RODO w salonie kosmetycznym: leady z formularzy Meta
Reklama z formularzem zbiera imię i telefon klientki. Wyjaśniamy podstawę prawną, klauzulę w formularzu Meta, czas przechowywania leadów i rolę agencji. Ogólna informacja.
W skrócie: Salon jest administratorem danych z formularza reklamowego, a do oddzwonienia w sprawie wizyty zwykle wystarcza podstawa z art. 6 ust. 1 lit. b RODO (działania na żądanie osoby przed zawarciem umowy), zgoda jest potrzebna dopiero na marketing. Formularz musi mieć klauzulę informacyjną, okres przechowywania ustalasz sam i wpisujesz go do klauzuli, a agencja z dostępem do leadów działa jako podmiot przetwarzający na podstawie umowy powierzenia. To ogólna informacja, nie porada prawna.
RODO w salonie kosmetycznym kojarzy się zwykle z kartą klientki i zgodą na zdjęcia. Problem zaczyna się wtedy, gdy uruchamiasz reklamę na Facebooku dla salonu z formularzem natychmiastowym. Typowa sytuacja: właścicielka gabinetu ma gotową kampanię, budżet policzony według tego, ile kosztuje reklama salonu na Facebooku, i wstrzymuje start, bo nie wie, czy może trzymać telefony obcych osób w arkuszu.
Poniżej znajdziesz kolejno: kto za co odpowiada, jaką podstawę prawną wybrać, gotowy tekst klauzuli do formularza Meta, listę pytań, których nie zadawać w reklamie, przykładową tabelę przechowywania leadów i 7 pytań do agencji. Przy konkretnych wątpliwościach skonsultuj swoją sytuację z prawnikiem lub inspektorem ochrony danych (IOD).
Kto jest administratorem danych z formularza reklamowego?
Administrator to podmiot, który ustala cele i sposoby przetwarzania danych (art. 4 pkt 7 RODO). Jeśli to Twój salon decyduje, po co zbiera imię i telefon (żeby oddzwonić i umówić zabieg) i co z nimi dalej robi, to salon jest administratorem. Nie zmienia tego fakt, że formularz technicznie działa na Facebooku lub Instagramie.
Agencja, która prowadzi kampanię i ma dostęp do leadów, zwykle jest podmiotem przetwarzającym, czyli przetwarza dane w imieniu administratora (art. 4 pkt 8 RODO). Kancelaria Legiscope ujmuje to tak: agencja „jest procesorem, gdy prowadzi kampanie na danych klienta, a administratorem, gdy buduje własne bazy leadów”, a „rolę ocenia się dla każdej czynności osobno” (Legiscope, RODO w agencji marketingowej).
Meta jest osobnym podmiotem z własnym regulaminem i własną polityką prywatności. Szczegółowe ustalenie jej roli wobec Twoich leadów to temat na rozmowę z prawnikiem, a nie na ogólny poradnik.
Wskazówka: Zapisz w jednym zdaniu, po co zbierasz dane z formularza (np. „oddzwonienie i umówienie konsultacji”). Ten cel wpiszesz do klauzuli, do umowy z agencją i do tabeli przechowywania.
Na jakiej podstawie prawnej salon przetwarza dane z formularza?
Popularny mit mówi, że zgoda jest zawsze wymagana. W jednym z najpopularniejszych poradników dla salonów można przeczytać, że „zgoda nie jest tylko zaleceniem - to absolutny wymóg” (Booksy Biz, 2023). Tymczasem art. 6 ust. 1 RODO wymienia sześć podstaw przetwarzania, a zgoda (lit. a) jest tylko jedną z nich.
Osoba, która sama wypełnia formularz „chcę umówić konsultację”, prosi Cię o kontakt przed zawarciem umowy. Dla takiej sytuacji zwykle pasuje art. 6 ust. 1 lit. b: przetwarzanie niezbędne do podjęcia działań na żądanie osoby przed zawarciem umowy. Legiscope zwraca uwagę na granicę: ta podstawa „nie obejmuje automatycznie reklamowych analiz” (Legiscope, klauzula informacyjna). Oddzwonienie w sprawie zabiegu tak, wysyłka promocji przez rok już nie.
