RGPD coiffeur : organiser le fichier du salon
RGPD coiffeur : rendez-vous, allergies, SMS, photos et logiciel. Les décisions à prendre pour protéger les clients du salon.
- Réduire la fiche client aux informations utiles
- Allergies : une donnée de santé n’est pas une préférence
- Rappels et publicité : deux circuits dans le logiciel
- Plateforme de réservation : qualifier chaque usage
- Informer au salon, puis organiser la conservation
- Photos et caméras : deux usages distincts de l’image
- Ce qu’il faut retenir
- FAQ
Un salon peut avoir besoin d’un téléphone pour confirmer un rendez-vous, d’une formule de coloration pour préparer une prestation et d’un choix distinct pour envoyer des offres. Ces informations n’ont pas toutes la même finalité ni la même durée de conservation. La conformité commence par cette séparation, dans le logiciel comme dans les habitudes de l’équipe.
Réduire la fiche client aux informations utiles
Commencez par examiner les champs du logiciel et les commentaires libres. Pour chaque information, demandez ce que l’équipe en fait réellement. Un prénom et un contact peuvent suffire à gérer un créneau ; une date de naissance complète ou des remarques sur la vie privée ne deviennent pas nécessaires parce que le logiciel les accepte.
L’Art. 5(1)(c) et l’Art. 6(1)(b) du RGPD imposent de limiter les données et permettent le contrat pour ce qui est nécessaire à la prestation ou aux démarches demandées par le client. Ce fondement ne couvre pas automatiquement tous les historiques, profils et usages promotionnels.
Utilisez par exemple cette grille de décision :
| Information ou usage | Décision du salon |
|---|---|
| Créneau et contact de confirmation | Limiter aux moyens nécessaires pour organiser le rendez-vous |
| Formule technique précédente | Justifier son utilité et prévoir une révision des fiches inactives |
| Préférence de communication | Séparer rappel de rendez-vous et offres commerciales |
| Commentaire libre | Interdire les jugements, confidences et diagnostics inutiles |
| Photo de réalisation | Décider séparément de la prise de vue et de la publication |
Le fichier papier demande les mêmes précautions : ne laissez pas les fiches nominatives consultables par les autres clients à l’accueil.
Allergies : une donnée de santé n’est pas une préférence
Une allergie identifiée ou une pathologie du cuir chevelu révèle une information de santé. L’Art. 9(1) et (2)(a) prévoit une interdiction de principe et, parmi les exceptions, le consentement explicite pour des finalités précises. Une base de l’Art. 6 doit également être déterminée : le seul intérêt commercial du salon ne suffit pas à lever l’interdiction.
Avant d’enregistrer une telle note, vérifiez si sa conservation est nécessaire. Une information utile à la prestation du jour ne justifie pas automatiquement un historique médical permanent. Si le salon s’appuie sur le consentement explicite, expliquez exactement ce qui sera conservé, pourquoi, pendant combien de temps et comment le retirer. Ne regroupez pas cet accord avec la publicité.
Exemple hypothétique : une cliente signale une réaction à un produit. Le salon examine la nécessité d’une note technique limitée, recueille l’accord explicite requis pour conserver l’information de santé et restreint son accès aux personnes qui en ont besoin. Il ne copie pas son récit médical dans un champ visible de tous et ne l’utilise pas pour cibler des offres. Le guide des données sensibles au titre de l’Art. 9 précise les conditions à vérifier.
Rappels et publicité : deux circuits dans le logiciel
Un message strictement nécessaire à un rendez-vous demandé n’a pas le même objectif qu’une relance commerciale. L’ajout d’une remise ou d’une promotion au rappel oblige à examiner le message comme une prospection.
Pour les particuliers, la CNIL décrit un régime commun aux emails et SMS : consentement préalable, sauf notamment l’exception du client existant pour des produits ou services analogues proposés par la même entreprise. Cette exception suppose une collecte à l’occasion d’une vente ou prestation et une opposition simple lors de la collecte puis à chaque envoi ; un compte créé sans achat ne suffit pas. L’Art. L. 34-5 du CPCE fixe ces conditions.
