GDPR i kartice klijenata: kako čuvati podatke i fotografije
Redakcija · Bosna i Hercegovina · 15. august 2026. · 6 min
U BiH se na tebe ne primjenjuje EU GDPR direktno, nego domaći Zakon o zaštiti ličnih podataka BiH — ali obaveze su u praksi vrlo slične: podatke klijenata smiješ prikupljati samo ako imaš razlog i pristanak, čuvati ih sigurno, i ne koristiti ih za nešto što klijent nije odobrio. Fotografije "prije i poslije" su lični podatak čim se na njima može prepoznati osoba, i za objavu na Instagramu ti treba poseban, izričit pristanak — ne onaj isti kojim si uzela broj telefona.
Ako vodiš kartone klijenata (alergije, boje, formule, tretmani), ti si obrađivač ličnih podataka bez obzira da li imaš pet ili petsto klijenata. Nema izuzetka za "male salone".
Šta propis zapravo traži
Okvir je Zakon o zaštiti ličnih podataka BiH ("Službeni glasnik BiH"), a nadzor vrši Agencija za zaštitu ličnih podataka u BiH (AZLP). Zakon je državni, ali se u praksi preklapa s entitetskim propisima o zdravstvenoj dokumentaciji i sanitarnim uslovima, koji se razlikuju u RS i FBiH, a ponekad i po kantonu ili opštini. Prije nego usvojiš bilo šta iz ovog teksta kao pravilo, provjeri kod nadležne inspekcije u svojoj opštini.
Suština koju moraš znati svodi se na pet stvari.
Prvo — svrha. Podatak smiješ tražiti samo ako ti treba za konkretnu uslugu. Broj telefona za potvrdu termina: da. Datum rođenja "za rođendanski popust": samo ako klijent na to pristane odvojeno.
Drugo — minimum. Ne prikupljaj ono što ti ne treba. JMBG klijentu za šišanje ne treba nikada. Adresa ti ne treba osim ako dostavljaš.
Treće — pristanak. Mora biti dobrovoljan, jasan i dokaziv. Usmeno "pa rekla mi je da može" ne vrijedi kad dođe do žalbe.
Četvrto — sigurnost. Papirni kartoni pod ključem, digitalni pod lozinkom. Ne u zajedničkoj svesci na pultu gdje svako vidi tuđu alergiju.
Peto — rok čuvanja. Podatke ne držiš zauvijek. Kad prestane svrha, brišeš.
Posebno o zdravstvenim podacima
Ovo je dio koji većina salona previdi. Alergija na PPD, dermatitis, trudnoća, dijabetes, uzimanje Roaccutana, hepatitis status kod tretmana koji probijaju kožu — to su posebne kategorije ličnih podataka, tzv. osjetljivi podaci. Za njih vrijedi stroži režim: potreban je izričit pisani pristanak i viši nivo zaštite.
Paradoks je što ti te podatke moraš imati — bez pitanja o alergijama ne smiješ raditi boju ni trajni make-up. Rješenje nije prestati pitati, nego formalizovati: anamnestički list koji klijent potpiše, s jasnom napomenom zašto ga pitaš i koliko dugo čuvaš.
Za invazivnije tretmane (mikropigmentacija, mikroneedling, tretmani koji narušavaju integritet kože) obaveze čuvanja dokumentacije mogu proizlaziti i iz sanitarnih i zdravstvenih propisa, ne samo iz zaštite podataka — a ti se propisi razlikuju po entitetu. Provjeri konkretno za svoju djelatnost.
Checklist: GDPR-usklađen salon u 12 tačaka
| # | Obaveza | Status |
|---|---|---|
| 1 | Imam pisani anamnestički list za tretmane s rizikom | ☐ |
| 2 | Na listu piše zašto tražim podatke i koliko dugo ih čuvam | ☐ |
| 3 | Pristanak za fotografisanje je odvojena rubrika, ne dio istog potpisa | ☐ |
| 4 | Pristanak za objavu fotografije je treća, posebna rubrika | ☐ |
| 5 | Pristanak za marketinške poruke (SMS/newsletter) je odvojen | ☐ |
| 6 | Papirni kartoni su u zaključanoj ladici ili ormaru | ☐ |
| 7 | Telefon/tablet s podacima klijenata ima PIN ili biometriju | ☐ |
| 8 | Fotografije klijenata nisu u zajedničkoj galeriji telefona | ☐ |
| 9 | Radnici znaju da se podaci ne iznose iz salona | ☐ |
| 10 | Imam definisan rok brisanja neaktivnih kartona | ☐ |
| 11 | Znam kome se klijent obraća ako traži brisanje svojih podataka | ☐ |
| 12 | Softver za zakazivanje koji koristim ima jasnu politiku privatnosti | ☐ |
Odštampaj ovu tabelu i prođi je s ekipom na sljedećem jutarnjem briefingu. Trebat će vam 15 minuta.