Na newsletter i SMS-y promocyjne potrzebujesz osobnej zgody (lit. a): oddzielny, niezaznaczony domyślnie checkbox. Ograniczony kontakt przypominający może opierać się na prawnie uzasadnionym interesie (lit. f), ale wtedy klientka ma prawo sprzeciwu i musisz je respektować. Pamiętaj też, że szybkość ma znaczenie biznesowe: osobno opisaliśmy, jak szybko oddzwonić do leada.
| Cel | Typowa podstawa (art. 6 ust. 1 RODO) | Czy potrzebny checkbox? |
|---|---|---|
| Oddzwonienie i umówienie wizyty z formularza | lit. b, działania przed zawarciem umowy | Nie, wystarczy klauzula informacyjna |
| Obsługa umówionej klientki, wizyta, zadatek | lit. b, wykonanie umowy | Nie |
| Newsletter, SMS z promocją | lit. a, zgoda | Tak, osobny i niezaznaczony |
| Jedno przypomnienie osobie, która nie odebrała | lit. f, uzasadniony interes (z prawem sprzeciwu) | Nie, ale opisz to w klauzuli |
Klauzula informacyjna w formularzu Meta: co wpisać
Dane z formularza zbierasz bezpośrednio od klientki, więc stosujesz art. 13 RODO. Informację przekazuje się „przy ich pozyskiwaniu, na przykład przed wysłaniem formularza” (Legiscope, klauzula informacyjna). Ta sama kancelaria przypomina, że klauzula „nie jest zgodą”, tylko informacją, kto przetwarza dane, dlaczego i jakie prawa przysługują osobie.
W praktyce w formularzu natychmiastowym masz mało miejsca. Dlatego stosuje się dwie warstwy: krótki tekst w samym formularzu i pełną klauzulę w polityce prywatności salonu. W kreatorze formularza wklejasz link do polityki prywatności salonu, a w polu własnego zastrzeżenia wpisujesz krótką wersję. Jeśli wahasz się między formularzem a stroną, porównanie znajdziesz w tekście formularz leadowy czy landing page.
Wzór (krótka wersja do formularza): Administratorem Twoich danych jest [nazwa salonu, adres, e-mail]. Przetwarzamy je, żeby oddzwonić i umówić wizytę, o którą prosisz (art. 6 ust. 1 lit. b RODO), a dane przekazujemy agencji obsługującej reklamy i dostawcy systemu do rezerwacji. Szczegóły, okres przechowywania i Twoje prawa: [link do polityki prywatności].
Wzór (pełna klauzula do polityki prywatności): Administratorem danych jest [nazwa salonu, NIP, adres, e-mail, telefon]. Przetwarzamy dane z formularza reklamowego w celu kontaktu w sprawie wizyty, o którą prosisz, na podstawie art. 6 ust. 1 lit. b RODO, a jeśli wyrazisz osobną zgodę, także w celu wysyłki informacji o promocjach (art. 6 ust. 1 lit. a RODO). Odbiorcami danych są: agencja prowadząca kampanie reklamowe, dostawca systemu CRM i rezerwacji, Meta Platforms jako dostawca formularza. Dane osób, które nie umówiły wizyty, przechowujemy przez [okres lub kryterium], a dane klientek zgodnie z zasadami prowadzenia dokumentacji salonu. Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, sprzeciwu oraz wycofania zgody w dowolnym momencie. Masz prawo wnieść skargę do Prezesa UODO. Podanie danych jest dobrowolne, ale bez numeru telefonu nie oddzwonimy.
Legiscope podkreśla, że rzetelny wzór „celowo nie zawiera uniwersalnego okresu przechowywania ani jednej podstawy dla wszystkich przypadków” (Legiscope). Nawiasy kwadratowe uzupełnij własnymi danymi, nie zostawiaj ogólników.
