Una foto del antes y el después publicada en Instagram sin permiso escrito. Un cuaderno de citas con alergias anotadas a bolígrafo visible en el mostrador. Una tarjeta de fidelización con datos personales sin política de privacidad. Estas tres situaciones, aparentemente inofensivas, han generado expedientes sancionadores reales de la AEPD contra pequeños negocios de estética. Si tienes una peluquería, centro de estética o spa en Valencia, este artículo te interesa.
Por qué el sector belleza tiene una relación especial con los datos personales
Los negocios de estética y peluquería recopilan más datos de lo que parece a primera vista. No solo el nombre y el teléfono del cliente: también información sobre alergias o reacciones cutáneas previas, historial de tratamientos, fotografías del estado del cabello o la piel, y en ocasiones datos bancarios o de pago.
El problema es que muchos de estos datos entran en la categoría de datos de salud según el artículo 9 del RGPD, lo que los convierte automáticamente en datos de categoría especial. Esto implica un nivel de protección más elevado y obligaciones adicionales para quien los trata.
Los errores más frecuentes en peluquerías y centros de estética
1. El cuaderno de citas como problema de privacidad
El clásico cuaderno de papel en el que se anota el nombre del cliente, el teléfono y "alérgica al amoniaco" es, técnicamente, un fichero de datos personales que incluye datos de salud. Sin medidas de control de acceso, sin política de retención y sin que el cliente haya sido informado de cómo se usan esos datos, ese cuaderno puede convertirse en el origen de una sanción.
Lo mismo aplica a las aplicaciones de gestión de citas: si el software recoge datos de salud o alergias, debe cumplir con los requisitos del RGPD para el tratamiento de datos de categoría especial.
2. Fotos de antes y después en redes sociales sin consentimiento escrito
Publicar fotografías de clientes en Instagram, TikTok o Facebook —aunque sea para mostrar el trabajo bien hecho— es un tratamiento de datos que requiere consentimiento explícito, libre, informado y específico del titular de la imagen. No basta con que el cliente diga "sí, claro" verbalmente mientras está en el sillón.
El consentimiento debe ser documentado, separado del contrato de servicio y revocable en cualquier momento.
Caso real: salón de belleza multado con 3.000€ por fotos sin consentimiento escrito
La AEPD sancionó a un salón de belleza con 3.000 euros tras la denuncia de una clienta cuya fotografía de antes y después fue publicada en el perfil de Instagram del negocio sin que hubiera firmado ningún documento de cesión de imagen. El salón alegó que la clienta había dado su conformidad verbalmente, pero la AEPD concluyó que el consentimiento para el uso de imágenes con fines publicitarios debe ser siempre documentado y específico para ese fin concreto.
3. Compartir datos de alergias con proveedores sin base legal
Informar al proveedor de productos cosméticos de que una clienta tiene alergia a ciertos ingredientes para recibir recomendaciones de producto es una práctica habitual en el sector. Sin embargo, implica una cesión de datos de salud a un tercero que requiere consentimiento explícito del cliente o, en su defecto, una base contractual documentada.
Caso real: clínica estética sancionada con 5.000€ por cesión de datos de alergias
Una clínica de estética fue sancionada con 5.000 euros por la AEPD al compartir información sobre alergias e historial de tratamientos de sus clientes con el distribuidor de productos cosméticos con el que trabajaba, sin haber recabado el consentimiento de los afectados ni haber suscrito un contrato de encargo del tratamiento con el proveedor. La resolución señaló que los datos de salud, aunque se compartan con una finalidad aparentemente beneficiosa para el cliente, requieren siempre una base legal explícita.
4. Tarjetas de fidelización sin política de privacidad
Muchos negocios de estética ofrecen tarjetas de puntos o descuentos a cambio del nombre, teléfono y correo electrónico del cliente. Sin informar adecuadamente sobre quién es el responsable del tratamiento, con qué finalidad se usan los datos y durante cuánto tiempo se conservan, ese formulario de alta incumple el deber de información del RGPD.
Checklist de protección de datos para peluquerías y centros de estética
- Tengo un documento de política de privacidad visible en el negocio y en mi web
- El cuaderno de citas o el software de gestión está protegido con contraseña o control de acceso
- Los datos de alergias e historial de tratamientos se tratan con las medidas reforzadas para datos de salud
- Cuento con formularios de consentimiento firmados antes de publicar fotos de clientes en redes
- Mis proveedores de software o servicios han firmado un contrato de encargo del tratamiento
- Los datos de clientes no se conservan más tiempo del necesario
- Informo a los clientes de sus derechos de acceso, rectificación, supresión y portabilidad
- Las tarjetas de fidelización incluyen o van acompañadas de información sobre el tratamiento de datos
- No comparto datos de clientes con terceros sin base legal documentada
- Tengo un registro de actividades de tratamiento actualizado
Si tienes dudas sobre cómo aplicar estas obligaciones en tu negocio, en Protección de Datos Valencia ofrecemos una consulta gratuita para peluquerías, centros de estética y spas de la Comunitat Valenciana. Analizamos tu situación concreta y te explicamos qué medidas son prioritarias sin compromiso. Contacta con nosotros a través del formulario de nuestra web y un especialista te responderá en menos de 24 horas.
Fuentes: Reglamento General de Protección de Datos (UE) 2016/679, Arts. 6, 7 y 9 | AEPD – Resolución E/09354/2019 (fotografías sin consentimiento) | AEPD – Resolución PS/00120/2021 (cesión de datos de salud a proveedor) | AEPD – Guía para el cumplimiento del deber de informar (2021) | Ley Orgánica 3/2018 (LOPDGDD)
¿Necesitas cumplir con el RGPD?
Habla con nuestros expertos en protección de datos en Valencia. Consulta gratuita y sin compromiso.