Le foto delle clienti e il GDPR: cosa deve sapere davvero un salone, senza avvocati e senza panico

01

Una foto è un dato personale, punto

La prima cosa da togliersi dalla testa è che il GDPR riguardi solo gli indirizzi email e i numeri di telefono. Una fotografia in cui una persona è riconoscibile è un dato personale a tutti gli effetti: la tratti quando la scatti, quando la conservi nel telefono, quando la mostri a un'altra cliente e quando la carichi da qualche parte. Non serve che ci sia scritto il nome sopra: basta che dal viso si capisca chi è.

C'è poi una domanda che gira parecchio nei gruppi di categoria: la foto di un viso è un dato biometrico, cioè uno di quelli «particolari» con regole più severe? La risposta breve è no, non automaticamente. Una foto diventa dato biometrico quando viene elaborata con tecniche che permettono di identificare univocamente una persona, per esempio il riconoscimento facciale. Il prima e dopo di un colore, per quanto ravvicinato, non fa questo lavoro: resta una foto normale, con le regole delle foto normali. La differenza conta, perché sui dati biometrici il divieto è la regola e il consenso è l'eccezione.

Questo non vuol dire che tu debba diventare un ufficio legale. Vuol dire che le foto delle clienti vanno trattate con lo stesso criterio con cui tratti la loro scheda tecnica: sai perché ce l'hai, sai dove sta, sai per quanto tempo la tieni e sai a chi la fai vedere. Se sai rispondere a queste quattro domande, sei già oltre la media del settore.

02

Quando serve il consenso e quando no

Il consenso non è l'unico modo per trattare un dato legittimamente, ed è anzi quello più fragile, perché si può revocare in qualsiasi momento. Il GDPR elenca sei basi giuridiche: per un salone quelle che contano sono tre. L'esecuzione del contratto copre quello che serve a erogare il servizio che la cliente ti ha chiesto. Il legittimo interesse copre alcune esigenze organizzative tue, purché non calpestino i diritti della persona. Il consenso copre tutto ciò che va oltre il servizio: la promozione, la pubblicazione, la condivisione.

Tradotto in casi concreti. Scattare una foto durante la consulenza per decidere insieme il colore, e usarla solo lì, in quel momento, davanti a lei: sei dentro il servizio richiesto, e il consenso formale non è il cardine della faccenda. Tenere quella foto nella scheda della cliente per ricordarti la formula la volta dopo: puoi farlo, ma devi averglielo detto e devi avere un termine di conservazione. Pubblicare la stessa foto su Instagram: serve un consenso, esplicito, specifico per quella pubblicazione, e revocabile.

La regola pratica che funziona in salone è questa: più la foto si allontana dalla poltrona su cui è stata scattata, più il consenso diventa necessario e più deve essere scritto. Un conto è mostrarle lo schermo mentre è seduta lì; un altro è farla comparire in vetrina.

Riferimento
Reg. UE 2016/679, art. 6 — basi giuridiche del trattamento
Reg. UE 2016/679, art. 7 — condizioni del consenso, revocabile in ogni momento

03

Chi è titolare e chi responsabile

Sono due parole che sembrano burocrazia e invece decidono chi paga se qualcosa va storto. Il titolare del trattamento è chi decide perché e come si usano i dati: nel tuo salone, sei tu. Il responsabile è chi tratta quei dati per conto tuo, seguendo le tue istruzioni: il gestionale degli appuntamenti, il servizio di email marketing, il fornitore di un'app che elabora le foto.

La conseguenza pratica è che non puoi scaricare la responsabilità sul fornitore. Se il software che usi tratta i dati delle tue clienti in modo scorretto, la cliente si rivolge a te, perché sei tu che hai scelto quello strumento. Per questo il GDPR chiede che fra titolare e responsabile esista un contratto scritto, il cosiddetto accordo sul trattamento dei dati, che dica cosa il fornitore può fare, per quanto tempo e con quali garanzie.

Quando valuti un software per il salone, quindi, la domanda giusta non è «è a norma?» — nessun software è a norma da solo — ma «mi dai l'accordo sul trattamento dei dati e mi dici dove stanno i server?». Se la risposta è imbarazzata, hai già imparato qualcosa.

scorri la tabella lateralmente

04

Cosa cambia se pubblico le foto sui social

Qui si concentra la maggior parte dei problemi veri, perché la pubblicazione è irreversibile nei fatti anche quando è revocabile nel diritto. Una volta che una foto è su un profilo pubblico, chiunque può salvarla, e il fatto che tu la cancelli non riporta indietro le copie.

Per pubblicare serve un consenso specifico, informato e documentabile. Informato significa che la cliente sa dove finisce la foto, per quanto tempo resta, e che sui social la piattaforma stessa la tratterà secondo le proprie regole. Documentabile significa che, se domani ci fosse una contestazione, tu sei in grado di dimostrare che quel sì c'è stato: un modulo firmato, una spunta in un'app, un messaggio scritto. Il ricordo di una conversazione in salone non è una prova.

