En 2025, la communauté de communes Pévèle Carembault comptait 122 commerces de coiffure, selon la base permanente des équipements reprise dans le dossier complet de l'Insee. Les mêmes règles valent pour un institut de beauté, une onglerie ou un tatoueur qui tient ce genre de fiche.
Une allergie notée sur la fiche, est-ce une donnée de santé ?
Oui. L'article 4 du RGPD définit les données de santé comme celles qui concernent la santé physique ou mentale d'une personne et « révèlent des informations sur l'état de santé de cette personne ». La CNIL en donne le détail : les informations sur « une maladie, un handicap, un risque de maladie, les antécédents médicaux, un traitement clinique ou l'état physiologique ». Elle y ajoute les informations obtenues lors du test ou de l'examen d'une partie du corps.
Exemple
Prenons un salon de centre-bourg en Pévèle qui note sur un carton qu'une cliente a réagi à une coloration. Ce carton contient une donnée de santé. Il en va de même pour une allergie déclarée, un médicament pris en ce moment ou une grossesse. Le résultat d'une touche d'essai aussi, puisqu'il s'agit d'un test fait sur la peau. La CNIL exclut en revanche les données dont on ne peut rien tirer sur l'état de santé. À mon sens, la nature du cheveu ou la formule d'une couleur en font partie.
Le papier n'y échappe pas. L'article 2 du RGPD vise aussi le traitement non automatisé des données « contenues ou appelées à figurer dans un fichier ». Une boîte de fiches classées par nom en est un.
| Sur la fiche | Nature de la donnée | Condition |
|---|---|---|
| Nom, téléphone, prestations réalisées. | Donnée personnelle. | Une base légale et l'information de la cliente. |
| Allergie, réaction passée à un produit. | Donnée de santé. | Consentement explicite. |
| Résultat d'une touche d'essai. | Donnée de santé. | Consentement explicite. |
| Traitement en cours, grossesse. | Donnée de santé. | Consentement explicite. |
| Photo avant et après. | Donnée personnelle, pas sensible en soi. | Accord écrit pour la publier. |
Que permet l'article 9 du RGPD à un salon ?
L'article 9 du RGPD interdit de traiter les données concernant la santé, puis énumère des exceptions. Une seule convient à un salon : le consentement explicite de la cliente, donné pour une ou plusieurs finalités spécifiques. Les autres visent notamment la médecine, le droit du travail ou la justice.
La CNIL décrit ce consentement comme une « démarche active, explicite et de préférence écrite, qui doit être libre, spécifique, et informée ». Son référentiel sur la gestion commerciale le confirme : quand le service « implique par exemple le traitement de données de santé », le consentement est requis.
Libre veut dire que le refus ne coûte rien. Selon la CNIL, refuser un traitement qui n'est pas nécessaire au contrat ne doit pas avoir de conséquence sur la prestation. Je laisserais donc l'encadré santé facultatif. Une cliente qui refuse peut répondre de vive voix avant chaque couleur, sans que rien soit écrit.
Spécifique veut dire un seul usage. Pour la CNIL, « un consentement doit correspondre à un seul traitement, pour une finalité déterminée ». Ici, la finalité tient en une ligne : éviter une réaction pendant une prestation. L'article 5 du RGPD demande aussi de s'en tenir au nécessaire. Notez le produit en cause et la réaction observée, pas un dossier médical. Je m'en tiens à la même règle pour les sites que je livre, comme l'écrit ma méthode.
Comment recueillir l'accord de la cliente ?
Sur la fiche, réservez un encadré à part pour la santé. L'article 7 du RGPD exige qu'une demande de consentement glissée parmi d'autres questions s'en distingue clairement, en termes clairs et simples. Pour un consentement explicite, la CNIL cite notamment une case dédiée aux données sensibles ou une déclaration écrite et signée. Une case cochée d'avance ne vaut rien : elle n'exprime pas un choix univoque.
L'encadré sert aussi à informer. L'article 13 du RGPD liste ce qu'il faut dire au moment de la collecte. Pour une fiche de salon, cela donne six mentions.
- Le nom et les coordonnées du salon.
- L'usage de l'information et sa base légale, ici le consentement.
- La durée de conservation.
- Le droit d'accéder à ses données, de les faire rectifier ou effacer.
- Le droit de retirer son accord à tout moment.
