RGPD au studio de tatouage : protégez fiches clients et photos

Un studio de tatouage collecte chaque jour des données personnelles sensibles : coordonnées clients, antécédents médicaux, photos de réalisations sur peau. Depuis l'entrée en vigueur du Règlement Général sur la Protection des Données (RGPD), tout professionnel — y compris en micro-entreprise — est responsable de la collecte, du stockage et du traitement de ces informations. Ne pas s'y conformer expose à des sanctions de la CNIL pouvant atteindre des montants significatifs, sans parler de la perte de confiance de votre clientèle.

Pourquoi le RGPD s'applique à votre studio, même en solo

Le RGPD (Règlement UE 2016/679), applicable depuis mai 2018, concerne toute personne ou structure qui traite des données personnelles de résidents européens, quelle que soit sa taille. En tant que tatoueur indépendant ou gérant d'un studio, vous êtes qualifié de responsable de traitement au sens de la loi. Vous n'avez aucune exemption liée au statut micro-entrepreneur.

La CNIL (Commission Nationale de l'Informatique et des Libertés) est l'autorité de contrôle française compétente. Elle publie ses guides et recommandations sur cnil.fr. En cas de plainte d'un client ou de contrôle, c'est votre capacité à démontrer votre conformité qui prime.

Quelles données un studio de tatouage collecte-t-il ?

Pour bien appliquer le RGPD, commencez par cartographier ce que vous traitez réellement au quotidien. Dans un studio de tatouage, trois grandes catégories de données sont concernées :

• Données d'identification : nom, prénom, date de naissance, numéro de téléphone, adresse e-mail, parfois adresse postale.
• Données de santé (données sensibles) : antécédents médicaux, allergies, contre-indications renseignées sur la fiche de consentement éclairé. Ces données bénéficient d'une protection renforcée sous l'article 9 du RGPD.
• Photos de tatouages : les clichés pris sur la peau d'un client sont des données biométriques ou, au minimum, des données personnelles permettant d'identifier la personne. Leur utilisation à des fins de portfolio ou de réseaux sociaux nécessite un consentement explicite et distinct.

La fiche de consentement éclairé que vous faites signer avant chaque séance contient donc des données parmi les plus sensibles que vous traitez. Sa gestion doit être irréprochable.

Les obligations concrètes à respecter

1. Collecter uniquement ce qui est nécessaire

Le principe de minimisation impose de ne collecter que les données strictement nécessaires à la prestation. Demander la date de naissance a du sens pour vérifier la majorité légale ; collecter la profession du client n'a aucune justification. Passez en revue vos formulaires papier ou numériques et supprimez tout champ superflu.

2. Informer vos clients de leurs droits

À la collecte, le client doit être informé : qui traite ses données, dans quel but, combien de temps elles sont conservées, et quels sont ses droits (accès, rectification, effacement, portabilité). Une mention légale courte au bas de votre fiche de consentement suffit. Elle peut aussi figurer sur votre site internet dans une politique de confidentialité.

3. Obtenir un consentement explicite pour les photos

Photographier un tatouage pour le poster sur Instagram ou votre site portfolio n'est pas automatiquement autorisé. Vous devez obtenir un consentement libre, éclairé et révocable, séparé du consentement médical à la prestation. Une case à cocher dédiée sur la fiche client, ou un formulaire distinct signé, est la bonne pratique. Le client peut retirer son accord à tout moment : prévoyez une procédure pour supprimer les photos concernées de vos supports.

4. Sécuriser le stockage des données

Que vos fiches clients soient papier ou numériques, elles doivent être protégées contre l'accès non autorisé. Les fiches papier rangées dans un tiroir ouvert à la vue des autres clients ne sont pas conformes. Pour le numérique, les exigences minimales sont :

• Accès par mot de passe fort et unique à votre outil de gestion ou votre ordinateur.
• Stockage sur un outil ou un serveur hébergé en Europe (ou offrant des garanties équivalentes).
• Sauvegarde régulière des données.
• Aucune fiche client envoyée via une messagerie non sécurisée (SMS, DM Instagram).

