Работа с персональными данными в гостиничном бизнесе

Экспертные ответы на вопросы о защите, обработке и хранении персональных данных.

Наталья Расторгуева Эксперт в области миграционного и регистрационного учета

На вебинаре мы подробно разобрали ключевые темы:

Новые требования законодательства по работе с ПДн в 2025 году.
Пошаговый алгоритм подготовки к проверке Роскомнадзора.
Реальные кейсы из практики гостиничного бизнеса.

По многочисленным просьбам мы собрали экспертные ответы на самые популярные вопросы о ПДн. Читайте ответы в этой статье.

Согласие на обработку персональных данных можно ли включать в договор или необходимо хранить отдельно? Сколько хранится это согласие?

С 1 сентября 2025 года ст. 9 Федерального закона от 27.06.2006 № 152-ФЗ дополнили новым требованием к согласию на обработку ПДн. Его надо оформлять отдельно от других документов и информации, которые подписывает субъект ПДн. Согласие необходимо получать у каждого субъекта ПДн. Согласно Приказу Росархива от 20.12.2019 № 236 срок хранения согласия на обработку ПДн составляет 3 года после истечения срока действия согласия или его отзывы.

Если гость отказывается подписывать согласие, как мы оформляем договор на предоставление услуг?

Гостиница имеет право обрабатывать ПДн без согласия гостя для исполнения договора или своих обязанностей в том объёме, который оговорён этим договором и законодательством. Если гостиница обрабатывает больший объём ПДн гостя в иных целях, например запрашивает его дату рождения для поздравлений или информацию об аллергиях для предложения правильного питания, а также в случаях поручения обработки ПДн АО «ПФ «СКБ Контур»(при использовании программы «Контур.Отель»), то важно получить его согласие.

Какие наши действия, если: 1. Гость отказывается подписывать согласие? 2. С какого возраста ребенок сам за себя подписывает согласие? 3. За какие данные гостя мы берем согласие? паспорт, телефон, почта...?

Обработка ПДн возможна без согласия на обработку ПДн в случаях исполнения договора (п. 5 ч.1 ст. 6 152-ФЗ) или требований законодательства РФ (п. 2 ч.1 ст. 6 152-ФЗ, ПП 1853).

На практике при регистрации в гостиницах, кроме предъявления паспорта или иного документа, удостоверяющего личность, требуется указание электронной почты, номеров телефонов, цели визита, места работы и иной информации, прямо не предусмотренной Правилами предоставления гостиничных услуг, утвержденных ПП 1853. Тогда вы не вправе запрашивать и обрабатывать эти данные у гостя.

В случае, если гость не дал согласие на обработку ПДн, вы не вправе обрабатывать их в программе Контур.Отель и передать данные в МВД вам необходимо самостоятельно.
Согласие на обработку ПДН несовершеннолетнего с 14 лет до 18 лет подписывается самим несовершеннолетним при наличии согласия законного представителя (личное присутствие) или письменного нотариального согласия, выданного сопровождающему несовершеннолетнему лицу. Почему согласие нельзя сделать без нотариуса, потому что не будет факта достоверности выданного согласия от законного представителя.
Согласие вы берете, если вы обрабатываете ПДн, которые не утверждены законодательством РФ, т.е.собираете больше данных, чем это указано Правилах оказания оказания гостиничных услуг, утв. ПП 1853, и Приказе МВД России № 984 при передаче сведений в МВД. Также стоит отметить, что если ПДн гостя вы обрабатываете в программе «Контур.Отель», то вы также должны взять согласие на обработку ПДн, т.к. АО «ПФ «СКБ Контур» поручается обработка ПДн согласно ч. 3 ст. 6 152-ФЗ.

Нужно ли отдельное согласие на передачу данных в мвд? Если мы работаем через Контур?

В связи с тем, что АО «ПФ «СКБ Контур» поручается обработка ПДн оператору необходимо взять у субъекта ПДн согласие согласно ч. 3 ст. 6 152-ФЗ.

Сколько отели должны хранить согласие на обработку данных, взятые у гостей?

Согласно Приказу Росархива от 20.12.2019 № 236 срок хранения согласия на обработку ПДн составляет 3 года после истечения срока действия согласия или его отзыва.

Что делать, если налоговая запрашивает данные о гостях по льготному турналогу?

