Ficha de cliente no salão e o RGPD: o que podes guardar

O que podes guardar sem pedir autorização

Para marcar e fazer um serviço precisas de saber quem é a pessoa e como a contactar. O RGPD permite tratar estes dados sem consentimento quando são necessários à execução de um contrato, ou a diligências pré-contratuais pedidas pelo próprio cliente (art. 6.º, n.º 1, al. b), do RGPD). Quando uma cliente te pede uma marcação, é isso que está a acontecer.

Cabem aqui, na nossa leitura, os dados que servem diretamente para marcar e prestar o serviço:

• Identificação: nome.
• Contacto: telemóvel ou email, para confirmar, alterar ou desmarcar.
• Histórico: datas, serviços feitos e profissional que atendeu.
• Notas técnicas: fórmula de coloração, tipo de unha, curvatura de pestanas, preferências de corte. Servem para repetir o serviço com o mesmo resultado.

Os dados que tens de pôr na fatura têm outro fundamento: o cumprimento de uma obrigação legal (art. 6.º, n.º 1, al. c), do RGPD). O mesmo artigo prevê ainda o consentimento (al. a)) e o interesse legítimo (al. f)). Cada dado da ficha deve ter um fundamento, e esse fundamento tem de ser escolhido antes de começares a recolher.

A regra prática: se um campo da ficha não serve para marcar, prestar o serviço ou faturar, pergunta-te porque o tens. A data de nascimento completa, a profissão ou a morada raramente fazem falta num cabeleireiro.

Resumo: fundamento de cada tipo de dado

Dados de saúde: a parte mais sensível da ficha

O RGPD define dados relativos à saúde como os dados ligados à saúde física ou mental que revelem informações sobre o estado de saúde (art. 4.º, ponto 15). Numa ficha de estética, de unhas ou de pestanas, isto abrange as respostas típicas de anamnese: alergias, gravidez, medicação, doenças de pele, diabetes.

Estes dados são uma categoria especial. O tratamento é proibido, salvo exceção (art. 9.º, n.º 1, do RGPD). Para um salão ou instituto de beleza, a exceção utilizável é o consentimento explícito do titular para uma ou mais finalidades específicas (art. 9.º, n.º 2, al. a)).

Porque não a exceção dos cuidados de saúde? A al. h) do art. 9.º, n.º 2, pressupõe um profissional sujeito a sigilo (art. 9.º, n.º 3, do RGPD e art. 29.º, n.º 2, da Lei n.º 58/2019), o que uma esteticista não é. Esta é a nossa interpretação: a CNPD não publicou orientação específica para o setor.

Para valer, o consentimento tem de cumprir os requisitos do art. 4.º, ponto 11, e do art. 7.º, n.ºs 1 e 3, do RGPD:

• Livre, específico, informado e inequívoco, dado por um ato positivo claro.
• Sem caixas pré-assinaladas: não contam como consentimento.
• Provável: és tu que tens de conseguir provar que o obtiveste. Por isso, guarda a folha assinada ou o registo digital com data.
• Retirável: a cliente pode retirá-lo a qualquer momento, e tem de ser tão fácil retirar como foi dar.

Lista de verificação da tua ficha de anamnese

1. A finalidade está escrita: por exemplo, «avaliar se o tratamento é seguro para si e adaptar os produtos».
2. Há uma frase de consentimento separada, com caixa por assinalar e assinatura ou ato equivalente.
3. Explicas como a cliente pode retirar o consentimento.
4. Só perguntas o que é relevante para os serviços que fazes. Uma manicure não precisa das mesmas perguntas que uma depilação a laser.
5. Se a cliente não quiser responder, não guardes nada sobre a saúde dela e decide se é seguro fazer o serviço.

O consentimento para tratar dados de saúde não é a mesma coisa que o consentimento informado sobre os riscos do procedimento. Este segundo tema está no guia sobre consentimento informado em estética. Para partir de uma base pronta, usa o modelo de ficha de anamnese para estética.

Quanto tempo podes guardar a ficha

Em Portugal, o RGPD é executado pela Lei n.º 58/2019, de 8 de agosto. O art. 21.º desta lei diz que o prazo de conservação é o fixado por lei ou regulamento ou, na falta deste, o necessário para a finalidade (n.º 1). Isto acompanha o princípio da limitação da conservação do art. 5.º, n.º 1, al. e), do RGPD.

