RGPD en la peluquería: qué hacer con la ficha de clientes para cumplir la ley sin complicarte

Una peluquería de barrio con dos sillones puede tener sin darse cuenta los datos de 800 o 1.000 personas: nombres, teléfonos, correos, qué color se hizo cada clienta, a quién le picó un tinte hace dos años, las fotos del antes y después que subiste a Instagram y las grabaciones de la cámara de la entrada. Todo eso son datos personales y, desde 2018, el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD) te dicen qué puedes hacer con ellos.

La buena noticia es que para una peluquería pequeña la lista de obligaciones es corta y casi todo se resuelve en una tarde con herramientas gratuitas de la Agencia Española de Protección de Datos (AEPD). La mala es que la mayoría de lo que circula en internet sobre "LOPD peluquería" está escrito por consultoras que viven de venderte el miedo, o es de 2018 y habla de normas que ya no existen. Este artículo repasa, punto por punto y con las fuentes oficiales, lo que de verdad tienes que hacer: qué datos guardar, con qué base legal, cómo informar a tus clientes, el registro de actividades, los plazos de conservación, las alergias, las fotos, las cámaras, tu equipo, tu software de citas y los derechos de tus clientes. No es asesoramiento jurídico; ante una duda concreta, consulta a un profesional o al canal gratuito de la AEPD.

Todas las citas legales de este artículo están comprobadas el 6 de noviembre de 2026 en el texto del RGPD publicado en el BOE y en el texto consolidado de la LOPDGDD (última actualización del 27 de diciembre de 2025).

¿Se aplica el RGPD a una peluquería pequeña?

Sí, desde el primer cliente. El RGPD no tiene un umbral de tamaño: en cuanto guardas el nombre y el teléfono de alguien para darle cita, estás tratando datos personales y eres lo que la ley llama "responsable del tratamiento", es decir, quien "determine los fines y medios del tratamiento" (artículo 4.7 del RGPD). Da igual que la agenda sea de papel, una hoja de Excel, WhatsApp o un programa de citas: el soporte no cambia la obligación.

Tres cosas que sí han cambiado respecto a lo que quizá te contaron hace años:

• La LOPD de 1999 ya no está en vigor. La norma española actual es la LOPDGDD de 2018, que completa el RGPD europeo. Si una consultora te habla de "adaptarte a la LOPD", pregunta a cuál.
• Ya no se inscriben ficheros en la AEPD. La guía sobre el uso de videocámaras de la AEPD (edición de febrero de 2025) lo dice textualmente: "con el RGPD desaparece la obligación de inscribir ficheros". A cambio, el RGPD pide que tú mismo documentes lo que haces (el registro de actividades que verás más abajo).
• La AEPD tiene una herramienta gratuita pensada para negocios como el tuyo. Se llama FACILITA_RGPD: contestas tres pantallas de preguntas y te genera las cláusulas informativas, las cláusulas para el contrato con tus proveedores, el registro de actividades y un anexo de medidas de seguridad mínimas. La propia AEPD avisa de dos cosas: que "la obtención de los documentos no implica el cumplimiento automático del RGPD" (hay que adaptarlos a lo que haces de verdad) y que la herramienta no sirve para tratamientos de alto riesgo, y pone como ejemplo los "datos de salud". Ese matiz importa para las alergias, y lo veremos.

Lo que no cambia es el principio de fondo, el de "responsabilidad proactiva": no basta con cumplir, tienes que poder demostrar que cumples. De ahí que casi todo lo que sigue consista en tener tres o cuatro documentos sencillos y en usar bien tu agenda. Si aún llevas las citas en papel, una agenda online gratuita para peluquerías con fichas de clientes y acceso por usuario ya resuelve una parte: puedes corregir o borrar un dato en segundos y no dejas un cuaderno con mil teléfonos encima del mostrador.

Qué datos puede guardar una peluquería en la ficha de cliente

El RGPD exige que los datos sean "adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados" (artículo 5.1 c). Traducido a una peluquería: guarda lo que necesitas para dar el servicio y para avisar al cliente, y nada más "por si acaso".

