Protección de datos en un estudio de tatuaje: qué pide el RGPD y cómo cumplirlo

Un estudio de tatuaje maneja más datos personales de lo que parece: nombre, DNI, teléfono, fecha de nacimiento, fotos de los trabajos y, casi siempre, información de salud como alergias, medicación o enfermedades de la piel. Por eso la protección de datos en un estudio de tatuaje no es un trámite opcional: para el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD), tu estudio es el responsable del tratamiento y tiene obligaciones concretas.

En esta guía repasamos qué pide la ley y cómo cumplirlo en el día a día del estudio, sin tecnicismos. No sustituye el consejo de un profesional, pero te sirve para saber qué revisar y por dónde empezar.

Por qué un estudio de tatuaje trata datos especiales

El RGPD da una protección extra a algunas categorías de datos, y entre ellas están los datos de salud (artículo 9). Cuando preguntas a un cliente si es alérgico al látex, si toma anticoagulantes o si tiene diabetes, estás tratando datos de salud, aunque solo sea para decidir si puedes tatuarle con seguridad.

Esto tiene dos consecuencias prácticas:

• Necesitas un consentimiento explícito para esos datos, separado del resto. No vale una casilla genérica de «acepto todo».
• Tienes que protegerlos con más cuidado: quién los ve, dónde se guardan y durante cuánto tiempo.

Puedes consultar el texto completo del Reglamento General de Protección de Datos en la web oficial de la Unión Europea.

Qué información tienes que dar al cliente

Cuando recoges datos, el artículo 13 del RGPD te obliga a informar al cliente, como mínimo, de:

• Quién es el responsable: el nombre y los datos de contacto de tu estudio.
• Para qué usas sus datos: hacer el tatuaje, cumplir la normativa sanitaria y gestionar citas y pagos.
• La base legal de cada uso: el contrato, una obligación legal o su consentimiento.
• Cuánto tiempo los guardas.
• Con quién los compartes, por ejemplo el programa de gestión o la gestoría.
• Sus derechos, cómo ejercerlos y que puede reclamar ante la Agencia Española de Protección de Datos.

Lo más práctico es incluir esta información en el propio consentimiento informado, en un apartado de protección de datos que el cliente lee antes de firmar.

Si todavía no tienes un texto de partida, nuestro modelo de consentimiento informado para tatuaje ya trae este apartado y puedes adaptarlo a tu estudio.

Casillas separadas: salud, fotos y comunicaciones

Un error habitual es meter todos los permisos en una sola firma. Lo correcto es separar:

• Lo necesario para tatuar: haber entendido el procedimiento, sus riesgos y los cuidados.
• Los datos de salud: con su propio consentimiento explícito.
• Las fotos del trabajo: publicar el tatuaje en Instagram o en tu web es voluntario. El cliente puede decir que no y tatuarse igual. Si en la foto se le reconoce, entra en juego también su derecho a la propia imagen.
• Las comunicaciones comerciales, si envías promociones: otro permiso aparte.

Cada casilla tiene que quedar guardada con su respuesta, sí o no, para poder demostrarla después.

Firma electrónica y prueba del consentimiento

El RGPD dice que el responsable debe poder demostrar que el cliente consintió (artículo 7). Con papel, eso depende de no perder la hoja y de saber a qué versión del texto corresponde.

Firmar en una tablet es una firma electrónica simple, que el Reglamento europeo eIDAS reconoce como prueba. Para que sirva de verdad, conviene guardar el texto exacto que se firmó, la fecha y la hora, y que el documento no se pueda modificar después. Así funciona el consentimiento informado digital de Tattoo Base: cada documento firmado lleva impreso un código de verificación (una huella SHA-256) calculado con los datos, el texto y las casillas marcadas. Si alguien cambiara una sola coma, el código ya no coincidiría. Además se guardan la fecha y la hora, la IP y el usuario del estudio que recogió la firma.

Menores de edad

Para tatuar a un menor, la normativa de cada comunidad autónoma exige la autorización de su padre, madre o tutor legal. En protección de datos, la Ley Orgánica 3/2018 permite que un mayor de 14 años consienta por sí mismo el uso de sus datos, pero el tatuaje sigue necesitando la autorización del tutor. En la práctica: recoge los datos del tutor, que firme él y envíale a él la copia.

Cómo cumplir la protección de datos en un estudio de tatuaje

Más allá del consentimiento, hay tres piezas que conviene tener en orden: el registro de actividades, los contratos con proveedores y los plazos de conservación.

El registro de actividades de tratamiento

El artículo 30 del RGPD pide un registro de actividades de tratamiento: un documento interno que describe qué datos tratas, para qué, cuánto tiempo y con qué medidas de seguridad. Las empresas de menos de 250 trabajadores solo se libran si el tratamiento es ocasional y no incluye datos especiales. Un estudio que recoge datos de salud en cada cita no cumple esas condiciones, así que conviene tenerlo.

No hace falta que sea complicado: basta con una tabla por cada uso, como clientes y consentimientos, citas, pagos, fotos y, si los tienes, empleados y videovigilancia.

Proveedores: el contrato de encargado del tratamiento

Si un programa de gestión, una gestoría o un servicio en la nube guarda datos de tus clientes, actúa como encargado del tratamiento. El artículo 28 del RGPD exige un contrato con cada uno que diga qué pueden hacer con los datos y qué no.

Al elegir un programa para tu estudio, comprueba que te ofrece ese contrato y que los datos se guardan en la Unión Europea. En Tattoo Base el contrato de encargo del tratamiento se acepta al darse de alta y los servidores están en la UE.

Cuánto tiempo guardar los datos

Los datos solo se pueden guardar mientras hagan falta. Para los consentimientos, el plazo suele venir marcado por la normativa sanitaria de tu comunidad autónoma o por el tiempo en que podría haber una reclamación. Fija un plazo, escríbelo en el consentimiento y en el registro, y respétalo.

Derechos de tus clientes

Un cliente puede pedirte acceder a sus datos, corregirlos, borrarlos, limitar su uso, oponerse o llevárselos. Tienes un mes para responder. Ten en cuenta que algunos datos no se pueden borrar mientras dure la obligación legal de guardarlos, como el consentimiento firmado.

Tenerlo todo junto ayuda mucho: con una ficha de cliente completa ves de un vistazo qué datos tienes de esa persona y qué ha firmado. Y si necesitas entregar o guardar una copia, puedes descargar los datos del estudio y los consentimientos en un ZIP cuando quieras.

Seguridad básica en el estudio

• Nada de consentimientos en carpetas abiertas en el mostrador ni fotos de clientes en el móvil personal sin control.
• Cada persona del equipo con su propio usuario, y que cada uno vea solo lo que necesita.
• Contraseñas seguras y copias de seguridad.
• Si pierdes datos o alguien accede sin permiso, puede que tengas que avisar a la AEPD en un plazo de 72 horas.

Lista rápida para revisar tu estudio

• Apartado de protección de datos en el consentimiento.
• Casillas separadas para salud, fotos y comunicaciones.
• Autorización del tutor para menores.
• Registro de actividades de tratamiento.
• Contrato de encargado con tus proveedores.
• Plazo de conservación definido.
• Un email para que los clientes ejerzan sus derechos.

Si quieres ver cómo queda todo esto en la práctica, puedes probar Tattoo Base 14 días gratis, sin tarjeta.