Fotografije: najčešća greška u praksi
Razgovarali smo s nekoliko vlasnica salona iz Sarajeva i Banje Luke, i obrazac se ponavlja: klijent kaže "može, slikaj", frizerka objavi na Story, a mjesec dana kasnije stigne poruka "skini to".
Problem nije objava — problem je što ne postoji dokaz šta je tačno dogovoreno. "Može slikaj" nije isto što i "može objaviti na Instagramu, TikToku i sajtu, trajno."
Riješi to jednim redom u kartonu:
Pristanak za fotografiju
☐ Slažem se da se fotografija napravi za internu dokumentaciju tretmana
☐ Slažem se da se fotografija objavi na društvenim mrežama salona
☐ Slažem se da se na fotografiji vidi moje lice
Pristanak mogu povući u bilo kojem trenutku, usmeno ili porukom.
Potpis: ______________ Datum: __________
Tri kućice, deset sekundi, i imaš dokaz. Ako klijent kasnije traži uklanjanje — ukloniš i to je to. Povlačenje pristanka je njegovo pravo i nema smisla se raspravljati.
Dodatno pravilo: fotografije klijenata drži u zasebnom, zaključanom albumu na telefonu, ne u rolni gdje se miješaju s privatnim slikama. Ako ti telefon ode na servis ili ga izgubiš, to je incident s podacima.
Šta inspekcija provjerava i šta čuvaš kao dokaz
Nadzor nad zaštitom podataka vrši AZLP, najčešće po prijavi klijenta, a ne rutinskom kontrolom. Sanitarna i tržišna inspekcija provjeravaju druge stvari, ali mogu naići i na kartone.
Šta ti treba da budeš miran:
Popunjeni i potpisani anamnestički listovi za tretmane s rizikom. Ovo je ujedno tvoja zaštita ako dođe do reakcije na proizvod — dokaz da si pitala.
Evidencija pristanaka za fotografije. Papirna ili digitalna, svejedno, samo da postoji.
Dokaz o sigurnom čuvanju — ladica s ključem, lozinka na uređaju. Ne postoji potvrda za ovo, ali se vidi na licu mjesta.
Interno pravilo o brisanju. Jedan A4 papir na kojem piše: kartoni neaktivnih klijenata brišu se nakon X godina. Ti odrediš rok, ali ga se drži.
Politika privatnosti softvera koji koristiš. Ako zakazuješ preko online sistema, provjeri gdje su podaci hostovani i ima li dobavljač jasne uslove — kod platformi poput buky.me to je obično dostupno u uslovima korištenja i vrijedi ga pročitati prije nego uneseš bazu klijenata.
O iznosima kazni namjerno ne pišemo brojke — one se propisuju zakonom i podzakonskim aktima i mijenjaju se, pa je jedini ispravan izvor važeći tekst propisa i sama Agencija.
Sljedeći korak
Uradi ovo ove sedmice, redom:
- Odštampaj 50 kopija anamnestičkog lista s tri kućice za fotografije. Trošak je zanemariv.
- Zaključaj ladicu s kartonima. Bukvalno, kupi bravicu ako je nema.
- Stavi PIN na telefon kojim slikaš klijente i napravi zaključani album.
- Odredi rok brisanja i zapiši ga. Bilo koji razuman rok je bolji od nikakvog.
- Prođi checklist s ekipom — 15 minuta, jednom.
Ovaj tekst je informativnog karaktera i ne predstavlja pravni savjet. Obaveze i rokovi razlikuju se između Republike Srpske i Federacije BiH, a dijelom i po kantonu i opštini. Za obavezujuće tumačenje obratite se Agenciji za zaštitu ličnih podataka u BiH i nadležnoj inspekciji u svojoj opštini, ili pravniku.