Qué campos poner exactamente en la ficha, cómo anotar una fórmula y cómo usarla en el sillón lo explicamos en la guía de la ficha de cliente para peluquería con plantilla. Aquí nos quedamos con la regla: cada campo debe tener una razón que puedas explicar en una frase.

Una aclaración honesta sobre la herramienta de este blog: la ficha de cliente de ViteUneCoupe guarda los datos de contacto (nombre, apellidos, teléfono y correo) y el historial de citas. No tiene campos de alergias ni de fórmulas de color. Si quieres anotar eso, lo harás en otro soporte (una ficha técnica en papel o un archivo aparte) y ese soporte también entra en lo que describe este artículo.

La base legal de cada uso: cita, recordatorio y promociones

La pregunta que más confusión genera es "¿necesito el consentimiento de mis clientes?". La respuesta corta: para darles cita y recordársela, no; para mandarles promociones, casi siempre sí, con una excepción. El RGPD prevé varias bases legales (artículo 6.1) y cada uso de los datos descansa en una distinta.

Dar la cita, confirmarla y recordarla: ejecución del contrato

Cuando un cliente reserva, nace un contrato de servicio entre él y tu peluquería. Guardar sus datos para ese fin es lícito porque "el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte" (artículo 6.1 b). El correo de confirmación, el recordatorio del día anterior o el aviso de que su peluquera está de baja forman parte de ese contrato: no son publicidad y no requieren consentimiento. Tampoco lo requiere el historial de servicios, que necesitas para hacer bien tu trabajo.

Lo que sí tienes que hacer es informar (artículo 13 del RGPD, lo vemos en el siguiente apartado). Informar y pedir consentimiento no es lo mismo: la información se da siempre, el consentimiento solo cuando la base legal es el consentimiento.

Un detalle práctico: no mezcles una oferta en el recordatorio de cita. En el momento en que el mensaje "te recordamos tu cita de mañana a las 17:00" lleva "y aprovecha un 20 % en tratamientos", deja de ser un mensaje del contrato y pasa a ser una comunicación comercial, con las reglas del siguiente punto.

Promociones, newsletter y felicitaciones: consentimiento o la excepción de la LSSI

Para enviar ofertas por correo electrónico, SMS o WhatsApp hay dos normas que se solapan. El RGPD exige una base legal (en la práctica, el consentimiento del artículo 6.1 a), y la Ley 34/2002 de servicios de la sociedad de la información (LSSI) regula directamente el envío. Su artículo 21.1 prohíbe "el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios".

La excepción está en el artículo 21.2: la prohibición "no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente". Es decir: a un cliente que ya se ha cortado el pelo contigo puedes enviarle ofertas de tu peluquería, sobre servicios parecidos, siempre que le hayas dado la posibilidad de negarse al recoger sus datos y en cada mensaje. El artículo 22.1 añade que puede "revocar en cualquier momento el consentimiento prestado" con "la simple notificación de su voluntad al remitente", así que cada envío necesita una forma fácil de darse de baja.

Esa excepción no cubre a quien solo pidió información y no llegó a reservar, ni a los contactos que te pasó una amiga, ni los mensajes de otra empresa (la marca de productos que vendes, por ejemplo). Para esos casos, consentimiento explícito. Cómo organizar los envíos, con qué frecuencia y con qué textos lo tratamos en el artículo sobre enviar promociones y newsletter a los clientes de tu peluquería.

En la práctica, en tu ficha o en tu página de reservas conviene tener una casilla separada, no marcada por defecto: "Quiero recibir ofertas y novedades de la peluquería". Si el cliente no la marca, sigue recibiendo sus confirmaciones y recordatorios (contrato) y no recibe promociones. Las dos cosas quedan registradas con fecha, que es lo que te permite demostrar después qué aceptó cada uno.

