RGPD en institut de beauté : gérer son fichier client sereinement

Un institut d’onglerie, de cils ou d’esthétique n’a pas l’impression de manipuler des données sensibles. Pourtant, un simple fichier client — nom, téléphone, date de naissance, historique de soins, allergies éventuelles — est déjà une collecte de données personnelles au sens du RGPD. La bonne nouvelle : se mettre en règle ne demande ni juriste ni budget conséquent, à condition de faire les choses dans l’ordre.

Pourquoi un petit institut est concerné, pas seulement les grandes enseignes

Le RGPD s’applique dès qu’une donnée permet d’identifier une personne, quelle que soit la taille de la structure. Un carnet de rendez-vous papier avec des numéros de téléphone est déjà un fichier client. Un tableur Excel avec les dates d’anniversaire pour envoyer un SMS de fidélité en est un aussi. La taille de l’institut ne change rien à l’obligation ; elle change seulement l’ampleur des risques en cas de manquement.

Quelles données un institut collecte réellement

En pratique, un institut de beauté manipule le plus souvent :

• L’identité et les coordonnées (nom, téléphone, e-mail)
• L’historique des visites et des prestations réalisées
• Des informations de santé indirectes (allergies, contre-indications, grossesse pour certains soins)
• Des données de préférence (couleur, style, produit habituel)
• Des données de paiement, généralement gérées par le terminal de carte bancaire et non stockées directement

Les données de santé, même mentionnées en passant sur une fiche client, sont une catégorie particulière : elles demandent une vigilance accrue, notamment sur qui peut y avoir accès dans l’équipe.

Sur quelle base légale collecter ces données

Il n’est pas nécessaire de faire signer un formulaire complexe à chaque cliente. Dans la majorité des cas, deux bases légales suffisent :

• L’exécution du contrat : les coordonnées et l’historique de soins sont nécessaires pour honorer un rendez-vous et assurer un suivi de qualité.
• Le consentement : requis spécifiquement pour l’envoi de SMS ou e-mails promotionnels, et pour tout programme de fidélité qui va au-delà du simple suivi de rendez-vous.

Le point clé : le consentement pour la communication marketing doit être une case à cocher séparée, jamais pré-cochée, et la cliente doit pouvoir s’y opposer aussi facilement qu’elle y a adhéré.

Les obligations concrètes à respecter

Au quotidien, la mise en conformité tient à quelques réflexes simples :

• Informer : une mention claire, même courte, expliquant pourquoi les données sont collectées et qui peut les consulter (affichette en cabine, ligne sur le bon de rendez-vous, mention lors de l’inscription en ligne).
• Limiter la collecte : ne demander que ce qui sert réellement à la prestation. Une date de naissance complète est rarement nécessaire ; le mois suffit souvent pour un geste d’anniversaire.
• Sécuriser l’accès : un fichier client protégé par mot de passe, un cahier papier qui ne traîne pas en salle d’attente, un accès limité aux membres de l’équipe qui en ont réellement besoin.
• Permettre les droits des clientes : droit d’accès à ses données, droit de rectification, droit à l’effacement. Une simple demande par e-mail ou en cabine doit pouvoir être traitée sous un délai raisonnable (un mois maximum).
• Ne pas revendre ni partager les coordonnées avec un tiers sans consentement explicite, y compris à un partenaire commercial local.

Combien de temps conserver les données

Il n’existe pas de durée unique imposée pour tous les cas, mais une règle de bon sens s’applique : une donnée ne doit être conservée que le temps utile à sa finalité. Pour une cliente inactive depuis plusieurs années sans aucun contact, il est raisonnable de purger ou d’anonymiser son dossier plutôt que de le garder indéfiniment “au cas où”. Un tri annuel du fichier client, même rapide, évite l’accumulation de données devenues inutiles et réduit le risque en cas de perte ou de piratage.

Ce que change un outil de fidélité digitale

Passer d’un carnet papier ou d’un tableur à un outil digital ne dispense pas des obligations RGPD — au contraire, cela impose de vérifier où et comment les données sont hébergées. En revanche, c’est aussi l’occasion de mieux structurer les choses : accès restreint par compte utilisateur plutôt qu’un fichier partagé, historique centralisé et traçable, consentement marketing géré au moment de l’inscription plutôt que sur un post-it. Un bon outil ne remplace pas la vigilance de l’institut, mais il en simplifie l’application au quotidien.

En résumé

Le RGPD n’est pas réservé aux grandes entreprises : dès qu’un institut tient un fichier client, même modeste, les mêmes principes s’appliquent. Collecter le nécessaire, informer clairement, sécuriser l’accès, respecter les droits des clientes et ne pas conserver indéfiniment ce qui ne sert plus — ces quelques réflexes suffisent, dans l’immense majorité des cas, à être en règle sans complexité inutile.