Отели обязаны предоставить информацию, содержащую ПДн гостей в налоговую с соответствии с п.п.2, 4, ч.1 ст. 6 152-ФЗ, п.1,2 ст. 93.1 НК РФ. Если лицо отказывается предоставить истребуемую информацию, согласно п. 6 ст. 93.1 НК РФ признается налоговым правонарушением и влечет ответственность в размере 200 р. за каждый не предоставленный документ (ст. 126 НК РФ). За неправомерное, несвоевременное сообщение штраф 5 т.р. (ст. 129.1 НК РФ).

Также есть официальное письмо ФНС от 02.08.2018 №ЕД-4-2/14951@ с пояснениями по данному вопросу.

Мы пользуемся программой Контур.ФМС, то есть передаем персон данные гостей в мвд через Контур. Берем согласие о пд с гостей. В связи с передачей ПД через контур нужно ли брать дополнительно брать с гостей согласие на распространение ПД?

Согласие на распространение ПДн берется в случаях публикации отзывов гостей. Так как АО «ПФ «СКБ Контур» поручается обработка ПДн с целью передачи сведений в МВД, тов имеющемся согласие на обработку ПДн необходимо указать наименование и адрес АО «ПФ «СКБ Контур» согласно пункту 6 части 4 статьи 9 Закона №152-ФЗ.

Какие сроки хранения согласия пд в отеле обычно?

Согласно Приказу Росархива от 20.12.2019 № 236 срок хранения согласия на обработку ПДн составляет 3 года после истечения срока действия согласия или его отзывы.

Разве можно в одном согласии указывать прием гостей и передачу данных в мвд? Они не должны быть отдельными?

Если цели обработки совместимы друг с другом, то можно указать несколько целей. При этом РКН рекомендует в согласии для каждой цели указать объем обрабатываемых ПДн, перечень действии, условия обработки, сроки хранения и условия прекращения обработки ПДн.

Есть постоянные гости которые приезжают в гостиницу несколько раз за месяц мы всегда должны брать согласие на пд.

Новое согласие необходимо брать, если закончился срок действия первичного согласия.

А какие минимальные сроки хранения пд?

Законодательством РФ не предусмотрены минимальные сроки хранения ПДн. Согласно ч.7 ст.5 152-ФЗ хранение ПДн должно осуществляться в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн.

Согласие на обработку не требуется при исполнении договора. т.е. если лица проживают по договору услуг между юр.лицами, согласие с проживающих не требуется?

Сначала нужно разобраться от кого вы получаете ПДн проживающего. Если ПДн вы получаете от юр лица, то согласие он берет от проживающего, а если вы запрашиваете ПДн, то вы берете согласие на обработку ПДн.

Есть информация, что цель передача данных в МВД (регистрация граждан РФ и миграционный учет иностр граждан) не нужно указывать в целях обработки и получать согласие на это, так как это наша обязанность по закону. Это верно?

Все верно, но если вы поручаете передачу ПДн в МВД третьему лицу, например АО «ПФ «СКБ Контур», то согласно пункту 6 части 4 статьи 9 Закона №152-ФЗ оператору необходимо получить согласие на обработку ПДн.

Расскажите, пожалуйста, подробней о согласие на передачу данных третьим лицам? Информация о передаче третьим лицам может быть в одном согласие?

На практике согласие на передачу ПДн обычно оформляется в рамках согласия на обработку ПДн, поскольку передача ПДн входит в понятие их обработки (п. 3 ст. 3, п. 1 ч. 1 ст. 6 152-ФЗ).

При необходимости оформить согласие на передачу ПДн отдельным документом (например, когда в ранее данном согласии перечислены иные действия с персональными данными и не упомянуто согласие на их передачу), порядок получения и оформления такого согласия будет аналогичен получению согласия на обработку ПДн.

Это согласие должно быть в любой форме, которая позволяет подтвердить факт его получения оператором (если иное не установлено федеральным законом). Согласие в письменной форме должно содержать все необходимые сведения (ч. 1, 4 ст. 9 152-ФЗ).

Учтите, что в согласии должно быть прямо указано, что оно дается именно на передачу ПДн (по смыслу п. 7 ч. 4 ст. 9 152-ФЗ).

Если дети до 14 лет согласие от законного представителя, а если с 14 лет у ребенка паспорт, он самостоятельно может подписывать согласие на обработку?

Согласие на обработку ПДН несовершеннолетнего с 14 лет до 18 лет подписывается самим несовершеннолетним при наличии согласия законного представителя (личное присутствие) или письменного нотариального согласия, выданного сопровождающему несовершеннолетнему лицу. Почему согласие нельзя сделать без нотариуса, потому что не будет факта достоверности выданного согласия от законного представителя.