El interés legítimo: útil, pero no es un comodín

El artículo 6.1 f) permite tratar datos cuando "el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento", siempre que no prevalezcan los derechos del cliente. Sirve, por ejemplo, para la seguridad de tu local o para evitar fraudes. No es una vía para saltarte la LSSI en las promociones electrónicas: ahí manda el artículo 21 que acabas de leer.

Alergias, prueba de sensibilidad y fórmulas: ¿son datos de salud?

Aquí hay que ir con cuidado, porque las guías de peluquería suelen pasar de puntillas y las de las consultoras exageran. El artículo 9.1 del RGPD prohíbe, salvo excepciones, el tratamiento de las categorías especiales de datos, entre ellas los "datos relativos a la salud". La excepción más práctica para una peluquería es la del artículo 9.2 a): que "el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales".

¿Qué es dato de salud en una ficha de peluquería?

• La fórmula de color, los productos usados y el tipo de cabello no son datos de salud. Son datos técnicos del servicio.
• "Alérgica al PPD", "le dio reacción con el tinte X", "tiene psoriasis en el cuero cabelludo", "está en tratamiento de quimioterapia" sí describen el estado de salud de una persona. Anotarlo en la ficha es tratar datos de salud.
• El resultado de una prueba de sensibilidad ("prueba realizada el 3 de marzo, sin reacción") está en la frontera: informa sobre la reacción del cuerpo de alguien a un producto. Lo prudente es tratarlo como dato de salud.

Qué hacer con esto sin volverte loco:

1. Anota solo lo imprescindible para la seguridad del cliente. "No usar producto X (reacción en 2025)" es suficiente; no necesitas el diagnóstico, ni la medicación, ni la historia completa.
2. Pide consentimiento explícito y por escrito para ese dato concreto. Una frase en la ficha o en el consentimiento del servicio: "Autorizo a la peluquería a anotar en mi ficha las alergias y reacciones que le comunico, con el único fin de evitar productos que puedan perjudicarme". Firmada o marcada por el cliente, con fecha. Los servicios con riesgo (decoloración, alisados, color con prueba previa) tienen su propio documento, que explicamos en el artículo sobre el consentimiento informado en la peluquería.
3. Limita quién lo ve. Las anotaciones de salud no tienen por qué estar a la vista de todo el equipo en una ficha abierta en recepción.
4. Recuerda el límite de FACILITA_RGPD. La AEPD dice que su herramienta no es para "datos de salud". Puedes usarla para todo lo demás (clientes, proveedores, empleados) y documentar aparte, con una línea en tu registro de actividades, el tratamiento de alergias con base en el consentimiento explícito.
5. No anotes nada de esto en WhatsApp ni en notas sueltas del móvil. Son el peor sitio posible: ni control de acceso, ni borrado, ni copia.

La alternativa es no anotar datos de salud en absoluto y hacer la prueba de sensibilidad en cada ocasión siguiendo las instrucciones del fabricante. Para peluquerías muy pequeñas es una opción perfectamente válida y más simple.

Cómo informar a tus clientes: la cláusula informativa por capas

Informar es la obligación que más peluquerías incumplen sin saberlo. El artículo 13 del RGPD exige que, al recoger los datos, el cliente sepa al menos: "la identidad y los datos de contacto del responsable", "los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento", "los destinatarios o las categorías de destinatarios", "el plazo durante el cual se conservarán los datos personales" (o los criterios para fijarlo), la existencia de sus derechos de acceso, rectificación, supresión y demás, "el derecho a presentar una reclamación ante una autoridad de control" y, si hay consentimiento, "el derecho a retirar el consentimiento en cualquier momento".

Eso no cabe en una ficha de cartulina, y por eso la AEPD recomienda en su guía para el cumplimiento del deber de informar un "modelo de información por capas": "presentar una información básica en un primer nivel, de forma resumida, en el mismo momento y en el mismo medio en que se recojan los datos" y "remitir a la información adicional en un segundo nivel". La guía recomienda "presentar siempre los cinco primeros epígrafes" (Responsable, Finalidad, Legitimación, Destinatarios y Derechos) en esa primera capa, preferiblemente en forma de tabla.