5. Définir et respecter une durée de conservation

Vous ne pouvez pas conserver des données indéfiniment. La durée de conservation doit être proportionnée à la finalité. Pour les fiches de consentement éclairé contenant des données de santé, la recommandation est généralement alignée sur les délais de prescription civile applicables (à vérifier selon votre situation auprès d'un professionnel du droit). Passé ce délai, les données doivent être supprimées ou anonymisées.

Tableau récapitulatif : données traitées, base légale et obligations associées

Gérer la conformité RGPD au quotidien sans y passer des heures

La conformité RGPD n'est pas un chantier ponctuel : c'est une hygiène de gestion permanente. Quelques réflexes pratiques à adopter dans votre studio :

• Tenez un registre des traitements : un document simple listant chaque type de donnée collectée, sa finalité, sa durée de conservation et les mesures de sécurité en place. La CNIL met à disposition un modèle sur son site.
• Répondez aux demandes clients sous un mois : si un client demande à accéder à ses données ou à les faire supprimer, le RGPD impose une réponse dans ce délai.
• Encadrez vos sous-traitants : si vous utilisez un logiciel de gestion, un outil de prise de réservation en ligne ou un prestataire de paiement, vérifiez qu'ils proposent un DPA (Data Processing Agreement) — contrat de sous-traitance au sens RGPD. Tout outil sérieux doit pouvoir vous le fournir.
• Formez-vous aux bons réflexes : même une journée de formation ou la lecture des fiches pratiques de la CNIL suffit à sécuriser l'essentiel de vos pratiques.

Utiliser un logiciel de gestion dédié aux studios de tatouage — plutôt que des fichiers Excel non protégés ou des carnets papier — est l'un des moyens les plus efficaces de centraliser les données clients dans un environnement sécurisé. Découvrez comment les fonctionnalités d'InkSide permettent de gérer votre fichier clients de façon structurée et sécurisée. Pour aller plus loin sur la gestion et la conformité de votre activité, explorez également le blog InkSide.

Questions fréquentes

Un tatoueur en micro-entreprise est-il vraiment concerné par le RGPD ?

Oui, sans exception. Le RGPD s'applique à toute personne physique ou morale qui traite des données personnelles de résidents européens, quelle que soit la taille de la structure. Un tatoueur indépendant en micro-entreprise est un responsable de traitement à part entière. La CNIL ne prévoit aucune exemption liée au statut juridique ou au chiffre d'affaires.

Puis-je publier les photos de tatouages de mes clients sur Instagram sans leur demander ?

Non. Une photo prise sur la peau d'un client est une donnée personnelle permettant potentiellement de l'identifier. Sa publication à des fins commerciales ou de portfolio nécessite un consentement explicite, libre et révocable, distinct du consentement médical à la prestation. Sans ce consentement écrit, vous vous exposez à une plainte pour atteinte au droit à l'image et à une sanction CNIL.

Combien de temps dois-je conserver les fiches de consentement éclairé de mes clients ?

La durée de conservation doit être proportionnée à la finalité du traitement. Pour des données de santé figurant sur une fiche de consentement, elle est généralement alignée sur les délais de prescription civile applicables à votre activité, à confirmer selon votre situation avec un professionnel du droit. Au-delà de cette durée, les données doivent être supprimées ou anonymisées. Indiquez la durée retenue dans votre registre des traitements.

Qu'est-ce qu'un DPA et pourquoi l'exiger de mon logiciel de gestion ?

Un DPA (Data Processing Agreement, ou contrat de sous-traitance de données) est le contrat par lequel votre prestataire s'engage à traiter vos données clients dans le respect du RGPD. Le RGPD impose de le signer avec tout sous-traitant qui accède à des données personnelles pour votre compte (logiciel SaaS, outil de paiement, agenda en ligne). Sans ce document, vous restez seul responsable en cas de fuite ou de violation de données chez le prestataire.

Cet article est informatif et ne remplace pas un conseil personnalisé d'un expert juridique ou d'un délégué à la protection des données (DPO).

Gérez vos fiches clients, vos stocks d'encres et votre facturation depuis un seul outil pensé pour les studios de tatouage : essayez InkSide gratuitement pendant 30 jours et posez les bases d'une gestion sécurisée et conforme dès aujourd'hui.