Le RGPD s'applique à votre salon de tatouage ou de piercing
Quand vous demandez le nom, l'email et les informations de santé d'un client avant sa séance, vous collectez des données personnelles. Et dès que vous collectez des données personnelles, le Règlement Général sur la Protection des Données s'applique, que vous soyez auto-entrepreneur, gérant d'un studio ou technicienne PMU à domicile.
Beaucoup de praticiens l'ignorent ou pensent que le RGPD ne concerne que les grandes entreprises. C'est une erreur. La CNIL (Commission Nationale de l'Informatique et des Libertés) contrôle toutes les structures, quelle que soit leur taille. Et les données de santé que vous collectez dans vos formulaires de consentement sont parmi les plus sensibles que la loi reconnaisse.
Données de santé : catégorie spéciale RGPD
Les informations de santé collectées dans vos consentements (allergies, traitements médicaux, antécédents) sont des données sensibles au sens de l'article 9 du RGPD. Leur traitement est interdit par principe, sauf exception prévue par l'article 9.2. Pour les tatoueurs, pierceurs et techniciennes PMU, l'exception applicable est le consentement explicite du client (article 9.2.a). Cette qualification renforce vos obligations en matière de sécurité, de registre et de bases légales.
Quelles données collectez-vous sans forcément le réaliser ?
En tant que praticien de modification corporelle, vous collectez plusieurs catégories de données personnelles sur vos clients :
1 Données d'identité
- Nom, prénom, date de naissance
- Adresse email et numéro de téléphone
- Adresse postale (parfois)
2 Données de santé (catégorie spéciale)
- Allergies et antécédents allergiques
- Traitements médicaux en cours
- Pathologies déclarées (herpès, diabète)
- Statut de grossesse ou allaitement
3 Données liées à la prestation
- Description du projet (zone, motif, style)
- Photos avant et après
- Historique des séances et des produits utilisés
4 Données financières
- Montant des prestations
- Acomptes versés (via Stripe)
- Historique de paiement
Vos obligations RGPD concrètes
1. Informer vos clients de l'utilisation de leurs données
Le RGPD impose une transparence totale sur la collecte des données (articles 13 et 14). Avant de collecter quoi que ce soit, vos clients doivent savoir : qui collecte leurs données, pourquoi, combien de temps elles sont conservées, et avec qui elles sont partagées. Cette information doit figurer dans votre formulaire de consentement ou dans une politique de confidentialité accessible.
Mentions obligatoires dans votre formulaire de consentement
2. Obtenir un consentement explicite pour les données de santé
Les données de santé ne peuvent pas être collectées sur la base d'un simple intérêt légitime. L'article 9.2.a du RGPD impose un consentement explicite et distinct pour ce type de données. Cela signifie que la case "J'accepte que mes données de santé soient utilisées pour le suivi de ma prestation" doit être cochée activement par le client, et ne peut pas être pré-cochée. Le consentement doit être libre, spécifique, éclairé et univoque (article 4.11 RGPD).
3. Sécuriser le stockage des données
L'article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au niveau de risque. Pour des données de santé, les exigences sont élevées. Un classeur en papier dans un tiroir ouvert ou un Google Sheets sans protection ne constituent pas un stockage sécurisé conforme. La CNIL recommande pour les données sensibles le chiffrement au repos et en transit, l'authentification multi-facteurs, et le contrôle des accès au principe du moindre privilège.
4. Tenir un registre des activités de traitement
L'article 30 du RGPD impose la tenue d'un registre des activités de traitement. Cette obligation est en principe limitée aux structures de plus de 250 salariés, mais elle s'applique aux structures plus petites dès lors que le traitement porte sur des catégories particulières de données visées à l'article 9. Concrètement, tout praticien de tatouage, piercing ou PMU collectant des données de santé est obligé de tenir ce registre, peu importe la taille de sa structure. La CNIL met à disposition un modèle simplifié sur son site.
