Персональные данные

Если на сайте отеля стоит Яндекс Метрика, форма бронирования или чат, вы оператор персональных данных. Разбираем, какие cookie работают без согласия, почему баннер без кнопки отказа не защищает, как с 01.09.2025 оформлять согласие отдельной галочкой, чем опасны Google Forms и Google Analytics и какие штрафы по ст. 13.11 КоАП грозят с 30.05.2025. Шесть шагов, чтобы проверить сайт за вечер.

Камеры в гостинице обязательны: постановление № 447 требует систему видеонаблюдения и архив 30 дней от всех средств размещения, иначе штраф до 500 тыс. ₽. При этом запись гостя - его персональные данные: съёмка в холле законна только при табличках и правильных документах, а камера в номере - уголовная статья. Разбираем, какие зоны снимать можно, что написать в положении и уведомлении Роскомнадзору, почему архив нельзя держать в зарубежном облаке и как выдавать записи полиции и гостю.

Для заселения, договора и уведомления МВД согласие гостя не нужно - эта обработка законна по договору и прямой обязанности. Согласие требуется для рассылок, публикации фото и отзывов, сведений о здоровье и биометрии, и с 1 сентября 2025 года оно оформляется только отдельно от документов, которые гость подписывает: пункт в договоре или анкете больше не работает, штраф - до 700 тысяч рублей. Разбираем, где согласие нужно, состав формы и пять шагов перестройки стойки.

Модуль бронирования пишет данные гостя на сервер за границей? С 1 июля 2025 года это прямое нарушение: собирать персональные данные граждан РФ можно только в базы на территории России, штраф юрлицу и ИП - 1-6 млн рублей. Сами зарубежные сервисы не запрещены: уже собранные в России данные можно передавать за рубеж, уведомив Роскомнадзор до начала передачи. Разбираем, как за день проверить связку PMS, канал-менеджера и сайта и что изменил закон № 265-ФЗ в июле 2026 года.

Данные гостей ушли на сторону - переслали список не тому адресату, взломали почту, сотрудник унёс базу? У вас 24 часа с момента выявления, чтобы уведомить Роскомнадзор о факте утечки через портал pd.rkn.gov.ru, и 72 часа - на результаты внутреннего расследования. За молчание - штраф 1-3 млн рублей по части 11 статьи 13.11 КоАП, утечка сведений о здоровье - 10-15 млн без порога по числу гостей. Разбираем, что успеть в первые сутки, как оформить расследование и какие ошибки стоят дороже всего.

Защита данных гостей держится на четырёх вещах: у каждого сотрудника личная учётная запись с правами по роли; чувствительные поля вроде номеров документов закрыты отдельным правом, а их раскрытие журналируется; система ведёт журнал действий; резервные копии существуют и проверены восстановлением. Пятая опора - дисциплина вне системы: паспорта не пересылают в мессенджерах. Excel не проходит ни один из четырёх пунктов. С таблицей проверки вашей системы.

Уведомление Роскомнадзора - только вход в тему: при проверке смотрят пакет внутренних документов. Минимальный комплект отеля - политика обработки данных, согласия гостей отдельно на обработку и на рассылки, приказ об ответственном, перечень допущенных сотрудников, договоры поручения с PMS и другими обработчиками, сроки хранения и порядок действий при утечке. Разбираем каждый документ и главное различие: где основанием служит договор и закон, а где нужно добровольное согласие.

Любое средство размещения - оператор персональных данных: вы собираете паспортные данные для заселения и передаёте сведения в МВД, а значит обязаны уведомить Роскомнадзор до начала обработки. Это информирование, а не разрешение: одобрения ждать не нужно, подача бесплатна и делается онлайн через Госуслуги. Разбираем по шагам, как проверить себя в публичном реестре операторов, какие цели и категории данных указать, что писать про локализацию баз и когда сведения нужно обновлять.