Оформление согласия на обработку персональных данных (ПДн) — обязательная процедура для любого бизнеса‚ работающего с клиентами: отелей‚ апарт-отелей‚ санatorioев‚ коворкингов‚ организаторов мероприятий и офисов с пропускным режимом. С вступлением в силу поправок к 152-ФЗ «О персональных данных» (в частности‚ с 1 сентября 2025 года) требования к форме‚ содержанию и учету согласий существенно ужесточаются.

В этой статье мы разберем правовые основы‚ обязательные реквизиты‚ предоставим актуальный образец согласия гостя‚ а также объясним‚ как подготовиться к грядущим изменениям (реестр согласий на Госуслугах‚ отраслевые стандарты).

Правовая база: когда нужно согласие гостя?

Согласно ст. 6 Федерального закона от № 152-ФЗ «О персональных данных»‚ обработка ПДн допускается только при наличии согласия субъекта ПДн‚ за исключением случаев‚ прямо предусмотренных законом (исполнение договора‚ защита жизни/здоровья‚ исполнение законодательных полномочий и др.).

Основные сценарии для гостевого бизнеса:

• Бронирование и заселение: Обработка ФИО‚ паспортных данных‚ телефона‚ email для оформления договора найма жилого помещения (ст. 679 ГК РФ). Примечание: для исполнения договора согласие не требуется‚ но для маркетинга‚ рассылок‚ передачи данных партнерам (например‚ туроператорам) — обязательно.
• Системы контроля доступа / СКУД: Фото‚ биометрия (если используется)‚ данные пропусков.
• Wi-Fi и IT-инфраструктура: Сбор MAC-адресов‚ IP-адресов‚ истории посещений (если не анонимизировано).
• Маркетинг и лояльность: Рассылки СМС/Email/пуш‚ программы лояльности‚ поздравления с ДР.
• Передача третьим лицам: Туроператорам‚ страховым компаниям‚ налоговым органам (если выходит за рамки обязательной отчетности).

Обязательные реквизиты согласия (ст. 9 152-ФЗ)

Любой образец согласия‚ будь то бумажный или электронный‚ обязан содержать следующие сведения (ч. 1 ст. 9 152-ФЗ):

1. ФИО‚ адрес‚ ИНН/ОГРН оператора (вашей организации/ИП).
2. Цели обработки (конкретно: «заселение»‚ «беспека безопасности»‚ «информирование об акциях» — не просто «для бизнес-целей»).
3. Перечень обрабатываемых данных (ФИО‚ паспорт‚ телефон‚ email‚ фото‚ биометрия и т.д.).
4. Способы обработки (сбор‚ запись‚ систематизация‚ накопление‚ хранение‚ уточнение‚ использование‚ передача‚ обезличивание‚ блокирование‚ удаление‚ уничтожение, можно перечислить все действия из ст. 3 152-ФЗ).
5. Срок действия согласия (конкретная дата или событие: «до отзыва»‚ «3 года после последнего визита»). Бессрочные согласия с будут проблематичны (см. раздел 5).
6. Способ отзыва согласия (как гость может его отозвать: заявление на почте‚ через ЛК на сайте‚ на ресепшене).
7. Подпись субъекта ПДн (рукописная‚ ЭЦП‚ простая ЭП — код из СМС‚ галочка в ЛК) и дата.
8. Сведения о представителе (если согласие дает родитель/опекун за ребенка до 14 лет).

Образец согласия гостя (Универсальный шаблон)

Ниже приведен структурированный образец‚ который можно адаптировать под отель‚ апарты‚ коворкинг или мероприятие. Текст оформлен так‚ чтобы покрыть основные цели обработки.

СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

г. _______________ «___» _____________ 20__ г.

Я‚ ________________________________________________________ (ФИО полностью)‚
паспорт: серия ____ № ________‚ выдан ________________________________________________________ «___» _____________ 20__ г.‚ код подразделения ______‚
проживающий по адресу: ________________________________________________________‚
телефон: +7 ___________________‚ email: ________________________________________________________‚
действующий от своего имени (или: в качестве законного представителя несовершеннолетнего ребенка ________________________________ (ФИО ребенка)‚ на основании ________________________________ (свидетельство о рождении/решение об усыновлении))‚

даю свое свободное‚ волеизъявленное и конкретное согласие Обществу с ограниченной ответственностью «________________________________________________________» (ИНН ____________‚ ОГРН ____________________‚ адрес: ________________________________________________________)‚ именуемому в дальнейшем «Оператор»‚ на обработку моих персональных данных‚ а также персональных данных несовершеннолетнего ребенка (при наличии)‚ на следующих условиях:

