Коротко
- Персональні дані — відомості про людину, яка ідентифікована або може бути конкретно ідентифікована; телефон з іменем під це визначення підпадає.
- Збирайте лише те, що потрібне для запису й послуги: склад даних має бути ненадмірним щодо мети.
- Відомості про здоровʼя — особлива категорія: для майстра практична підстава їх записувати — однозначна згода клієнтки.
- Клієнтка може відкликати згоду, а дані видаляють, коли минув строк зберігання чи припинилися відносини з нею, якщо інше не передбачено законом.
- Ця стаття — загальний огляд норм, а не юридична порада щодо конкретної ситуації чи спору.
Що вважається персональними даними в роботі майстра
Закон України «Про захист персональних даних» визначає їх як відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована. У практиці майстра це номер телефону з іменем, нік у месенджері, запис «приходила у вівторок о 15:00» і фото, на якому людину можна впізнати.
GDPR визначає персональні дані схоже — як будь-яку інформацію про ідентифіковану або таку, що може бути ідентифікована, фізичну особу; серед ідентифікаторів регламент називає імʼя, ідентифікаційний номер, дані про місцезнаходження та онлайн-ідентифікатор.
Який закон обовʼязковий: український закон і GDPR
Для майстра, який працює з клієнтками в Україні, обовʼязковий український закон. Хто визначає мету обробки й склад даних, той за законом — володілець персональних даних; приватний майстер, який сам веде клієнтську базу, зазвичай і є володільцем.
GDPR може застосовуватися і до майстра чи компанії поза ЄС, якщо обробка повʼязана з пропонуванням товарів чи послуг людям, які перебувають в Союзі. Чи підпадає під це ваш випадок, залежить від того, чи ви спрямовуєте пропозицію на людей в ЄС; ця стаття цього не оцінює, тому за сумніву зверніться до юриста. В інших випадках GDPR — корисний орієнтир, а не обовʼязкова норма.
Регламент не поширюється на суто особисту чи домашню діяльність без звʼязку з професійною або комерційною. Клієнтська база майстра — це професійна діяльність, тож на цей виняток розраховувати не варто.
Принципи: прозорість, мінімум даних, обмежене зберігання
| Вимога | Що це означає на практиці | Закон України | GDPR |
|---|---|---|---|
| Відкритість і прозорість | Клієнтка знає, хто й навіщо записує її дані | ст. 6, 12 | ст. 5 |
| Ненадмірність даних | Лише те, що потрібне для мети: запис, звʼязок, послуга | ст. 6 | ст. 5 |
| Обмежене зберігання | Не тримати дані довше, ніж потрібно для мети | ст. 6, 15 | ст. 5 |
| Підстави обробки | Згода, укладення й виконання правочину (домовленості про послугу) та інші, визначені законом | ст. 11 | ст. 6 |
| Відомості про здоровʼя | Лише з однозначної згоди клієнтки | ст. 7 | ст. 9 |
Закон вимагає, щоб склад і зміст персональних даних були відповідними, адекватними та ненадмірними стосовно визначеної мети їх обробки, а саму обробку здійснювали відкрито і прозоро. GDPR формулює принцип мінімізації схоже: дані мають бути адекватними, доречними та обмеженими тим, що необхідно для цілей обробки.
Що повідомити клієнтці під час запису
Якщо ви збираєте дані в самої клієнтки, закон вимагає в момент збору повідомити їй про володільця даних, склад і зміст зібраних даних, її права, мету збору та осіб, яким передаються її дані. Найпростіше — коротке повідомлення в месенджері або памʼятка в кабінеті.
Згода й інші підстави
Згода — лише одна з підстав обробки. Закон називає серед підстав згоду людини, а також укладення та виконання правочину, стороною якого вона є, і заходи на її вимогу, що передують його укладенню. Тож для самого запису на манікюр підставою може бути домовленість про послугу. GDPR містить аналогічні підстави — згоду й виконання договору.
Для додаткових цілей (розсилка акцій, публікація фото) радимо брати окрему, конкретну згоду. За законом згода — це добровільне волевиявлення поінформованої людини щодо дозволу на обробку її даних відповідно до сформульованої мети, висловлене письмово або у формі, що дає змогу зробити висновок про надання згоди.
Клієнтка має право відкликати згоду. GDPR як орієнтир додає: згоду треба вміти довести, а відкликати її має бути так само легко, як дати.