5. Respecter les durées de conservation
Les données ne doivent pas être conservées indéfiniment. Le principe de limitation de la conservation (article 5.1.e RGPD) impose de définir et de respecter une durée maximale de conservation pour chaque type de données. Pour vos consentements de tatouage, piercing ou PMU, l'article R.1311-11 du Code de la santé publique impose une conservation de 3 ans minimum à compter de la séance. Au-delà, les données doivent être supprimées ou anonymisées, sauf justification fondée (par exemple, un litige en cours). La prescription civile de droit commun étant de 5 ans (article 2224 du Code civil) et celle des dommages corporels de 10 ans (article 2226 du Code civil), une conservation plus longue peut se justifier en pratique. Clic2Sign archive les consentements pendant 5 ans, au-delà du minimum légal.
6. Répondre aux demandes de vos clients
Tout client peut exercer ses droits RGPD à tout moment. Vous devez être en mesure de répondre à ces demandes dans un délai d'un mois (article 12.3 RGPD), prolongeable de deux mois en cas de complexité :
Droit d'accès (art. 15)
Le client peut demander à voir toutes les données que vous détenez sur lui.
Droit de rectification (art. 16)
Le client peut demander la correction de données inexactes.
Droit à l'effacement (art. 17)
Le client peut demander la suppression de ses données, sauf obligation légale de conservation.
Droit à la portabilité (art. 20)
Le client peut demander à recevoir ses données dans un format lisible par machine, lorsque le traitement est fondé sur le consentement ou un contrat.
7. Publier une politique de confidentialité
Si vous avez un site internet, une page de réservation en ligne ou un profil professionnel, vous devez afficher une politique de confidentialité accessible. Ce document explique l'ensemble de vos pratiques en matière de collecte et de traitement des données personnelles. Elle doit être rédigée dans un langage clair et compréhensible, pas en jargon juridique (article 12.1 RGPD).
Les cas particuliers à connaître
Les mineurs
Pour les clients mineurs, deux régimes s'articulent. Côté tatouage et piercing, l'article R.1311-11 CSP impose le consentement écrit du représentant légal, sans seuil d'âge. Côté RGPD, l'article 8 fixe l'âge du consentement numérique à 15 ans en France pour les services de la société de l'information offerts directement à l'enfant. En pratique, pour vos consentements PMU, tatouage ou piercing, l'autorisation parentale est obligatoire pour tout mineur, quel que soit son âge.
Les photos avant et après
Les photos de vos clients sont des données personnelles. Si vous souhaitez les utiliser pour votre communication sur Instagram ou votre site internet, vous avez besoin d'un consentement explicite et distinct à cet effet. Ce consentement doit être séparé du consentement à la prestation. Un client peut très bien accepter la séance et refuser la publication de ses photos. La publication sans consentement constitue à la fois une violation du RGPD (traitement sans base légale) et une atteinte au droit à l'image (article 9 du Code civil).
Les sous-traitants
Dès que vous utilisez un outil tiers pour gérer vos données clients (logiciel de consentement, système de paiement, agenda en ligne), ce prestataire devient un sous-traitant au sens de l'article 28 du RGPD. Vous devez vous assurer qu'il est lui-même conforme RGPD et signer un contrat de sous-traitance (DPA) qui définit les responsabilités de chacun.
Clic2Sign est conforme RGPD
Les données de vos clients sont stockées sur des serveurs sécurisés hébergés en France, chiffrées en transit et au repos, et protégées par une authentification à deux facteurs. Clic2Sign intègre dans ses formulaires toutes les mentions RGPD obligatoires, la gestion du consentement explicite pour les données de santé, et la gestion des droits clients (export, suppression).
Vous pouvez exporter ou supprimer les données d'un client à tout moment depuis votre tableau de bord, ce qui vous permet de répondre à toute demande RGPD en quelques secondes.
Ce que vous risquez en cas de non-conformité RGPD
La CNIL peut être saisie par n'importe quel client mécontent de la gestion de ses données. En cas de contrôle ou de plainte, les sanctions peuvent être significatives :
Mise en demeure
La CNIL peut vous adresser une mise en demeure formelle avec obligation de régulariser dans un délai imparti. C'est la sanction la plus courante pour les petites structures lorsqu'aucun préjudice grave n'est avéré.