Цели обработки персональных данных:

• Оформление и исполнение договора краткосрочного найма жилого помещения / договора оказания услуг / пропуска на мероприятие.
• Обеспечение безопасности гостей и имущества (видеонаблюдение‚ СКУД‚ учет посетителей).
• Идентификация гостя при заселении/проходе и предотвращение мошенничества.
• Информирование об изменении условий размещения‚ услугах‚ акциях и спецпредложениях (маркетинговые коммуникации), только при отдельной отметке согласия ниже.
• Проведение гостевого учета и передача данных в уполномоченные государственные органы (МВД‚ ФНС‚ Ростуризм) в установленном законом порядке.
• Передача данных третьим лицам — партнерам Оператора (платежные системы‚ системы бронирования‚ страховщики) исключительно для исполнения обязательств перед гостем.

Состав персональных данных‚ подлежащих обработке:

• Фамилия‚ имя‚ отчество;
• Дата и место рождения;
• Паспортные данные (серия‚ номер‚ дата выдачи‚ кем выдан‚ код подразделения);
• Адрес регистрации/проживания;
• Контактный телефон‚ адрес электронной почты;
• Фотография (при оформлении пропуска/ключа-карты);
• Биометрические данные (при использовании биометрического доступа), требует отдельного письменного согласия по ст. 11 152-ФЗ;
• Данные банковской карты (только для оплаты‚ не хранятся у Оператора‚ передаются эквайеру);
• IP-адрес‚ Cookie‚ User-Agent при посещении сайта/приложения Оператора.

Способы и действия с персональными данными:

Обработка осуществляется как с использованием средств автоматизации (автоматизированная обработка)‚ так и без них (смешанная обработка)‚ включая: сбор‚ запись‚ систематизацию‚ накопление‚ хранение‚ уточнение (обновление‚ изменение)‚ извлечение‚ использование‚ передачу (распространение‚ предоставление‚ доступ) третьим лицам (п. 1.5‚ 1.6)‚ обезличивание‚ блокирование‚ удаление‚ уничтожение персональных данных.

Срок действия согласия и порядок отзыва:

• Согласие действует с момента подписания до «___» _____________ 20__ г. (рекомендуется: 3 (три) года со дня последнего визита / исполнения обязательств) или до момента его отзыва.
• Я имею право отозвать настоящее согласие в любой момент путем направления письменного уведомления Оператору по адресу: ________________________________________________________ или через Личный кабинет на сайте ________________________________________________________.
• Отзыв согласия не влечет незаконности обработки‚ совершенной до получения Оператором уведомления об отзыве.
• В случае отзыва согласия‚ необходимое для исполнения договора/закона‚ Оператор вправе продолжить обработку на основаниях‚ предусмотренных ч. 2–11 ст. 6 152-ФЗ.

Передача данных в реестр согласий (Госуслуги):

Я уведомлен(а)‚ что в соответствии с законодательством РФ сведения о настоящем согласии (факт его получения‚ дата‚ цели‚ состав данных) будут переданы Оператором в Единый реестр согласий на портале Госуслуг (ЕПГУ) для обеспечения моей возможности контроля над обработкой моих данных.

Заключительные положения:

• Я подтверждаю‚ что ознакомлен(а) с Положением о политике конфиденциальности Оператора‚ опубликованным по адресу: ________________________________________________________.
• Я подтверждаю достоверность предоставленных данных.
• Настоящее согласие составлено в 2 (двух) экземплярах‚ имеющих равную юридическую силу: один — у гостя‚ один — у Оператора.

ДОПОЛНИТЕЛЬНЫЙ БЛОК (ОТДЕЛЬНАЯ ГАЛОЧКА/ПОДПИСЬ), ДЛЯ МАРКЕТИНГА

Отдельным действием (отдельной подписью/галочкой) даю согласие на получение рекламной и информационной рассылки (СМС‚ Email‚ Push-уведомления‚ мессенджеры‚ телефонные звонки) от наименования Оператора и его партнеров по номеру телефона и email‚ указанным выше.

Подпись: _________________ / ________________________    Дата: «___» _____________ 20__ г.

Особенности оформления в разных форматах

Бумажный вариант (при заселении на ресепшене)

• Печатается в 2 экземплярах.
• Гость читает‚ ставит подпись‚ дату‚ расшифровку.
• Один экземпляр выдается гостю (обязательно!)‚ второй остается в архиве отеля.
• Рекомендуется сканировать подписанный экземпляр в CRM/PMS для быстрого поиска.