Согласие не требуется! Для исполнения договора, стороной, выгодоприобретателем или поручителем по которому выступает лицо (или для заключения такого договора от его имени). Договор гостиничных услуг — это публичный договор, и гость обращается за заключением самостоятельно. Получается что он является стороной и выгодоприобретателем (получателем услуг).

Для чего тогда получать его согласие?

Согласие на обработку ПДн необходимо в случае, если вы поручаете обработку ПДн третьему лицу согласно ч. 3 ст. 6 152-ФЗ. Например при использовании программы «Контур.Отель» вы поручаете АО «ПФ «СКБ Контур» обрабатывать ПДн ваших гостей. Подробнее о согласиях на обработку ПДн вы можете прочитать в нашей статье.

Должны ли гостевые дома входить в реестр операторов пд?

В соответствии с пунктом 8 части 2 статьи 22 Закона N 152-ФЗ оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов ПДн обработку ПДн в случае, если он осуществляет деятельность по обработке ПДн исключительно без использования средств автоматизации. Подробнее о том, кто должен уведомить РКН вы можете прочитать в нашей статье.

Как выгрузить и уничтожить данные из Контур.Отеля?

АО «ПФ «СКБ Контур» обрабатывает ПДн по поручению оператора (отеля) в соответствии с лицензионным соглашением на право использования программы для ЭВМ «Контур.Отель». Для того, чтобы уничтожить ПДн из программы «Контур.Отель» необходимо направить обращение на уничтожение ПДн в АО «ПФ «СКБ Контур». По итогам такого обращения АО «ПФ «СКБ Контур» предоставит официальный ответ о факте удаления ПДн со ссылкой на реквизиты акта об уничтожении ПДн.

Мы маленький хостел. У нас нет сайта. Мы не предоставляем никаких доп услуг. Берём только паспорт для заполнения формы в контур МВД. Нам то есть не нужно брать согласия от посетителей на обработку пд?

В связи с тем, что АО «ПФ «СКБ Контур» поручается обработка ПДн оператору необходимо взять у субъекта ПДн согласие согласно ч. 3 ст. 6 152-ФЗ. Подробнее о согласиях на обработку ПДн вы можете прочитать в нашей статье.

Как понять, что произошла утечка персданных?

Признаки потенциальной утечки:

Фишинговые сообщения: получение писем или звонков от неизвестных организации, клиентов или якобы из государственных структур и кредитных организации с просьбой предоставить информацию, подтвердить данные и т.п.
Жалобы клиентов на спам-сообщения, фишинговые письма или странные телефонные звонки, касающиеся оплаты счетов или изменений брони.
Проблемы с доступом к аккаунту: Невозможность войти в личный кабинет гостиницы, несмотря на правильный ввод данных.
Изменения в профиле аккаунта: Неожиданные изменения ваших регистрационных данных в личном кабинете отеля, смена адреса электронной почты или контактного телефона.
Изменения конфигурации серверов, баз данных систем без вашего ведома, появление неизвестных учетных записей и приложений/программ, а также появление записей о входе в систему в журнале учета событий ОС/программ/приложения.
Банковские учреждения сообщают о подозрительных операциях, совершаемых с банковских карт гостей отеля.
Создание фейковых аккаунтов:
- кто-то создал соцсеть, почту или профиль в сервисе от вашего имени.
Утеря машинных носителей ПДн (флешкарта, жесткий диск)
- вам приходят уведомления о регистрации в сервисах, которыми вы не пользуетесь.
Получены уведомления от правоохранительных органов или компаний, кому вы передаете/поручаете обработку ПДн, о произошедшей массовой утечке данных.

Какие необходимы журналы?

В списке документов, которые мы разрабатываем, указаны журналы. Список доступен по ссылке.

Верно ли, что в согласии на ОПД просто прописываем, что передаем данные в МВД через Контур в соответствии с законодательством?

Согласно п. 6 ч. 4 ст. 9 52-ФЗ согласие на обработку его ПДн должно включать в себя, в том числе: наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению оператора.

Расскажите, пожалуйста, про обезличивание ПДн.

Подробнее про обезличивание ПДн вы можете изучить статью.

В договоре об оказании гостиничных услуг необходимо указывать пункты о согласии ПДн, их обработке и т.д.?