Czy w formularzu można pytać o zdrowie, ciążę, przeciwwskazania?
Dane dotyczące zdrowia należą do szczególnych kategorii danych. Art. 9 ust. 1 RODO co do zasady zakazuje ich przetwarzania, a wyjątki wymienia dalej ten sam artykuł. Pytanie w reklamie „czy jesteś w ciąży?” albo „jakie leki przyjmujesz?” sprawia, że zaczynasz zbierać dane zdrowotne od osób, które jeszcze nie są Twoimi klientkami.
Bezpieczniejsza praktyka: w formularzu pytaj tylko o imię, telefon i zabieg lub obszar zainteresowania. Przeciwwskazania zbieraj na konsultacji, według własnej procedury gabinetu i w karcie klientki. Przy zabiegach medycyny estetycznej dochodzą jeszcze zasady samej reklamy, opisane w tekście co wolno w reklamie medycyny estetycznej.
| Pytaj w formularzu reklamowym | Zostaw na konsultację w gabinecie |
|---|---|
| Imię | Ciąża, karmienie piersią |
| Numer telefonu | Choroby przewlekłe, leki |
| Zabieg lub obszar (np. „zmarszczki mimiczne”) | Alergie, przebyte zabiegi |
| Preferowana pora kontaktu | Zdjęcia problemu skóry |
Uwaga: Pole „opisz swój problem” też potrafi ściągnąć dane zdrowotne. Jeśli go potrzebujesz, zamień je na listę wyboru zabiegów.
Jak długo przechowywać dane leadów z reklam?
RODO nie podaje jednej liczby miesięcy. Zasada ograniczenia przechowywania mówi, że dane muszą być przechowywane „przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane” (art. 5 ust. 1 lit. e, cytowany przez UODO, Retencja danych). UODO dodaje, że „administrator powinien ustalić termin ich usuwania lub okresowego przeglądu”, a okres albo kryteria jego ustalania trzeba podać w klauzuli informacyjnej (UODO).
Wniosek dla salonu: decyzję podejmujesz Ty, zapisujesz ją i stosujesz. Poniższa tabela to przykładowa polityka do dostosowania, nie norma prawna. Wartości w kolumnie „przykład” są założeniami, ustal własne z prawnikiem lub IOD.
| Status leada | Co się dzieje z danymi | Przykład (ustal własny) |
|---|---|---|
| Umówiona, przyszła na wizytę | Staje się klientką, dalej obowiązują zasady karty klientki i dokumentacji salonu | Według polityki dla klientek |
| Nieumówiona, kontakt bez rezultatu | Przegląd i usunięcie, gdy cel (umówienie wizyty) wygasł | Przegląd po 3 miesiącach, potem usunięcie |
| Rezygnacja („nie jestem zainteresowana”) | Usunięcie danych kontaktowych | Do 7 dni od rozmowy |
| Sprzeciw wobec kontaktu | Usunięcie, pozostaje tylko informacja o sprzeciwie, żeby nie dzwonić ponownie | Od razu |
| Zgoda marketingowa | Przetwarzanie do wycofania zgody | Do wycofania, z przeglądem raz w roku |
Usunięcie dotyczy wszystkich kopii. Lead z formularza Meta często żyje w kilku miejscach: w centrum leadów Meta, w arkuszu, w CRM dla kliniki, na telefonie recepcji i w czacie na WhatsAppie. Zrób listę tych miejsc raz i dopisz ją do procedury.
Agencja reklamowa a RODO: umowa powierzenia
Gdy agencja pracuje na leadach Twojego salonu na Twoje polecenie, przetwarzanie odbywa się na podstawie umowy lub innego instrumentu prawnego (art. 28 ust. 3 RODO). Według Legiscope w modelu procesora agencja musi mieć z każdym klientem umowę powierzenia, a jeśli korzysta z narzędzi takich jak chmura czy analityka, zawrzeć umowy sub-powierzenia i uzyskać zgodę klienta na podprocesorów (Legiscope).