Amende administrative
Pour les violations graves ou répétées, la CNIL peut infliger des amendes pouvant atteindre 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial (article 83.5 RGPD). Les montants les plus élevés concernent les grandes entreprises, mais les petites structures ne sont pas épargnées en cas de manquement caractérisé sur des données sensibles.
Action en justice du client
Un client peut engager une action en justice pour violation de ses droits RGPD, indépendamment de toute procédure CNIL (article 79 RGPD). Les dommages et intérêts peuvent inclure le préjudice moral lié à la violation de la vie privée.
Questions fréquentes
Dois-je me déclarer à la CNIL ?
Non. Depuis le RGPD (mai 2018), la déclaration préalable à la CNIL n'est plus obligatoire pour la plupart des traitements. En revanche, vous devez tenir un registre des activités de traitement (article 30 RGPD), qui liste tous les traitements de données que vous effectuez. Ce registre peut être simple pour une petite structure, mais il doit exister, et la CNIL peut le demander lors d'un contrôle. Pour les données sensibles, cette tenue est obligatoire quelle que soit la taille de votre structure.
WhatsApp est-il conforme RGPD pour échanger avec mes clients ?
WhatsApp, détenu par Meta, transfère des données vers les États-Unis. Depuis l'arrêt Schrems II (16 juillet 2020) de la Cour de justice de l'Union européenne et l'adoption du Data Privacy Framework en 2023, le cadre des transferts est encore en évolution. Pour les échanges ordinaires (confirmation de RDV, questions pratiques), le risque est limité. En revanche, échanger des informations de santé sur WhatsApp pose un problème sérieux de conformité. Privilégiez des canaux chiffrés de bout en bout avec hébergement européen pour les données sensibles.
Puis-je publier les photos de mes clients sur les réseaux sociaux sans leur accord explicite ?
Non. Publier la photo d'un client sans son consentement explicite est une double violation : du RGPD (traitement de données personnelles sans base légale) et du droit à l'image (article 9 du Code civil). Même si le résultat est beau et que vous pensez lui faire de la publicité, vous avez besoin de son accord écrit explicite mentionnant l'utilisation prévue (Instagram, site web, portfolio). Clic2Sign permet d'intégrer cette demande de consentement dans le formulaire de la séance.
Un client peut-il demander la suppression de son consentement ?
Oui, il peut exercer son droit à l'effacement (article 17 RGPD). Mais ce droit n'est pas absolu : si vous avez une obligation légale de conservation (3 ans minimum pour les consentements liés aux actes de modification corporelle au titre de R.1311-11 CSP), vous pouvez refuser la suppression pendant cette durée. Au-delà du minimum légal, vous pouvez aussi opposer la nécessité de conserver pour la défense d'un droit en justice (prescription civile). Passé ces délais, la suppression doit être effectuée. Dans Clic2Sign, la suppression d'un dossier client respecte automatiquement ces règles de conservation.
Dois-je désigner un délégué à la protection des données (DPO) ?
Pas pour la plupart des praticiens indépendants. L'article 37 RGPD impose la désignation d'un DPO uniquement dans trois cas : autorité publique, traitement à grande échelle de données sensibles, ou suivi systématique à grande échelle de personnes. Un tatoueur, pierceur ou PMU indépendant ne traite pas à grande échelle au sens du RGPD. La désignation reste possible à titre volontaire si vous gérez un studio de plusieurs praticiens avec un volume important de données de santé.
Conforme RGPD dès le premier consentement
Clic2Sign intègre toutes les obligations RGPD
Mentions légales incluses, données hébergées en France, gestion des droits clients intégrée. Essai Pro 14 jours offert.
Démarrer mon essai gratuitEssai Pro 14 jours · Code WELCOME1 · 1 mois offert à l'abonnement