Відомості про здоровʼя: особлива категорія
Нотатки про реакції на матеріали, стан нігтів і шкіри чи хронічні хвороби клієнтки — це дані, що стосуються здоровʼя. Закон забороняє їх обробку, крім винятків; для майстра практичний виняток — однозначна згода клієнтки на обробку таких даних. GDPR так само забороняє обробку даних про здоровʼя, крім винятків, зокрема явної згоди на конкретні цілі.
Записуйте лише те, що справді потрібне для безпечної процедури, і попросіть клієнтку прямо погодитися на такий запис — наприклад, окремим повідомленням у месенджері.
Чекліст майстра: згода, мінімум даних, зберігання, видалення
Згода і повідомлення
Мінімум даних
Зберігання
Видалення і запити клієнток
Закон дозволяє обробляти дані у формі, що допускає ідентифікацію людини, не довше, ніж це необхідно для законних цілей, у яких їх збирали. Дані підлягають видаленню або знищенню, зокрема, коли минув строк зберігання, визначений згодою чи законом, або коли припинилися відносини з клієнткою, якщо інше не передбачено законом. Клієнтка також може вимагати знищити її дані, якщо їх обробляють незаконно чи вони недостовірні, а на запит, чи обробляються її дані, має отримати відповідь не пізніше ніж за 30 календарних днів.
GDPR як орієнтир дає людині право вимагати видалення її даних без невиправданої затримки у випадках, які він перелічує. Конкретні строки для вашої діяльності визначайте самі, враховуючи вимоги бухгалтерії та податків.
Фото робіт, на яких видно руки клієнтки
Спершу оцініть, чи можна впізнати людину на кадрі. Якщо на фото видно обличчя, татуювання, імʼя на аксесуарі чи нік, людину може бути ідентифіковано — отже, це персональні дані. Для таких публікацій беріть окрему конкретну згоду: за законом вона має стосуватися сформульованої мети й бути висловленою письмово або у формі, що дає змогу зробити висновок про її надання. Детальніше про фото для портфоліо — в окремій статті.
Чого ця стаття не робить
Вона не оцінює конкретну ситуацію, не замінює консультацію юриста й не гарантує, що ваша обробка даних відповідає закону. Для розвʼязання суперечки чи скарги клієнтки зверніться до фахівця. Скаржитися на обробку своїх персональних даних людина може до Уповноваженого Верховної Ради України з прав людини або до суду.
Питання і відповіді
Чи є номер телефону клієнтки персональними даними?
Так, якщо за ним, особливо разом з іменем, можна ідентифікувати людину. Закон визначає персональні дані як відомості про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована.
Чи потрібна згода, щоб записати клієнтку на процедуру?
Для самого запису підставою може бути укладення та виконання правочину — домовленості про послугу — або заходи на вимогу клієнтки до його укладення. Для розсилок, акцій чи публікації фото радимо брати окрему згоду на конкретну мету.
Чи можна записувати відомості про здоровʼя клієнтки?
Це особлива категорія даних: закон забороняє їх обробку, крім винятків, зокрема за однозначної згоди клієнтки. Записуйте лише те, що потрібне для безпечної процедури, і отримайте на це однозначну згоду.
Як довго можна зберігати контакти клієнток?
Закон вимагає обробляти дані не довше, ніж це необхідно для законних цілей, у яких їх збирали. Конкретний строк визначайте самі з огляду на мету й вимоги обліку.
Клієнтка просить видалити її дані. Що робити?
Якщо дані обробляються на підставі її згоди, клієнтка може її відкликати; після припинення відносин з нею дані підлягають видаленню, якщо інше не передбачено законом. Видаліть дані з усіх місць, де вони зберігаються, крім тих, які ви зобовʼязані зберігати за законом, і повідомте про це клієнтку.
Чи можна просто попросити «ок» у месенджері як згоду?
Закон допускає згоду не лише письмово, а й у формі, що дає змогу зробити висновок про її надання, — за умови, що людина поінформована, а мету сформульовано. Тому зберігайте повідомлення з чітким поясненням мети та відповіддю клієнтки.
- ✓Перевірено: Гуща Сергій, 30 жовтня 2026
- AIПідготовлено з допомогою AI, перевірено редакцією. Як ми використовуємо AI