Ta sama kancelaria zauważa, że „każdy lead musi mieć udokumentowaną podstawę pozyskania” (Legiscope). Wybierając wsparcie w ramach marketingu dla salonu kosmetycznego, zadaj każdej agencji te same pytania, zanim przekażesz jej dostęp do konta reklamowego.
| Nr | Pytanie do agencji przed startem reklam | Dobra odpowiedź |
|---|---|---|
| 1 | Czy podpiszecie z nami umowę powierzenia? | Tak, przed startem kampanii |
| 2 | Kto u Was ma dostęp do leadów? | Wskazane osoby lub role |
| 3 | Gdzie przechowujecie dane leadów? | Konkretne narzędzia i lokalizacja |
| 4 | Jakich podprocesorów używacie (CRM, chmura, mailing)? | Lista i zgoda salonu na zmiany |
| 5 | Co dzieje się z danymi po zakończeniu współpracy? | Zwrot lub usunięcie w ustalonym terminie |
| 6 | Jak zgłaszacie naruszenia ochrony danych? | Opisana procedura i termin zgłoszenia do salonu |
| 7 | Jak obsługujecie żądanie usunięcia danych? | Usunięcie u siebie i potwierdzenie dla salonu |
Co zrobić, gdy klientka prosi o usunięcie danych lub dostęp?
Na żądanie osoby odpowiadasz bez zbędnej zwłoki, najpóźniej w terminie miesiąca od jego otrzymania (art. 12 ust. 3 RODO). Przepis mówi o miesiącu, a nie o „30 dniach”, jak podają niektóre poradniki. Najprościej, gdy w salonie jedna osoba z recepcji odpowiada za takie prośby.
Kary są realne, ale nie ma sensu straszyć: górny pułap z art. 83 ust. 5 RODO to 20 mln euro albo 4% rocznego światowego obrotu. Częściej liczy się codzienna praktyka. Legiscope przytacza decyzję UODO z 2019 roku wobec ClickQuickNow, ok. 201 tys. zł za utrudnianie wycofania zgody (Legiscope).
| Krok | Co robi recepcja |
|---|---|
| 1 | Zapisuje datę prośby i kanał (telefon, e-mail, wiadomość) |
| 2 | Potwierdza tożsamość osoby, np. oddzwaniając na numer z formularza |
| 3 | Usuwa dane ze wszystkich miejsc z listy (Meta, arkusz, CRM, telefon, WhatsApp) |
| 4 | Prosi agencję o usunięcie danych u siebie |
| 5 | Wysyła klientce potwierdzenie przed upływem miesiąca |
Jeszcze raz: to ogólna informacja, nie porada prawna, a szczegóły warto przejść z prawnikiem lub IOD. Jeśli chcesz reklamy, w których płacisz za klientki na fotelu, a nie za kliknięcia, zobacz, jak działa model rozliczenia za pacjentkę.
Najczęściej zadawane pytania
Czy salon kosmetyczny musi zbierać zgody RODO od każdej klientki?
Nie. Art. 6 ust. 1 RODO wymienia sześć podstaw przetwarzania, a zgoda jest tylko jedną z nich. Do umówienia i przeprowadzenia wizyty zwykle wystarcza art. 6 ust. 1 lit. b, czyli działania przed zawarciem umowy i jej wykonanie. Zgoda jest potrzebna na konkretne dodatkowe cele, takie jak newsletter, SMS-y promocyjne czy publikacja zdjęć. Taka zgoda musi być osobna i dobrowolna, a checkbox nie może być zaznaczony z góry. Klientka może ją w każdej chwili wycofać, a wycofanie powinno być tak samo proste jak jej wyrażenie. To ogólna informacja, nie porada prawna.
Czy formularz reklamowy na Facebooku musi mieć klauzulę informacyjną?
