GDPR tatuatori: dati dei clienti e checklist privacy

Per gestire il GDPR in uno studio di tatuaggi, parti da una mappa dei dati: cosa raccogli, perché, chi vi accede, dove li conservi e quando li elimini. Nome e telefono per una prenotazione non hanno lo stesso ruolo delle informazioni sulla salute raccolte nel percorso del consenso.

La guida propone controlli organizzativi basati sul GDPR. La scelta delle basi giuridiche e dei termini applicabili richiede una valutazione del trattamento concreto.

1. Separa le finalità

Distingui prenotazioni, documenti del trattamento, amministrazione, fotografie e promozioni. Non raccogliere tutto con una casella unica che il cliente deve accettare per prenotare.

Esempio operativo: il recapito necessario a comunicare uno spostamento non va automaticamente inserito in una campagna di offerte. Una fotografia destinata al fascicolo non è automaticamente autorizzata per Instagram.

2. Raccogli soltanto ciò che serve

Prima di aggiungere un campo, definisci lo scopo e chi userà la risposta. Le informazioni su allergie o condizioni di salute possono rientrare nelle categorie particolari di dati dell'articolo 9.

Per tali dati occorre individuare sia una base ai sensi dell'articolo 6 sia una condizione pertinente dell'articolo 9. Se il trattamento si fonda sul consenso esplicito, il processo deve consentire di documentarlo. Non trasferire automaticamente allo studio le eccezioni previste per cure sanitarie svolte da professionisti soggetti ai relativi obblighi.

3. Fornisci un'informativa leggibile

Prima della raccolta diretta, rendi disponibili le informazioni dell'articolo 13: titolare e contatti, finalità e basi, destinatari, conservazione, diritti e altri elementi pertinenti. Il cliente deve poter capire cosa accade ai dati.

Il consenso all'esecuzione del tatuaggio non sostituisce questa informativa. Per il contenuto del documento relativo al trattamento leggi la checklist del consenso.

4. Tieni un registro dei trattamenti adeguato

La piccola dimensione dello studio non esonera automaticamente. Nelle FAQ sul registro, il Garante cita espressamente i tatuatori che trattano dati sanitari tra gli esempi interessati. Sono disponibili anche modelli semplificati per le PMI.

Usa il registro per collegare finalità, categorie di dati, soggetti coinvolti e misure. Deve descrivere ciò che fai davvero, non un'attività teorica copiata da un modello.

5. Controlla accessi e fornitori

Assegna account personali e permessi coerenti con i ruoli. Quando un collaboratore lascia lo studio, revoca l'accesso e verifica eventuali copie sui suoi dispositivi.

Per il software o l'archivio cloud, valuta il contratto, l'eventuale nomina a responsabile ai sensi dell'articolo 28, i subfornitori, le misure di sicurezza e gli eventuali trasferimenti. La sola localizzazione in Italia non risolve tutti questi aspetti. Una certificazione del fornitore infrastrutturale non certifica automaticamente l'intero trattamento dello studio.

6. Definisci conservazione e cancellazione

Il GDPR richiede di non conservare i dati più del necessario per le finalità. Non stabilisce un unico termine di cinque anni per tutti i documenti dei tatuatori.

Distingui documenti amministrativi, consensi, richieste non concluse e dati promozionali. Verifica le norme settoriali, eventuali controversie e i criteri applicabili. Scrivi chi esegue la revisione e come vengono gestite copie e backup.

7. Prepara le richieste dei clienti e gli incidenti

Stabilisci chi riceve richieste di accesso, rettifica o cancellazione e come verifica il richiedente. Non inviare un intero fascicolo al primo indirizzo che lo richiede.

Prevedi un referente per accessi indebiti o perdita di dati. Non tutti gli incidenti richiedono la stessa risposta: valuta gli obblighi di notifica secondo il caso e documenta le decisioni.

Controllo mensile dello studio

• Account attivi coerenti con lo staff presente.
• Informative e modelli effettivamente utilizzati aggiornati.
• Copie inutili individuate e trattate secondo la procedura.
• Richieste dei clienti assegnate a un responsabile.
• Esportazione e recupero dei documenti verificati.

OKID può aiutare a organizzare consensi e documenti. Esamina il DPA di OKID e le funzioni del piano scelto: acquistare un software non trasferisce ogni responsabilità del titolare al fornitore.