Alla pubblicazione si aggiunge poi il diritto all'immagine, che in Italia esiste da molto prima del GDPR e vive di regole proprie. Sono due binari paralleli: puoi essere in regola con la privacy e comunque violare il diritto all'immagine se pubblichi il volto di qualcuno senza il suo assenso. In pratica, per il salone, la conclusione è la stessa: senza un sì chiaro non si pubblica.

Un'ultima cosa sui minori: sotto i diciotto anni il consenso lo dà chi esercita la responsabilità genitoriale, e per la pubblicazione la prudenza dovrebbe essere massima. Molti saloni hanno scelto semplicemente di non pubblicare foto di minori. È una regola noiosa e ottima.

Il momento in cui chiederlo durante l'appuntamento, le parole da usare, cosa fare se dice sì al viso ma no al nome: è nella guida Foto clienti sui social: il consenso fatto bene.

05

Una cliente chiede di cancellare la sua foto

Prima o poi capita, e non è un attacco personale: è un diritto. La cliente può revocare il consenso quando vuole e può chiedere la cancellazione dei dati che la riguardano. La revoca vale per il futuro: non rende illecito quello che hai fatto prima, ma da quel momento devi fermarti.

Cosa devi fare, concretamente. Rispondi senza ingiustificato ritardo e comunque entro un mese. Cancella la foto ovunque sia: telefono di lavoro, computer, cartella condivisa, scheda cliente, post pubblicati, storie salvate, gruppo WhatsApp dello staff. Se l'hai passata a un fornitore, giragli la richiesta. Poi confermale che è stato fatto, per iscritto, così la conversazione ha una fine.

Il momento in cui questa richiesta diventa un incubo è quando non sai dove sono le tue foto. Se sono sparse su tre telefoni, un computer e due chat, la cancellazione completa è materialmente impossibile e la risposta onesta sarebbe «non lo so». Ecco perché il punto uno di questa guida è fare l'inventario: non è pedanteria, è ciò che ti permette di dire sì con serenità.

Riferimento
Reg. UE 2016/679, art. 17 — diritto alla cancellazione
Reg. UE 2016/679, art. 12 — risposta entro un mese, prorogabile in casi complessi

06

Se lo strumento manda le foto a un fornitore cloud

Molte app che generano anteprime, simulazioni o ritocchi non fanno il lavoro sul dispositivo: mandano l'immagine a un server, che la elabora e restituisce il risultato. Non è una cosa da demonizzare, è una cosa da sapere, perché cambia chi vede quella foto e dove.

Le domande da fare al fornitore sono quattro e stanno in un'email. Dove sono i server: dentro l'Unione Europea o fuori? Se sono fuori, con quali garanzie avviene il trasferimento? La foto viene conservata dopo l'elaborazione, e per quanto? Le immagini vengono usate per addestrare modelli di intelligenza artificiale? Quest'ultima è quella che quasi nessuno pensa a chiedere ed è quella che pesa di più, perché una foto usata per l'addestramento non è più recuperabile in alcun modo.

Una distinzione utile, quando confronti strumenti, è fra elaborazione locale ed elaborazione remota. Se tutto avviene sul dispositivo, l'immagine non lascia il salone e il problema del fornitore semplicemente non si pone. Se avviene su un server, il fornitore diventa un responsabile del trattamento e ti serve l'accordo scritto di cui sopra. Molti strumenti fanno entrambe le cose, in funzioni diverse: non dare per scontato che valga la stessa risposta per tutta l'app.

07

Per quanto tempo si possono conservare le foto

Non esiste un numero scritto nella legge, e chi te lo dà con sicurezza probabilmente se lo sta inventando. Il principio è quello di limitazione della conservazione: i dati si tengono per il tempo necessario alla finalità per cui sono stati raccolti, e non un giorno di più. Il numero lo decidi tu, ma devi deciderlo e devi dirlo.

Per orientarti, ragiona per finalità. Una foto scattata per decidere il colore durante quella consulenza esaurisce il suo scopo quando la consulenza finisce: può sparire subito. Una foto tenuta nella scheda tecnica per ricordare la formula ha senso finché la cliente è cliente: dodici o ventiquattro mesi dall'ultimo servizio è un termine difendibile. Una foto pubblicata sui social resta finché resta il consenso, quindi va rimossa quando la cliente lo revoca o quando smetti di usarla.

La parte che quasi tutti saltano è la cancellazione automatica. Un termine scritto nell'informativa e mai applicato è peggio di nessun termine, perché documenta che sapevi e non hai fatto. Se il tuo strumento non cancella da solo, mettiti in agenda un promemoria ogni sei mesi e fai pulizia. Dieci minuti, due volte l'anno.

