике я рекомендую оформлять его перед процедурой. Помимо массы персональных данных оно фиксирует выбранную услугу, доведённую информацию о рисках, противопоказаниях, ограничениях и рекомендациях, а также решение клиента пройти процедуру.
Если клиент не соглашается на саму процедуру, проводить её нельзя (на то оно и согласие).
Если он отказывается сообщить необходимые для её безопасного выполнения сведения, исполнитель должен объяснить, почему без них не может приступить к работе.
При этом согласие на услугу и согласие на обработку персональных данных выполняют разные задачи. Один документ не становится заменой другого только из-за своего названия.
При возврате денег персональные данные тоже нужны
Возврат — это операция, которую необходимо правильно оформить и провести в пользу надлежащего получателя.
В зависимости от способа возврата могут потребоваться ФИО, сведения документа, удостоверяющего личность, банковские реквизиты, номер карты и иные данные, действительно необходимые для соответствующей операции. Если обслуживающий банк требует дополнительные идентификаторы получателя, необходимость их получения нужно связывать именно с этим требованием.
Сведения, необходимые для идентификации получателя, оформления и проведения возврата, не являются избыточными только потому, что это персональные данные.
Например, в постановлении Верховного Суда РФ от 15.06.2015 № 25-АД15-3 рассматривалось получение данных покупателя при возврате денег из кассы. Суд указал, что расходный кассовый ордер предусматривает ФИО получателя и данные документа, удостоверяющего личность. Получение этих сведений для оформления возврата не являлось избыточным. Постановления о привлечении организации к ответственности отменили.
Постановление Верховного Суда РФ от 15.06.2015 № 25-АД15-3Способ и порядок возврата я рекомендую заранее прописывать в оферте с учётом закона, порядка расчётов и используемых платёжных инструментов. Тогда администратор понимает, какие сведения нужны для операции, а клиент — зачем их запрашивают.
Если клиент заявляет о вреде здоровью
Салону необходимо разобраться, что произошло, и чем подтверждается требование. Поэтому можно предложить представить относящиеся к претензии медицинские документы: заключения, назначения, документы о лечении и расходах.
Получение документов, необходимых для оценки заявленного вреда и защиты прав, не является избыточным сбором само по себе.
Но запрос должен относиться к спору: история болезни за всю жизнь для этого обычно не нужна.
Для сведений о здоровье действует специальное основание — пункт 6 части 2 статьи 10 Закона № 152-ФЗ: обработка, необходимая для установления или осуществления прав, а также в связи с правосудием.
Следовательно, отсутствие заранее подписанного общего согласия не означает, что салон лишён возможности законно рассмотреть медицинские документы по претензии.
Нужно ли подписывать согласие на обработку персональных данных при каждом визите?
Нет, если ранее полученное согласие продолжает действовать и охватывает соответствующие цели, данные и действия.
Но согласие не должно превращаться в разрешение «на всё и навсегда». Если появляется новая цель или обработка выходит за согласованные пределы, необходимо определить подходящее основание, а при необходимости — получить новое согласие.
Рекламные рассылки и публикация фотографий не становятся частью исполнения договора на процедуру. Их нужно оформлять отдельно. Отказ от них не препятствует получению основной услуги. В моем пакете оно берется отдельно.
Как определить срок обработки и хранения
Для клиентских документов можно использовать следующую конструкцию:
Это формулировка для договорной и связанной с ней обработки. Для рекламы и других самостоятельных целей сроки определяются отдельно.
Три года — обоснованный ориентир для многих договорных документов, но не универсальный срок для любых сведений. Начало исковой давности не всегда совпадает с последним визитом. На требования о возмещении вреда жизни и здоровью распространяются особенности статьи 208 ГК РФ.
Бухгалтерские документы хранятся по своим правилам
Согласно части 1 статьи 29 Закона № 402-ФЗ «О бухгалтерском учёте», первичные учётные документы сохраняются в течение установленных архивными правилами сроков, но не менее пяти лет после отчётного года.
Например, документы за 2026 год по общему правилу нужно сохранять как минимум до конца 2031 года. Для кассовых и банковских первичных документов также учитывается пункт 277 Перечня, утверждённого приказом Росархива от 20.12.2019 № 236.
Отзыв согласия не отменяет обязанность хранить документы на законном основании. Но хранение документа на возврат не даёт права продолжать рекламную рассылку.
Когда салон может не приступать к процедуре
Салон не приступает к выбранной процедуре, если клиент не выразил согласия на её выполнение либо отказался предоставить сведения, без которых невозможно определить допустимость и обеспечить безопасное оказание этой услуги (в нашем случае это в первую очередь информированное согласие).
Но есть один нюанс: при обработке данных о состоянии здоровья нужно брать согласие на обработку персональных данных. Я считаю, что собственноручный текст клиента в информированном согласии: да или нет под вопросом: «имеются ли у вас противопоказания из перечисленных», не является сбором данных о состоянии здоровья, но поскольку я не нашла практики по этому вопросу, гарантировать, что РКН будет того же мнения не могу.
Поэтому я рекомендую перестраховываться и брать дополнительно согласие на обработку персональных данных от каждого клиента (тем более берется, по сути, один раз), и, соответственно, при отказе от подписания у вас есть причины отказать в услуге.
Но, если не хотите потерять клиента и рискнете не брать согласие на обработку персональных данных, то готовьте примерно такие аргументы:
Напоминаю, 2 ноября, в 14:00 мск проведу вебинар о персональных данных на сайте бьюти-бизнеса.
Разберём формы записи и обратного звонка, согласия, политику, фотографии и отзывы. На конкретном требовании Роскомнадзора покажу, что проверяют и что стоит исправить на своём сайте.
Для информации об участии напишите «ВЕБИНАР» в личные сообщения или комментарии.
