Какие документы по персональным данным должны быть у отеля

Коротко: уведомление Роскомнадзора — только вход в тему; при проверке смотрят пакет внутренних документов. Минимальный комплект отеля: политика обработки персональных данных (публичная), согласия гостей на обработку и отдельно на рассылки, приказ о назначении ответственного, перечень допущенных сотрудников, договоры поручения с PMS и другими обработчиками, документы о сроках хранения и уничтожении, порядок действий при утечке.

Разница оснований — сердце всей темы: данные для заселения и передачи в МВД вы обрабатываете в силу договора и закона (согласие не требуется), а маркетинговую рассылку — только по отдельному добровольному согласию. Документы должны эту разницу отражать, а не сваливать всё в одно «согласие на всё».

Материал актуален на 2 августа 2026 года. Об уведомлении РКН — предыдущая статья серии.

Кому относится

Всем средствам размещения — юрлицам и ИП; управляющим компаниям апартаментов. У каждого оператора (каждого юрлица) — свой комплект.

Документ 1. Политика обработки персональных данных

Публичный документ: размещается на сайте и по требованию предъявляется гостю. Содержание: кто оператор, какие данные и с какими целями обрабатываются (гости, сотрудники, контрагенты, подписчики — отдельно), основания, сроки хранения, права субъекта и как их реализовать, сведения о передаче (МВД — по закону; обработчики — по поручению).

Ошибка: скачанный шаблон «как есть», где перечислены чужие цели и системы. Политика описывает вашу реальную обработку.

Документ 2. Согласия — там, где они нужны

• Заселение и учёт — согласие НЕ требуется: обработка ведётся для исполнения договора и обязанностей по регистрационному/миграционному учёту. Форма регистрационной карточки фиксирует данные, а не «разрешение».
• Рассылки и маркетинг — отдельное добровольное согласие с возможностью отзыва; галочка не может быть предпроставленной, отказ не может блокировать заселение.
• Фото/отзывы с именем — отдельное согласие.

Ошибка: одно «согласие на обработку всего» при заселении. При споре такая конструкция не защищает ни вас, ни гостя.

Документ 3. Приказы и допуски

Приказ о назначении ответственного за организацию обработки; перечень сотрудников, допущенных к данным (по ролям: администраторы — карточки гостей, бухгалтер — свои данные); обязательства о неразглашении; отметка об ознакомлении с политикой.

Проверка на себя: у скольких людей сегодня есть доступ ко ВСЕМ данным гостей? Если «у всех, пароль один на стойке» — начните с этого.

Документ 4. Договоры с обработчиками

PMS, облачная бухгалтерия, сервис рассылок обрабатывают данные по вашему поручению — с каждым нужен договор поручения обработки: объём, цели, меры защиты, конфиденциальность. Уточните и зафиксируйте страну размещения баз: данные граждан РФ — на серверах в России.

Ошибка: считать, что «у них оферта, там всё написано». Проверьте, есть ли в оферте условия поручения по 152-ФЗ; нет — запросите отдельный документ.

Документ 5. Сроки хранения и уничтожение

Определите сроки по категориям: карточки гостей — по требованиям учёта и налогов; резюме кандидатов — короткий срок; маркетинговая база — до отзыва согласия. Пропишите порядок уничтожения (акт) и достижение целей как основание прекращения обработки.

Документ 6. Порядок действий при утечке

Закон отводит оператору 24 часа на уведомление Роскомнадзора о факте инцидента и 72 часа — на результаты внутреннего расследования. Чтобы уложиться, порядок пишется заранее: кто фиксирует, кто уведомляет (через портал РКН), кто оценивает состав утекших данных, как информируются пострадавшие. Телефон ответственного — не в тумбочке, а в регламенте.

Таблица: минимальный комплект

Частые ошибки

1. Согласие «на всё» вместо разделения оснований.
2. Рассылка по базе гостей без отдельного согласия — самый частый повод жалоб.
3. Копии паспортов в общей папке/мессенджере смены.
4. Нет договора поручения с PMS и рассыльщиком.
5. База «где-то в облаке» без ответа о стране хранения.
6. Документы написаны и забыты: новые сотрудники не ознакомлены.
7. Инцидент замалчивается — сроки 24/72 превращают молчание в отдельное нарушение.

Как здесь помогает PMS

Правильная PMS — часть ваших «мер защиты»: в bpop доступ разграничен ролями, у каждого сотрудника личная учётная запись, раскрытие номеров документов доступно только по отдельному праву и записывается в журнал, действия сотрудников фиксируются. Это готовые формулировки для политики и готовые ответы проверяющему. Что остаётся человеку: сами документы, подписи, обучение смены и дисциплина «не пересылать паспорта в мессенджерах».

FAQ

Гость требует удалить его данные. Обязаны? По маркетингу — да, по отзыву согласия. Данные о проживании — нет, пока идут сроки хранения по закону: объясните основание письменно.

Нужен ли отдельный сотрудник «по ПДн»? Отдельная должность — нет; назначенный приказом ответственный — да, это может быть управляющий.

Видеонаблюдение — тоже персональные данные? Да: таблички об съёмке, цель, сроки хранения записей — в политику.

Чек-лист

• Политика написана под вашу реальную обработку и опубликована.
• Согласия разделены: заселение — без согласия, маркетинг — отдельное.
• Приказ об ответственном, перечень допущенных, подписи об ознакомлении.
• Договоры поручения с PMS и сервисами; страна хранения — РФ.
• Сроки хранения и порядок уничтожения определены.
• Регламент утечки с ролями и сроками 24/72 существует и известен.

Источники

Проверено 02.08.2026:

• 152-ФЗ «О персональных данных», действующая редакция — pravo.gov.ru
• Портал Роскомнадзора по ПДн: формы, уведомления об инцидентах — pd.rkn.gov.ru
• Роскомнадзор — rkn.gov.ru

Требования закона отделены от рекомендаций автора; включение в реестр операторов само по себе не означает соблюдения закона.