Какие документы по персональным данным должны быть у отеля

Коротко: уведомление Роскомнадзора - только вход в тему; при проверке смотрят пакет внутренних документов. Минимальный комплект отеля: политика обработки персональных данных (публичная), согласия гостей на обработку и отдельно на рассылки, приказ о назначении ответственного, перечень допущенных сотрудников, договоры поручения с PMS и другими обработчиками, документы о сроках хранения и уничтожении, порядок действий при утечке.

Разница оснований - сердце всей темы: данные для заселения и передачи в МВД вы обрабатываете в силу договора и закона (согласие не требуется), а маркетинговую рассылку - только по отдельному добровольному согласию. Документы должны эту разницу отражать, а не сваливать всё в одно «согласие на всё».

Материал актуален на 2 августа 2026 года. Об уведомлении РКН - предыдущая статья серии.

Кому относится

Всем средствам размещения - юрлицам и ИП; управляющим компаниям апартаментов. У каждого оператора (каждого юрлица) - свой комплект.

Документ 1. Политика обработки персональных данных

Публичный документ: размещается на сайте и по требованию предъявляется гостю. Содержание: кто оператор, какие данные и с какими целями обрабатываются (гости, сотрудники, контрагенты, подписчики - отдельно), основания, сроки хранения, права субъекта и как их реализовать, сведения о передаче (МВД - по закону; обработчики - по поручению).

Ошибка: скачанный шаблон «как есть», где перечислены чужие цели и системы. Политика описывает вашу реальную обработку.

Документ 2. Согласия - там, где они нужны

• Заселение и учёт - согласие НЕ требуется: обработка ведётся для исполнения договора и обязанностей по регистрационному/миграционному учёту. Форма регистрационной карточки фиксирует данные, а не «разрешение».
• Рассылки и маркетинг - отдельное добровольное согласие с возможностью отзыва; галочка не может быть предпроставленной, отказ не может блокировать заселение.
• Фото/отзывы с именем - отдельное согласие.

Ошибка: одно «согласие на обработку всего» при заселении. При споре такая конструкция не защищает ни вас, ни гостя, а с 1 сентября 2025 года она прямо противоречит закону: часть 1 статьи 9 закона 152-ФЗ в редакции Федерального закона от 24.06.2025 № 156-ФЗ требует, чтобы согласие было оформлено отдельно от иных информации и документов, которые подписывает субъект. Отдельный бланк или отдельный чекбокс со своим текстом требованию соответствует; строка внутри правил проживания и общая галочка «принимаю правила и даю согласие» - нет.

Документ 3. Приказы и допуски

Приказ о назначении ответственного за организацию обработки; перечень сотрудников, допущенных к данным (по ролям: администраторы - карточки гостей, бухгалтер - свои данные); обязательства о неразглашении; отметка об ознакомлении с политикой.

Проверка на себя: у скольких людей сегодня есть доступ ко ВСЕМ данным гостей? Если «у всех, пароль один на стойке» - начните с этого.

Документ 4. Договоры с обработчиками

PMS, облачная бухгалтерия, сервис рассылок обрабатывают данные по вашему поручению - с каждым нужен договор поручения обработки: объём, цели, меры защиты, конфиденциальность. Уточните и зафиксируйте страну размещения баз: данные граждан РФ - на серверах в России.

Ошибка: считать, что «у них оферта, там всё написано». Проверьте, есть ли в оферте условия поручения по 152-ФЗ; нет - запросите отдельный документ.

Документ 5. Сроки хранения и уничтожение

Определите сроки по категориям: карточки гостей - по требованиям учёта и налогов; резюме кандидатов - короткий срок; маркетинговая база - до отзыва согласия. Пропишите порядок уничтожения (акт) и достижение целей как основание прекращения обработки.

Документ 6. Порядок действий при утечке

Закон отводит оператору 24 часа на уведомление Роскомнадзора о факте инцидента и 72 часа - на результаты внутреннего расследования. Чтобы уложиться, порядок пишется заранее: кто фиксирует, кто уведомляет (через портал РКН), кто оценивает состав утекших данных, как информируются пострадавшие. Телефон ответственного - не в тумбочке, а в регламенте.

Таблица: минимальный комплект

Частые ошибки

1. Согласие «на всё» вместо разделения оснований.
2. Рассылка по базе гостей без отдельного согласия - самый частый повод жалоб.
3. Копии паспортов в общей папке/мессенджере смены.
4. Нет договора поручения с PMS и рассыльщиком.
5. База «где-то в облаке» без ответа о стране хранения.
6. Документы написаны и забыты: новые сотрудники не ознакомлены.
7. Инцидент замалчивается - сроки 24/72 превращают молчание в отдельное нарушение.

Как здесь помогает PMS

Правильная PMS - часть ваших «мер защиты»: в bpop доступ разграничен ролями, у каждого сотрудника личная учётная запись, раскрытие номеров документов доступно только по отдельному праву и записывается в журнал, действия сотрудников фиксируются. Это готовые формулировки для политики и готовые ответы проверяющему. Что остаётся человеку: сами документы, подписи, обучение смены и дисциплина «не пересылать паспорта в мессенджерах».

Чек-лист

• Политика написана под вашу реальную обработку и опубликована.
• Согласия разделены: заселение - без согласия, маркетинг - отдельное.
• Приказ об ответственном, перечень допущенных, подписи об ознакомлении.
• Договоры поручения с PMS и сервисами; страна хранения - РФ.
• Сроки хранения и порядок уничтожения определены.
• Регламент утечки с ролями и сроками 24/72 существует и известен.

Источники

Проверено 02.08.2026:

• 152-ФЗ «О персональных данных», действующая редакция - pravo.gov.ru
• Портал Роскомнадзора по ПДн: формы, уведомления об инцидентах - pd.rkn.gov.ru
• Роскомнадзор - rkn.gov.ru

Требования закона отделены от рекомендаций автора; включение в реестр операторов само по себе не означает соблюдения закона.