Ejemplo de primera capa para una peluquería

Un ejemplo hipotético, para adaptar con tus datos reales:

La segunda capa (el texto completo) añade los plazos de conservación, el detalle de cada base jurídica, la posibilidad de reclamar ante la AEPD y cómo ejercer cada derecho. FACILITA_RGPD te la genera.

Dónde ponerla

• En la página de reservas online, justo donde el cliente escribe su nombre y teléfono. Si tu agenda te permite añadir un texto o un enlace a tus condiciones, pon ahí la primera capa.
• En la ficha de papel o el formulario de alta, al pie, con la casilla separada de promociones.
• Cuando la cita entra por teléfono o WhatsApp, basta con tener la información visible en el mostrador y enviarla en la confirmación; la guía de la AEPD recuerda que el responsable "deberá poder acreditar con posterioridad que la obligación de informar ha sido satisfecha".
• Para los clientes antiguos que diste de alta sin informarles nada, no hace falta volver a empezar: muéstrales la cláusula en su próxima visita o en el siguiente correo de confirmación.

Registro de actividades de tratamiento: sí, te toca

Muchas guías dicen que una empresa de menos de 250 empleados está exenta del registro de actividades. El artículo 30.5 del RGPD dice efectivamente que la obligación no se aplica a organizaciones de menos de 250 empleados, pero con tres salvedades: la exención cae si el tratamiento "pueda entrañar un riesgo para los derechos y libertades de los interesados", si "no sea ocasional" o si incluye categorías especiales de datos. Una base de clientes que consultas todos los días no es un tratamiento ocasional, y si anotas alergias entras además en la tercera salvedad. En la práctica, la AEPD trata el registro como un documento que toda empresa debe tener, y su herramienta FACILITA_RGPD lo genera por defecto. Hazlo: son dos páginas.

El artículo 30.1 enumera lo que debe contener: nombre y datos de contacto del responsable, fines del tratamiento, categorías de interesados y de datos, categorías de destinatarios, transferencias a terceros países si las hay, plazos previstos de supresión y una descripción general de las medidas de seguridad. El artículo 31 de la LOPDGDD permite organizarlo por "conjuntos estructurados de datos".

Un registro mínimo de peluquería tiene tres o cuatro líneas: clientes y citas, empleados (nóminas, contratos, registro horario), proveedores y, si hay cámaras, videovigilancia. Ejemplo hipotético de la primera línea:

No hay que enviarlo a nadie: se guarda y se enseña si la AEPD lo pide. Actualízalo cuando cambies de programa, instales una cámara o empieces a hacer algo nuevo con los datos.

¿Cuánto tiempo puedes guardar la ficha de un cliente?

Ninguna norma fija "X años" para la ficha de una peluquería. El RGPD solo dice que los datos se mantendrán "durante no más tiempo del necesario para los fines del tratamiento" (artículo 5.1 e) y te obliga a informar del plazo o de los criterios. Así que el plazo lo decides tú, lo escribes y lo cumples. Una práctica razonable:

• Mientras el cliente venga, la ficha completa, obviamente.
• Clientes inactivos. Fija un plazo a partir de la última cita, por ejemplo dos o tres años, y después borra o anonimiza (conserva "corte y color, 45 €, marzo de 2024" sin el nombre si quieres tus estadísticas). Una clienta que no ha vuelto en tres años difícilmente va a necesitar que recuerdes su fórmula, y tú no necesitas su teléfono.
• Las anotaciones de salud, el plazo más corto que puedas justificar: lo que dure su utilidad para la seguridad del cliente.
• Los tickets y facturas no son la ficha. Son documentación fiscal y mercantil con sus propios plazos: el artículo 66 de la Ley General Tributaria fija en cuatro años la prescripción del derecho de Hacienda a liquidar, y el artículo 30 del Código de Comercio obliga a los empresarios a conservar "los libros, correspondencia, documentación y justificantes concernientes a su negocio" durante seis años. Borrar la ficha de clienta no significa borrar sus facturas.
• Cuando un cliente pide que lo borres, lo borras, salvo que necesites conservar algo por obligación legal (sus facturas, otra vez). La LOPDGDD (artículo 32) obliga a "bloquear los datos cuando proceda a su rectificación o supresión": quedan apartados, solo a disposición de jueces, Ministerio Fiscal o administraciones, hasta que prescriban las responsabilidades, y luego se destruyen.
• Las imágenes de las cámaras, un mes como máximo (lo vemos a continuación).