Tak. Dane z formularza zbierasz bezpośrednio od osoby, więc stosujesz art. 13 RODO, a informację przekazujesz przy pozyskiwaniu danych, czyli przed wysłaniem formularza. W praktyce w formularzu natychmiastowym umieszczasz krótką wersję klauzuli w polu własnego zastrzeżenia i link do pełnej polityki prywatności salonu. Krótka wersja powinna wskazać administratora, cel, podstawę prawną i odbiorców, a pełna dodatkowo okres przechowywania, prawa osoby i możliwość skargi do Prezesa UODO. Klauzula nie jest zgodą, więc nie potrzebuje checkboxa.
Jak długo salon może przechowywać dane osoby, która się nie umówiła?
RODO nie podaje konkretnej liczby miesięcy. Obowiązuje zasada z art. 5 ust. 1 lit. e: nie dłużej, niż jest to niezbędne do celu. UODO zaleca, żeby administrator ustalił termin usunięcia lub okresowego przeglądu danych i wpisał okres albo kryteria do klauzuli informacyjnej. Dla leada nieumówionego cel to umówienie wizyty, więc gdy kontakt się nie udał, dane powinny trafić do przeglądu i usunięcia. Przykładowa polityka to przegląd po 3 miesiącach, ale to założenie, a nie norma. Usuń też kopie z arkuszy, telefonów i komunikatorów.
Czy agencja marketingowa musi podpisać z salonem umowę powierzenia?
Jeśli agencja przetwarza leady salonu w jego imieniu, na przykład pobiera je z formularzy, przekazuje recepcji albo trzyma w swoim systemie, działa jako podmiot przetwarzający. Wtedy zgodnie z art. 28 ust. 3 RODO przetwarzanie odbywa się na podstawie umowy lub innego instrumentu prawnego, w praktyce umowy powierzenia. Umowa powinna określać zakres danych, cel, czas, środki bezpieczeństwa, zasady korzystania z podprocesorów i los danych po zakończeniu współpracy. Rolę ocenia się dla każdej czynności osobno, więc dopytaj agencję, co dokładnie robi z danymi.
Czy mogę wysłać SMS z promocją do osoby z formularza reklamowego?
Nie na podstawie samego formularza zapytania o wizytę. Osoba prosiła o kontakt w sprawie konkretnego zabiegu, a podstawa z art. 6 ust. 1 lit. b nie obejmuje automatycznie dalszego marketingu. Na SMS-y i e-maile promocyjne potrzebujesz osobnej zgody marketingowej, zebranej np. przez dodatkowy, niezaznaczony checkbox w formularzu lub podczas wizyty. Wysyłkę marketingu kanałami elektronicznymi regulują też odrębne przepisy o komunikacji elektronicznej, które przewidują własne wymogi zgody. Przed kampanią SMS sprawdź je z prawnikiem i zapisz, kto i kiedy wyraził zgodę.
Czy w formularzu mogę pytać o przeciwwskazania do zabiegu?
Lepiej tego unikać. Informacje o ciąży, chorobach, lekach czy alergiach to dane dotyczące zdrowia, a art. 9 ust. 1 RODO co do zasady zakazuje przetwarzania tej szczególnej kategorii danych, z wyjątkami wskazanymi w przepisie. W formularzu reklamowym zbierasz dane od osób, które jeszcze nie są klientkami, więc ryzyko jest nieproporcjonalne do korzyści. Pytaj w reklamie tylko o imię, telefon i zabieg lub obszar zainteresowania. Przeciwwskazania omawiaj na konsultacji, według procedury gabinetu, i zapisuj w karcie klientki.
Źródła
- Rozporządzenie (UE) 2016/679 (RODO), polska wersja, EUR-Lex, dostęp 2026-10-26
- UODO, Retencja danych (PDF), dostęp 2026-10-26
- Legiscope, RODO w agencji marketingowej, dostęp 2026-10-26
- Legiscope, Klauzula informacyjna RODO: wzór, dostęp 2026-10-26
- Booksy Biz, Zapewnienie zgodności salonu z RODO, 2023, dostęp 2026-10-26