Configurez donc une preuve du choix, le canal concerné et une désinscription effective. Une opposition exprimée au comptoir doit rejoindre la liste utilisée pour la prochaine campagne. Ne réinscrivez pas automatiquement une personne lorsqu’elle reprend rendez-vous.
Plateforme de réservation : qualifier chaque usage
La gestion du planning pour le compte du salon peut relever de la sous-traitance. Une plateforme peut aussi décider de finalités propres pour ses comptes utilisateurs, sa marketplace ou ses communications. Le nom du produit ne résout pas cette qualification.
L’Art. 28(1) et (3) impose des garanties suffisantes et un contrat pour les traitements sous-traités. Demandez les documents applicables et vérifiez :
- qui décide de l’envoi des messages et pour quelle entreprise ;
- qui peut lire, exporter et effacer les fiches ;
- quels prestataires interviennent et où les données sont accessibles ;
- comment récupérer les données utiles à la fin du contrat et supprimer les copies restantes.
Un hébergement européen ne décrit pas à lui seul les accès d’assistance ou les autres transferts. Notre questionnaire d’évaluation des sous-traitants aide à consigner les réponses sans confondre promesse commerciale et engagement contractuel.
Informer au salon, puis organiser la conservation
Préparez une information courte à l’accueil et un document complet accessible sur papier et depuis la réservation. Celui-ci doit notamment préciser le responsable, les finalités, les bases légales, les destinataires, les durées, les droits et le recours auprès de la CNIL. La fiche CNIL sur la transparence décrit cette présentation par niveaux. Une phrase « vos données sont protégées » est insuffisante.
Le référentiel CNIL sur les activités commerciales, §7, recommande, pour la prospection, la relation commerciale puis trois ans après sa fin. Ce repère ne constitue ni une durée obligatoire pour toute fiche ni une autorisation de conserver les allergies pendant trois ans. Les preuves nécessaires à un litige relèvent d’un archivage séparé, avec une durée justifiée.
Les pièces comptables suivent leurs propres obligations : la CNIL rappelle notamment la conservation comptable de dix ans. Le maintien d’une facture ne doit pas maintenir le client dans une campagne. Établissez votre tableau de conservation par finalité, puis programmez ou effectuez réellement les suppressions.
Photos et caméras : deux usages distincts de l’image
Pour publier un avant/après identifiable, obtenez un accord précis sur les supports, la finalité et la durée. Accepter la prise de vue ne signifie pas accepter sa publication. La fiche Service Public sur le droit à l’image explique cette distinction. Évitez les autres clients dans le cadre et rangez les images dans un espace professionnel maîtrisé.
Si une caméra filme la zone du salon ouverte au public, examinez le régime de vidéoprotection : autorisation préfectorale préalable, information visible, personnes habilitées et durée conforme à l’arrêté, au maximum un mois. Quelques jours peuvent suffire au besoin de sécurité. La fiche CNIL du 9 mars 2026 détaille ces exigences. Ce dispositif ne sert pas à documenter les coiffures ni à alimenter les réseaux sociaux.
Ce qu’il faut retenir
- Séparez rendez-vous, historique technique, santé, publicité et images.
- Ne transformez pas une confidence du client en donnée conservée sans nécessité ni cadre valable.
- Vérifiez les rôles de la plateforme et les réglages des campagnes.
- Fixez des durées par usage et traitez réellement les demandes des clients ; notre guide du droit d’accès aide à préparer la réponse.
FAQ
Le consentement est-il obligatoire pour prendre un rendez-vous ?
Il n’est pas nécessairement la base appropriée pour les données indispensables au rendez-vous demandé. Il faut distinguer cette gestion des choix facultatifs de prospection ou de publication d’une photo.
Une fiche client se conserve-t-elle toujours trois ans ?
Non. Ce repère concerne notamment la prospection après la fin de la relation commerciale ; les autres usages demandent une durée propre.
Le logiciel assure-t-il toute la conformité du salon ?
Non. Le salon doit définir ses usages, informer les clients, gérer les accès et choisir les réglages adaptés, même lorsque le prestataire fournit des outils de conformité.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.