Как отелю уведомить Роскомнадзор об обработке персональных данных

Коротко: отель, апарт-отель, хостел, база отдыха - любой объект, обрабатывающий данные гостей и сотрудников, - является оператором персональных данных и обязан уведомить Роскомнадзор до начала обработки. Это именно уведомление, а не получение разрешения: вы информируете регулятора и попадаете в публичный реестр операторов, ответа-«одобрения» ждать не нужно.

Гостиничный бизнес не подпадает под исключения, позволяющие работать без уведомления: вы собираете паспортные данные для заселения и передаёте сведения в МВД - этого достаточно, чтобы обязанность возникла. Подача бесплатна, делается онлайн через сайт Роскомнадзора со входом через Госуслуги (ЕСИА).

Ниже - как проверить себя в реестре и заполнить уведомление без юриста. Материал актуален на 10 августа 2026 года; включение в реестр - необходимое, но не достаточное условие соблюдения 152-ФЗ: пакет внутренних документов разобран в следующей статье серии.

Кому относится

Юрлицам и ИП, оказывающим услуги размещения; управляющим компаниям апартаментов, обрабатывающим данные жильцов и собственников. Физлицо, сдающее свою квартиру по найму, оператором в смысле уведомления обычно не является - но как только появляется системная деятельность с базой гостей, статус меняется.

Шаг 1. Проверьте, нет ли вас в реестре

Что сделать: на портале Роскомнадзора по персональным данным (pd.rkn.gov.ru) найдите реестр операторов и поищите свою организацию по ИНН.

Результат: либо запись уже есть (тогда проверьте её актуальность - цели, адреса, системы), либо её нет и нужна подача.

Ошибка шага: искать по названию с опечатками. Ищите по ИНН.

Шаг 2. Подготовьте сведения для уведомления

Понадобятся:

• реквизиты оператора: наименование, ИНН, ОГРН, адрес;
• цели обработки - например: «исполнение договора оказания гостиничных услуг», «регистрационный и миграционный учёт гостей во исполнение требований законодательства», «кадровый и бухгалтерский учёт», «направление информационных сообщений с согласия субъекта»;
• категории субъектов и данных: гости (ФИО, паспортные данные, контакты, даты проживания), работники (кадровые данные), контрагенты (представители - ФИО, контакты), подписчики рассылок (контакты) - по каждой группе свои цели и основания;
• правовые основания: договор с гостем, обязанности по регистрационному/миграционному учёту, ТК РФ для сотрудников, согласие - для маркетинга;
• сведения об информационных системах и месте хранения: ваша PMS, бухгалтерская система; страна размещения баз - Россия (требование локализации: базы данных с ПДн граждан РФ должны находиться на территории РФ - уточните у своих провайдеров, где физически хранятся данные);
• ответственный за организацию обработки (назначается приказом);
• меры защиты (в объёме формы).

Ошибка шага: писать одну цель «оказание услуг» на всё. Передача в МВД - обязанность в силу закона, рассылка - только по согласию; в уведомлении это разные цели с разными основаниями.

Шаг 3. Заполните и отправьте уведомление

Что сделать: на pd.rkn.gov.ru выберите электронную форму уведомления об обработке персональных данных, войдите через ЕСИА от имени организации, заполните разделы по подготовленным сведениям и отправьте. Возможна подача с УКЭП или бумажной формой, но ЕСИА - самый простой путь.

Как проверить: заявке присваивается номер; в течение установленного срока запись появляется в публичном реестре. Проверьте её и сохраните номер.

Ошибка шага: подать от личного кабинета сотрудника-физлица вместо кабинета организации.

Шаг 4. Поддерживайте сведения актуальными

Изменились цели, системы, адреса, ответственный - подаётся уведомление об изменении сведений. Прекратили деятельность - уведомление о прекращении обработки. Это та же форма на портале, забытые изменения - типичное замечание при проверке.

Таблица: категории данных отеля

Частые ошибки

1. «Мы маленькие, нас не касается» - размер не критерий; критерий - обработка ПДн.
2. Считать уведомление разрешением и ждать «одобрения» перед началом работы.
3. Не указать обработчиков: PMS и облачные сервисы, которым вы поручаете обработку, оформляются договором поручения - отношения с ними должны быть отражены.
4. Забыть локализацию: база гостей на зарубежном сервере - самостоятельное нарушение.
5. Указать сайт, которого нет, или не указать реально работающий сайт со формами сбора данных.
6. Подать и забыть: изменения не уведомляются годами.
7. Верить, что запись в реестре = соблюдение закона. Это только первый шаг; документы, согласия и режим доступа - следующая статья серии.

Как здесь помогает PMS

PMS - ваш главный «информационная система персональных данных» из уведомления, поэтому выбирайте её осознанно: в bpop данные хранятся на серверах в России, доступ сотрудников разграничен ролями, раскрытие номеров документов фиксируется в журнале - эти факты вы прямо используете при заполнении разделов о системах и мерах защиты. Что остаётся человеку: назначить ответственного приказом, честно описать цели и поддерживать уведомление актуальным.

Чек-лист

• Проверить организацию в реестре операторов по ИНН.
• Назначить приказом ответственного за обработку ПДн.
• Выписать цели, категории субъектов и данных, основания.
• Уточнить у PMS и облачных сервисов страну хранения данных; оформить поручения обработки.
• Подать уведомление через ЕСИА; сохранить номер.
• Убедиться в появлении записи в публичном реестре.
• Внести в календарь правило: изменения - повод обновить уведомление.

Источники

Проверено 02.08.2026:

• Портал Роскомнадзора по персональным данным: реестр операторов и формы уведомлений - pd.rkn.gov.ru
• Роскомнадзор - rkn.gov.ru
• 152-ФЗ «О персональных данных», действующая редакция - pravo.gov.ru
• Госуслуги (ЕСИА) - gosuslugi.ru

Требования закона отделены от рекомендаций автора. Уведомление - необходимый, но не достаточный элемент соблюдения 152-ФЗ.