Há duas regras que interessam a um salão:

• Quando os dados são precisos para provar o cumprimento de obrigações contratuais, podem ser conservados enquanto não prescreverem os direitos correspondentes (art. 21.º, n.º 3).
• Quando a finalidade termina, os dados devem ser destruídos ou anonimizados (art. 21.º, n.º 4).

Não encontrámos nenhum prazo legal específico para fichas de cliente de cabeleireiro ou estética. Também não há confirmação oficial de que não exista, por isso confirma com o teu jurista ou contabilista se tiveres dúvidas. Na prática, o que tens de fazer é definir tu um prazo, escrevê-lo e conseguir justificá-lo. Por exemplo: rever uma vez por ano as fichas de quem deixou de vir e apagar as que já não servem. Os dados de faturação seguem as regras fiscais: confirma o prazo com o teu contabilista.

Segurança: papel, telemóvel e software

O art. 32.º do RGPD obriga a proteger os dados com medidas adequadas. A CNPD publicou a Diretriz 2023/1, que fixa medidas organizativas e de segurança aplicáveis aos tratamentos de dados pessoais. Vale a pena lê-la se guardas fichas em papel ou em software. A lista abaixo não resume a diretriz: é um ponto de partida de boas práticas para um salão.

• Papel: fichas num armário fechado, fora do balcão onde os clientes passam.
• Acessos: cada profissional entra com o seu próprio utilizador e palavra-passe. Nada de uma palavra-passe partilhada colada no monitor.
• Telemóvel pessoal: não tires fotografias às fichas de anamnese e não as envies por grupos de conversa.
• Cópias de segurança: confirma que existem e quem lhes tem acesso.
• Saída de alguém da equipa: retira-lhe os acessos no próprio dia.

Se queres sair do papel, o Nevi inclui fichas de cliente ligadas às marcações. Assim, o histórico e as notas técnicas ficam no mesmo sítio da agenda, em vez de espalhados por cadernos e conversas.

A CNPD não tem orientação para o setor

A CNPD é a autoridade de controlo em Portugal. Nas suas páginas de orientações e diretrizes há orientações setoriais para Saúde, Trabalho e Educação, além das Diretrizes 1/2022 e 1/2023. Não encontrámos nada específico para cabeleireiros, barbearias ou estética sobre fichas, anamnese ou fotografias. Esta verificação foi feita nas listagens e não foi uma pesquisa exaustiva. Tudo o que está neste guia parte do texto da lei. Quando a situação for fora do comum, confirma com um jurista.

Fotografias e promoções: regras próprias

Duas utilizações frequentes da ficha têm regras diferentes das marcações:

• Fotos de antes e depois: se a pessoa é identificável, a foto é um dado pessoal. Publicá-la exige consentimento específico para essa finalidade, e o art. 79.º do Código Civil protege o direito à imagem. Vê o guia sobre fotos de antes e depois.
• Promoções: enviar marketing por email, SMS ou aplicações similares exige consentimento prévio e expresso (Lei n.º 41/2004, art. 13.º-A, n.º 1). Há uma exceção para serviços análogos aos que o cliente já comprou, desde que lhe dês a possibilidade de recusar em cada mensagem. Os pormenores estão em promoções por WhatsApp, SMS e email.

Erros comuns

• Juntar na mesma assinatura a anamnese, as fotos e as promoções. Cada finalidade precisa do seu consentimento.
• Usar caixas já assinaladas no formulário.
• Guardar fichas para sempre «por precaução».
• Perguntar dados de saúde em serviços onde não fazem diferença.
• Não conseguir mostrar quando e como a cliente deu o consentimento.

O que fazer amanhã

1. Imprime a tua ficha atual e risca os campos que não servem para marcar, prestar o serviço ou faturar.
2. Separa a parte de saúde e acrescenta a frase de consentimento explícito.
3. Escreve numa folha o teu prazo de conservação e a data da próxima revisão.
4. Fecha à chave as fichas em papel e revê quem tem acesso às digitais.
5. Compara com o modelo do teu tipo de negócio: ficha de cliente para cabeleireiro ou ficha de cliente para manicure e pedicure.