Un programa de citas que te permita listar los clientes sin cita desde una fecha hace esta limpieza anual en diez minutos. Con un cuaderno, es un sábado.

Fotos de clientes: no basta con que no se queje

Las fotos del antes y después son el contenido que mejor funciona en redes y también una de las fuentes de problemas más habituales. Dos normas se aplican a la vez. La Ley Orgánica 1/1982 considera intromisión ilegítima "la captación, reproducción o publicación por fotografía, filme, o cualquier otro procedimiento, de la imagen de una persona en lugares o momentos de su vida privada o fuera de ellos" (artículo 7.5), salvo que el titular "hubiere otorgado al efecto su consentimiento expreso" (artículo 2.2). Y, como la imagen identifica a una persona, el RGPD la trata como dato personal: publicarla en Instagram es un tratamiento con su propia finalidad y su propia base legal, el consentimiento.

En resumen: consentimiento expreso, para esa finalidad concreta (publicar, no solo "hacer la foto para la ficha"), que puedas demostrar y que el cliente pueda retirar. Una foto de la nuca sin que se vea la cara reduce mucho el problema, pero no siempre lo elimina (tatuajes, un peinado muy reconocible). Para los menores de 14 años decide quien tiene la patria potestad; la LOPDGDD (artículo 7.1) solo admite el consentimiento del propio menor "cuando sea mayor de catorce años". Tienes una plantilla de autorización y las reglas para retirar una foto en el artículo sobre publicar fotos de clientes de tu peluquería en redes sociales.

Cámaras en la peluquería: cartel, un mes y nada en los aseos

Si tienes una cámara para proteger el local, el artículo 22 de la LOPDGDD te dice exactamente qué hacer. Cualquier persona física o jurídica puede tratar imágenes "con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones" (apartado 1). Las condiciones:

• Cartel visible. El deber de información "se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos" (apartado 4). La AEPD publica un modelo de cartel "Zona videovigilada" con tres huecos: el responsable, ante quién ejercer los derechos y dónde obtener más información. Rellénalo, imprímelo y ponlo en la entrada.
• Un mes de conservación. "Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones" (apartado 3). Configura el grabador para que sobrescriba a los 30 días.
• Solo lo imprescindible. La vía pública solo "en la medida en que resulte imprescindible" (apartado 2), y según la guía de la AEPD las cámaras no pueden instalarse "en espacios protegidos por el derecho a la intimidad como baños, vestuarios" ni en zonas donde se desarrollen actividades que afecten a la vida privada. En una peluquería: la entrada y la caja, sí; el aseo y el cuarto donde se cambia el equipo, nunca.
• Tu equipo tiene que saberlo. Si la cámara también graba a tus empleadas, infórmales por escrito de que existe y para qué. Usarla para controlar su trabajo tiene reglas propias (artículo 89 de la LOPDGDD) que no caben en este artículo; la AEPD tiene una ficha específica de "control laboral" en su sección de videovigilancia.
• Una línea en el registro. La guía de la AEPD recuerda que "los responsables y encargados de tratamientos deben mantener este Registro de Actividades" también para la videovigilancia.

Las cámaras falsas o apagadas no tratan datos, pero si están conectadas y graban, cuentan. Y si la instaló y la gestiona una empresa de seguridad con acceso a las imágenes, necesitas con ella el contrato de encargado del siguiente apartado.