Una precisazione su Miraviso, perché qui il termine non lo scegli tu. Per le foto che stanno nell'archivio della scheda cliente il termine lo dichiariamo noi ed è 24 mesi dall'ultima visita, con ripiego sulla data di creazione della scheda se nessuna visita è mai stata registrata. Alla scadenza il servizio distrugge le fotografie e poi la chiave di quella cliente, da solo, ogni notte: è la cancellazione automatica di cui sopra, e non richiede un tuo promemoria. Trenta giorni prima ti arriva un'email che dice quante schede stanno per scadere — senza nomi, di proposito, perché quell'email esce verso un fornitore terzo — e sta a te, che sei l'unico ad avere il rapporto con la cliente, avvisarla o farti riconfermare il consenso. Il termine è un parametro del servizio e possiamo cambiarlo, ma solo con 30 giorni di preavviso scritto: un termine abbassato cancella, e la cancellazione non torna indietro. Il registro di chi ha aperto quali foto ha un orologio suo, sempre di 24 mesi, ma che parte dall'accesso: serve a rispondere alla domanda «chi ha guardato le foto di questa cliente», e deve poter sopravvivere alla foto che nomina.

Riferimento
Reg. UE 2016/679, art. 5 — minimizzazione e limitazione della conservazione
Reg. UE 2016/679, art. 13 — periodo di conservazione da indicare nell'informativa

08

Il minimo sindacale

Se hai letto fin qui e vuoi sapere cosa fare lunedì mattina, questo è l'elenco. Non ti rende inattaccabile — nessun elenco lo fa — ma ti mette sopra la stragrande maggioranza dei saloni, e soprattutto ti mette in condizione di rispondere con calma se qualcuno chiede.

Questa guida è materiale informativo, non consulenza legale. Per situazioni particolari — videosorveglianza, dipendenti, catene con più sedi — vale la pena farsi seguire da un professionista.

09

Dove si colloca Miraviso

Mettiamo le carte in tavola: questa guida l'ha scritta chi vende un software per saloni, quindi siamo di parte. Ha senso però dire come Miraviso si posiziona rispetto a quanto hai appena letto, perché tu possa usare le stesse domande su di noi e su chiunque altro.

Le funzioni sono tre, e stanno in categorie diverse di quelle descritte nella sezione sei. La prova colore è elaborazione locale: gira interamente sul tablet, nessun fotogramma viene trasmesso, e funziona anche senza rete perché il modello è dentro l'app. Rispetto al GDPR è il caso più semplice che esista, perché l'immagine non lascia il dispositivo. L'anteprima del taglio è elaborazione remota: la foto viene inviata a un fornitore con server nell'Unione Europea, che la usa per generare l'anteprima e non la scrive su disco. Il consenso della cliente viene raccolto sul tablet prima dello scatto, e senza quello la funzione non parte.

La terza è la scheda cliente con archivio foto, e alla domanda della sezione sei — «la foto viene conservata dopo l'elaborazione, e per quanto?» — qui la risposta è sì. È il suo scopo: ritrovare al ritorno della cliente cosa avete fatto, con che formula e come stava. Conserviamo in chiaro solo l'indice — nome o riferimento, contatti, date, servizi e prezzi — perché serve a cercare una scheda. Le fotografie, le note, le allergie e la formula colore vengono cifrate sul tuo dispositivo prima di partire: ai nostri server arrivano byte chiusi, la chiave nasce dalla tua password e non ci arriva mai. È una chiave che hai solo tu, e nemmeno noi possiamo aprirle. Il consenso alla conservazione è separato da quello dell'anteprima e la cliente può rifiutarlo senza perdere il servizio, perché sono due finalità diverse. Il termine è 24 mesi dall'ultima visita (sezione sette), i byte stanno a Strasburgo e le copie di sicurezza cifrate a Milano, e le foto dell'archivio non passano mai dal fornitore dell'anteprima.

E il limite, perché senza non vale niente. Sul tablet il programma che deriva la chiave sta dentro l'applicazione firmata. Sul pannello web il programma che cifra te lo serviamo noi, quindi quella promessa vale finché il nostro server è integro, e non è un'impossibilità assoluta: ce lo siamo scritti nell'accordo, insieme all'impegno a non introdurre mai una decifratura lato server, nemmeno per l'assistenza. Il rovescio della stessa medaglia è che se perdi la password e la chiave di recupero, l'archivio non lo riapre più nessuno, noi compresi. Sono le stesse quattro domande della sezione sei: falle a noi, e falle a chiunque altro.

Restiamo comunque un responsabile del trattamento, non il titolare: il titolare sei tu. L'accordo sul trattamento dei dati te lo diamo — con un annesso dedicato alla scheda cliente, se la attivi — e se ci chiedi le quattro domande della sezione sei ti rispondiamo per iscritto, compresa quella sull'addestramento dei modelli, che è no: per l'anteprima è una clausola del contratto che abbiamo con il fornitore, non una nostra promessa, e per l'archivio non si pone nemmeno, perché quelle foto non le sappiamo leggere.

Se vuoi vedere come funziona il consenso sul tablet, chiedi una demo: venti minuti, gratuita.