Fiche client et allergies en institut : ce que dit le RGPD

La fiche technique d'une cliente est le cœur du métier : références de couleur, temps de pose, type de peau pour un soin, forme d'ongles, préférences. Le jour où l'on y ajoute « allergique à tel composant » ou « a réagi à la dernière décoloration », on change de catégorie : on note une information sur l'état de santé, que le RGPD (règlement général sur la protection des données) protège plus fortement que le reste. Ce n'est pas interdit dans tous les cas, mais cela demande un cadre, et cela exclut de la confier à un assistant d'IA grand public.

Pourquoi une allergie compte comme donnée de santé

Le RGPD définit les données concernant la santé comme les données relatives à la santé physique ou mentale d'une personne qui révèlent des informations sur son état de santé (article 4). La CNIL précise que la notion est large et s'apprécie au cas par cas. Elle classe parmi les données de santé « par nature » les antécédents médicaux, les maladies, les traitements ou le handicap, et elle ajoute que des données ordinaires peuvent devenir des données de santé quand on les croise avec d'autres.

Une allergie ou une intolérance à un produit renseigne sur l'état de santé de la cliente. Le plus prudent est de la traiter comme une donnée de santé. Il en va de même pour une grossesse signalée, une maladie de peau évoquée ou un traitement en cours mentionné pendant la prestation.

Ce que permet le RGPD

L'article 9 pose un principe d'interdiction du traitement des données de santé, avec des exceptions. La première est le consentement explicite de la personne, pour une ou plusieurs finalités précises. Pour un salon ou un institut, cela se traduit concrètement ainsi :

• ne noter l'information que si elle sert vraiment la prestation (éviter de réutiliser un produit qui a posé problème) ;
• demander l'accord de la cliente de façon explicite, en lui disant pourquoi vous notez cette information et qui y aura accès ;
• noter le strict nécessaire, dans des termes factuels (« ne pas utiliser le produit X, à la demande de la cliente »), sans commentaire médical ;
• limiter l'accès aux personnes qui réalisent les prestations ;
• effacer l'information quand la cliente le demande ou quand elle ne vient plus.

Ces points sont une lecture prudente des textes, pas un avis juridique. Si votre fichier contient beaucoup d'informations de ce type, posez la question à la CNIL ou à un conseil spécialisé.

Ce que rappelle la profession

L'Union nationale des entreprises de coiffure rappelle que le coiffeur a un devoir de conseil, qu'il doit prévenir la cliente des risques avant d'appliquer un produit, et qu'en cas de litige il devra pouvoir prouver qu'elle avait été prévenue. Une fiche bien tenue sert aussi à cela : garder une trace de ce qui a été dit et convenu, datée.

Où l'IA a sa place, et où elle ne l'a pas

Si vous mettez en place un assistant qui échange avec vos clientes, la CNIL recommande, quand des données sensibles ne sont pas attendues, d'afficher avant l'échange une mise en garde invitant à ne pas en transmettre, et de purger celles qui arrivent malgré tout. Si au contraire l'outil est conçu pour recueillir ce type d'information, il faut une exception de l'article 9, comme le consentement explicite, et une analyse d'impact peut être nécessaire.

Questions à poser à l'éditeur de votre logiciel

• Où sont hébergées les fiches clients, et qui chez l'éditeur peut y accéder ?
• Les champs de commentaire libre sont-ils envoyés à un service d'IA extérieur ? Lequel ?
• Peut-on restreindre l'accès à certains champs selon le rôle (gérante, coiffeuse, apprentie) ?
• Comment effacer une fiche ou un champ à la demande d'une cliente ?

Les réponses écrites à ces questions valent mieux qu'une plaquette commerciale.