Tu equipo y el acceso a las fichas

El RGPD no exige que cada peluquera firme un contrato de protección de datos, pero sí que quien trata datos bajo tu autoridad lo haga siguiendo tus instrucciones y con confidencialidad. Tres medidas baratas:

1. Un usuario por persona en la agenda, nunca una contraseña compartida pegada en la pantalla. Así sabes quién ha visto o cambiado qué, y cuando alguien se va, cierras su acceso el mismo día.
2. Un compromiso de confidencialidad firmado al contratar, de un párrafo: los datos de los clientes son de la peluquería, no se copian, no se usan para fines propios y la obligación sigue cuando acaba el contrato.
3. Fichas de papel bajo llave y fuera del mostrador cuando no se usan.

Esto no es teoría: el caso más frecuente es la empleada que se marcha con los teléfonos de "sus" clientas en el móvil. Quién es dueño de la lista, qué puedes hacer y cómo prevenirlo lo tratamos en el artículo sobre qué pasa con los datos de clientes cuando una empleada se va de la peluquería.

Tu software de citas es encargado del tratamiento: el contrato del artículo 28

Cuando usas una agenda online, un programa de gestión o una gestoría que accede a datos de tus clientes, esa empresa es "encargado del tratamiento": quien "trate datos personales por cuenta del responsable del tratamiento" (artículo 4.8). Tú sigues siendo el responsable; ellos trabajan siguiendo tus instrucciones. El artículo 28.3 exige que "el tratamiento por el encargado se regirá por un contrato u otro acto jurídico" que fije el objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos y las obligaciones del encargado (confidencialidad, seguridad, devolver o borrar los datos al terminar, ayudarte a responder a los derechos de los clientes).

En los programas de citas, ese contrato suele estar dentro de las condiciones del servicio o en un anexo de tratamiento de datos que aceptas al registrarte. Antes de confiarle tu base de clientes a un proveedor, comprueba cuatro cosas en sus condiciones o en su aviso legal:

Sobre ViteUneCoupe, lo que podemos decir con precisión: tu peluquería es la responsable de los datos de sus clientes y ViteUneCoupe actúa como encargado por tu cuenta. Los datos se alojan en Francia, en los servidores de Scaleway, como consta en el aviso legal, dentro de la Unión Europea y por tanto sin transferencia internacional que justificar. La ficha de cliente, como hemos dicho, se limita a contacto e historial de citas, y está incluida en el plan gratuito sin comisiones; las confirmaciones y recordatorios automáticos por correo forman parte del plan Standard desde 29 € sin IVA al mes, sin permanencia. No vamos a prometerte certificaciones que no tenemos ni "cumplimiento garantizado": ningún programa cumple el RGPD por ti. Lo que hace un buen programa es ponértelo fácil: acceso por usuario, datos en la UE y borrado.

Los derechos de tus clientes y cómo responder

Cualquier cliente puede pedirte acceso a sus datos, corregirlos, borrarlos, limitar su uso, oponerse a él o llevárselos (portabilidad: "el interesado tendrá derecho a recibir los datos personales que le incumban", artículo 20.1). Las reglas de juego, según el artículo 12 del RGPD:

• Plazo: un mes desde que recibes la solicitud, prorrogable dos meses más en casos complejos avisando dentro del primer mes.
• Gratis, salvo solicitudes manifiestamente infundadas o excesivas.
• Sin formalidades: una petición por WhatsApp o en el mostrador vale. Lo único que puedes pedir es una comprobación razonable de identidad si tienes dudas.
• Deja constancia: anota la fecha de la solicitud y la de tu respuesta.

En una peluquería, casi todas las solicitudes son dos: "borra mis datos" y "deja de mandarme mensajes". La segunda se resuelve desmarcando la casilla de promociones y confirmándoselo; la primera, borrando la ficha (y bloqueando lo que debas conservar por ley, como las facturas) y respondiendo "hecho". Un cliente que recibe un "no entiendo qué quieres" o ninguna respuesta es un cliente que presenta una reclamación ante la AEPD, y a partir de ahí la Agencia te pedirá precisamente los documentos de este artículo.

¿Necesitas un delegado de protección de datos?