Электронный вариант (сайт‚ приложение‚ терминал саморегистрации‚ QR-код на двери)

С 2024 года и особенно с электронное согласие становится стандартом. Допустимые формы (ст. 9 152-ФЗ‚ ст. 434 ГК РФ):

• Простая электронная подпись (ПЭП): Код из СМС/Email‚ нажатие кнопки «Согласен» в ЛК после авторизации (Госуслуги‚ СБИС‚ Диадок‚ внутренняя система). Это самый частый вариант для гостей.
• Усиленная неквалифицированная ЭП (УНЭП): Для внутренних документов‚ сотрудников‚ B2B.
• Квалифицированная ЭП (КЭП): Избыточно для гостей‚ используется для договоров с юрлицами.

Требования к электронному согласию:

1. Текст согласия должен быть доступен для чтения до момента нажатия кнопки/ввода кода.
2. Гость должен иметь возможность сохранить/распечатать текст согласия.
3. В системе должен формироваться протокол (аудит-лог) получения согласия.

Ключевые изменения с 1 сентября 2025 года (ФЗ от № 572-ФЗ)

Подготовка к этим изменениям должна начинаться уже сейчас.

Единый реестр согласий на Госуслугах (ЕРСПД)

• Операторы обязаны передавать сведения о каждом полученном согласии (кроме случаев ст. 6 152-ФЗ, исполнение договора‚ закон и т.д.) в реестр на ЕПГУ в течение 3 рабочих дней.
• Гость получит возможность зайти на Госуслуги -> «Мои данные» -> «Согласия на обработку ПДн» и увидеть: КТО‚ КАКИЕ ДАННЫЕ‚ НА КАКИЕ ЦЕЛИ и ОТЗВАТЬ согласие одной кнопкой.
• При отзыве на Госуслугах Оператор получает уведомление и обязан прекратить обработку в течение 3 рабочих дней (если нет других оснований).
• Штрафы за непередачу в реестр: до 500 тыс. руб. за каждое нарушение (ст. 13.11 КоАП РФ).

Отраслевые стандарты вместо согласий

Роскомнадзор активно продвигает переход на отраслевые стандарты безопасности ПДн (утв. приказами ФСТЭК/ФСБ/Минцифры). Если ваш бизнес присоединится к утвержденному стандарту (для гостеприимства разрабатываются отдельные стандарты)‚ это может освободить от необходимости получать отдельные согласия на стандартные операции (заселение‚ учет‚ безопасность)‚ так как обработка будет легализована самим стандартом.

Следите за приказами Минцифры и Роскомнадзора по утверждению стандартов для сферы туризма и гостеприимства.

Жесткие сроки хранения и удаления

• Данные должны быть уничтожены/обезличены сразу после достижения цели обработки (п. 5 ст. 21 152-ФЗ).
• В согласии нельзя писать «бессрочно» или «до отзыва» без привязки к цели. Нужно: «Хранение 3 года после последнего визита для целей лояльности» или «До отзыва‚ но не дольше 5 лет».

Чек-лист: типичные ошибки при оформлении

Хранение и защита согласий

• Срок хранения согласия: Не менее срока действия согласия + 3 года (для подтверждения факта получения в случае проверки РКН/суда).
• Локализация: Базы данных с ПДн граждан РФ должны находиться на территории РФ (ст. 18 152-ФЗ). Проверьте‚ где стоят серверы вашего PMS/CRM/сайта.
• Защита: Шифрование при передаче (TLS 1.2+)‚ контроль доступа к базе согласий (ролевая модель)‚ логирование доступа к сканам/протоколам.
• Уничтожение: Акт об уничтожении/обезличивании после истечения сроков. Для бумаги — шредер (класс безопасности P-4 и выше)‚ для электронных — криптографическое стирание.

Резюме: план действий для бизнеса на 2024–2025 гг.

1. Аудит: Проверить все текущие формы согласий (бумага‚ сайт‚ приложение‚ терминалы) на соответствие ст. 9 152-ФЗ.
2. Обновление шаблонов: Внести изменения по п. 5 (реестр Госуслуг)‚ уточнить сроки‚ разделить маркетинг.
3. Техготовность к ЕРСПД: Согласовать с разработчиками PMS/CRM/сайта интеграцию с API ЕПГУ (Минцифры публикует спецификацию). Тестировать передачу тестовых согласий.
4. Биометрия: Если используете, оформить отдельные согласия строгой формы (ст. 11 152-ФЗ).
5. Обучение персонала: Администраторы ресепшена должны уметь объяснить гостю‚ зачем нужен каждый пункт‚ и выдать копию.
6. Мониторинг стандартов: Отслеживать утверждение отраслевого стандарта для гостеприимства — это может упростить жизнь.