- Le droit d'introduire une réclamation auprès de la CNIL.
Le retrait doit être aussi simple que l'accord, prévoit l'article 7. Dès le retrait, effacez la partie santé dans les meilleurs délais : l'article 17 l'impose quand le traitement reposait sur ce seul consentement. Gardez enfin l'encadré signé avec la fiche, car l'article 7 vous demande de pouvoir démontrer l'accord.
Combien de temps garder la fiche, et où la ranger ?
Le RGPD ne fixe pas de durée pour une fiche de salon. Son article 5 pose un principe : pas plus longtemps que nécessaire au regard de l'usage. Le référentiel de la CNIL sur la gestion commerciale, non contraignant, donne des repères. Les données nécessaires à l'exécution du contrat se gardent pendant la relation contractuelle. Celles qui servent à solliciter les clients peuvent l'être trois ans après la fin de la relation commerciale, par exemple après un achat ou le dernier contact venu du client.
La partie santé, je la supprimerais au plus tard avec la fiche, et aussitôt si la cliente retire son accord. Écrivez la durée choisie dans l'encadré, puisque l'article 13 en fait une mention obligatoire. Pour le tatouage, maquillage permanent compris, et pour le perçage, l'article R. 1311-11 du Code de la santé publique exige pour les mineurs le consentement écrit d'un titulaire de l'autorité parentale ou du tuteur. Le professionnel doit pouvoir en présenter la preuve pendant trois ans.
Reste le rangement. L'article 32 du RGPD demande « un niveau de sécurité adapté au risque ». Pour ces fiches, j'y vois un tiroir fermé à clé, hors de vue du comptoir, ou un accès protégé par mot de passe. Si la fiche vit dans un logiciel en ligne, l'éditeur traite ces données pour votre compte. L'article 28 impose alors un contrat qui encadre ce qu'il en fait. Je joins ce contrat de sous-traitance au devis quand une mission me fait traiter les données d'un client, comme le disent mes réponses aux questions fréquentes.
Enfin, inscrivez la fiche au registre des traitements. L'article 30 dispense en partie de registre les entreprises de moins de 250 salariés, mais pas pour des données de santé. La CNIL le confirme et propose un modèle simplifié. Le registre peut rester sur papier.
Peut-on publier une photo avant et après ?
Oui, avec un accord écrit à part. Une photo n'est pas en soi une donnée sensible. Selon le considérant 51 du RGPD, elle ne devient biométrique que traitée par un procédé technique qui l'identifie ou l'authentifie de façon unique. Le droit à l'image, lui, s'applique. Selon Service Public, il faut l'accord écrit de la personne pour utiliser une image où elle est reconnaissable. Cet accord précise le support, l'objectif et la durée. Pour un mineur, l'autorisation des parents est nécessaire.
Faites signer cette autorisation séparément de l'encadré santé. Noter une allergie et publier un visage sont deux usages distincts, et la CNIL veut qu'on puisse consentir à chacun indépendamment. La légende ne cite jamais l'allergie, le traitement ou la grossesse : l'accord donné pour la fiche ne couvre pas une publication. Une photo qui laisse voir une maladie de peau peut aussi renseigner sur la santé. Dans le doute, je la garderais hors ligne. Si la cliente retire son accord, retirez la photo.
Comment vérifier que votre fiche cliente est en règle ?
Voici les points à relire, fiche en main.
À vérifier
- L'encadré santé est séparé du reste, facultatif, et sa case n'est pas cochée d'avance.
- Il dit à quoi sert l'information et ne demande que le nécessaire : le produit en cause, la réaction.
- Il donne le nom du salon, la durée de conservation, les droits de la cliente et la possibilité de saisir la CNIL.
- La cliente le date et le signe, et l'original reste avec la fiche.
- Les fiches sont sous clé ou protégées par un mot de passe, hors de vue des clients.
- La fiche figure au registre des traitements, avec sa durée de conservation.
- Un logiciel en ligne est couvert par un contrat de sous-traitance.
- Chaque photo publiée a son autorisation écrite, distincte, qui précise support, objectif et durée.
- Un accord retiré entraîne l'effacement de la partie santé et le retrait des photos.
Ces règles sont celles des textes en vigueur au 26/09/2026. Pour un cas particulier, la CNIL répond gratuitement aux questions des professionnels sur leurs obligations, par téléphone, par formulaire en ligne ou par courrier.