No. El artículo 37.1 del RGPD solo lo exige a las autoridades públicas, a quienes realizan "una observación habitual y sistemática de interesados a gran escala" y a quienes tratan "a gran escala" categorías especiales de datos. El artículo 34.1 de la LOPDGDD añade una lista cerrada de entidades españolas obligadas (colegios profesionales, centros docentes, operadores de telecomunicaciones, entidades financieras y aseguradoras, centros sanitarios, empresas de seguridad privada, entre otras) y las peluquerías no están en ella. Puedes nombrar uno voluntariamente, pero para una peluquería de barrio no tiene sentido. Si una empresa te dice que es obligatorio, es un argumento de venta, no una obligación legal. Lo que sí es gratuito y útil es el canal de consultas de la AEPD para pymes, enlazado desde su página para pymes y profesionales.

Lista de comprobación para una peluquería

Lo que puedes dejar hecho en una tarde:

• Has pasado por FACILITA_RGPD y guardado los documentos (cláusulas, registro, medidas de seguridad).
• La primera capa de la cláusula informativa está en tu página de reservas, en la ficha de papel y en el mostrador.
• La casilla de promociones está separada, sin marcar por defecto, y cada envío lleva una forma de darse de baja.
• Has decidido qué anotas sobre alergias, con qué consentimiento y quién lo ve.
• Tu registro de actividades tiene una línea por tratamiento (clientes, empleados, proveedores, cámaras).
• Has escrito tu plazo de conservación y tienes una rutina anual para limpiar clientes inactivos.
• Hay un consentimiento escrito antes de publicar la foto de un cliente.
• La cámara tiene cartel, sobrescribe al mes, no graba aseos y tu equipo sabe que existe.
• Cada persona del equipo entra a la agenda con su propio usuario y ha firmado la confidencialidad.
• Has leído la cláusula de encargado de tu programa de citas y sabes dónde están alojados los datos.
• Sabes qué hacer, y en qué plazo, si un cliente pide acceso o borrado.

Preguntas frecuentes

¿Necesito el consentimiento del cliente para guardar su teléfono y darle cita?

No. Guardar los datos necesarios para la cita, confirmarla y recordarla se basa en la ejecución del contrato de servicio (artículo 6.1 b del RGPD). Lo que sí tienes que hacer es informarle de quién eres, para qué usas sus datos y qué derechos tiene, con una cláusula breve en el momento de recogerlos.

¿Puedo mandar ofertas por WhatsApp o correo a mis clientes habituales?

Sí, a quienes ya son clientes, sobre servicios de tu propia peluquería similares a los que contrataron, siempre que les hayas dado la opción de negarse al recoger sus datos y en cada mensaje (artículo 21.2 de la LSSI). A quien nunca ha sido cliente, o para productos de otra empresa, necesitas su consentimiento previo.

¿Las alergias de mis clientes son datos de salud?

Una alergia o una reacción a un producto describe la salud de una persona, así que lo prudente es tratarla como categoría especial: anota solo lo imprescindible, con consentimiento explícito del cliente y con acceso restringido. La fórmula de color y los productos usados no son datos de salud.

¿Tengo que hacer el registro de actividades si somos tres personas?

En la práctica, sí. La exención para menos de 250 empleados del artículo 30.5 del RGPD no se aplica a tratamientos que no sean ocasionales, y una base de clientes se usa a diario. FACILITA_RGPD te lo genera gratis en minutos.

¿Cuánto tiempo tengo que guardar las imágenes de la cámara?

Un mes como máximo desde la grabación, salvo que las necesites para acreditar un delito o un daño (artículo 22.3 de la LOPDGDD). Además, la cámara debe tener un cartel informativo visible en la entrada y no puede grabar los aseos ni el vestuario.

¿Hace falta un delegado de protección de datos en una peluquería?

No. Ni el artículo 37 del RGPD ni la lista del artículo 34.1 de la LOPDGDD incluyen a las peluquerías. Es voluntario, y lo que sí tienes gratis es el canal de consultas de la AEPD para pymes.