В договоре необходимо включить положения, предусмотренные ч. 3 ст. 6, ст. 7, ст. 19 152-ФЗ. С 1 сентября 2025 года ст. 9 152-ФЗ дополнили новым требованием к согласию на обработку ПДн. Его надо оформлять отдельно от других документов и информации, которые подписывает субъект ПДн. Подробнее о согласиях на обработку ПДн вы можете прочитать в нашей статье.

Можно ли включать согласие на обработку персональных данных в Регистрационную карту? Как заполнить согласие на обработку ПДн при заезде группы?

С 1 сентября 2025 года ст. 9 152-ФЗ дополнили новым требованием к согласию на обработку ПДн. Его надо оформлять отдельно от других документов и информации, которые подписывает субъект ПДн. Согласие необходимо получать у каждого субъекта ПДн. Подробнее о согласиях на обработку ПДн вы можете прочитать в нашей статье.

Выше говорили, что согласие не требуется при исполнении договора. В таком случае в самом договоре указываем пункты о пд?

Рекомендуем в договоре указать, что Исполнитель обязуется соблюдать требования конфиденциальности ПДн согласно ст. 7 152-ФЗ.

Группа гостей дети до 14 лет в сопровождении тренера, при заселении предоставляют нам согласие на размещение в отеле от законных представителей, нам необходимо, чтобы они также предоставляли нам 2 согласия на обработку Пд на проживающего ребенка и его законного представителя?

Необходимо взять на каждого ребенка согласие на обработку ПДн от тренера, указав в согласии сведения согласно п.2 ч. 4 ст. 9 152-ФЗ. Согласие на обработку ПДН несовершеннолетнего до 14 лет выдается только его законными представителями, если таких нет, сопровождающим при наличии письменного нотариального согласия от законных представителей. Почему согласие нельзя сделать без нотариуса, потому что не будет факта достоверности выданного согласия от законного представителя.

Нужно ли заполнять гостю анкету на бум носителе при заселении если передаем данные через Контур и берем согласие обработку на ПД?

Не обязательно, главное в согласии на обработку ПДн указать перечень ПДн, который есть в анкете.

При заполнении анкеты на гостя есть пункт, что гость не возражает против использования пд. Это считается согласием или нужно отдельно от анкеты это согласие?

Нет. С 1 сентября 2025 года ст. 9 152-ФЗ дополнили новым требованием к согласию на обработку ПДн. Его надо оформлять отдельно от других документов и информации, которые подписывает субъект ПДн. Подробнее о согласиях на обработку ПДн вы можете прочитать в нашей статье.

Имеет ли отель право предоставлять услуги если гость отказывается подписать согласие на ПД?

Обработка ПДн возможна без согласия на обработку ПДн в случаях исполнения договора (п. 5 ч.1 ст. 6 152-ФЗ) или требований законодательства РФ (п. 2 ч.1 ст. 6 152-ФЗ, ПП 1853).

На практике при регистрации в гостиницах, кроме предъявления паспорта или иного документа, удостоверяющего личность, требуется указание электронной почты, номеров телефонов, цели визита, места работы и иной информации, прямо не предусмотренной Правилами предоставления гостиничных услуг, утвержденных ПП 1853. Тогда вы не вправе запрашивать и обрабатывать эти данные у гостя.

В случае, если гость не дал согласие на обработку ПДн, вы не вправе обрабатывать их в программе Контур.Отель и передать данные в МВД вам необходимо самостоятельно.

Необходимо ли добавлять в согласие добавить только Контур, необходимо ли включать МВД в этот список кому передаются данные?

Т.к. АО «ПФ «СКБ Контур» осуществляет передачу ПДн клиентов в МВД, то достаточно указать только его.

Можно подробнее про отзыв ПД — как именно уничтожить ПД? С бумажными носителями понятно, но что делать с данными АСУ? В каких случаях мы можем отказать гостю в уничтожении ПД?

В случае отзыва субъектом ПДн согласия на обработку ПДн оператор вправе продолжить обработку ПДн без согласия субъекта ПДн при наличии оснований, указанных в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 152-ФЗ.

На основании ч. 5 ст. 21 152-ФЗ в случае отзыва субъектом ПДн согласия на обработку его ПДн оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка ПДн осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение ПДн более не требуется для целей обработки ПДн, уничтожить персональные данные или обеспечить их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн, иным соглашением между оператором и субъектом ПДн либо если оператор не вправе осуществлять обработку ПДн без согласия субъекта ПДн на основаниях, предусмотренных 152-ФЗ или другими федеральными законами.

Что такое обезличивание ПД? На примере.