Сколько хранить данные гостей и как их уничтожать: 30 дней после цели и что делать, если не получается

Гостиница собирает много данных: паспорт, регистрационную карточку, номер телефона, почту, данные для оплаты, иногда фото в камере. Каждый из этих наборов когда-то становится ненужным. Гость выехал, спор закрыт, цель обработки достигнута. А данные остаются в ящике стола, в программе и в почте, и через год никто не помнит, зачем они там лежат. Это и есть риск: данные, которые не нужны, но хранятся, сами становятся проблемой при утечке или проверке.

Закон о персональных данных прямо говорит, что делать, когда цель обработки достигнута. Разберём, что он требует, в какой срок, какие есть исключения и что делать на практике.

Кому подходит статья

Владельцам и управляющим гостиниц, мини-отелей и гостевых домов, которые собирают данные гостей при заселении и бронировании и не знают, когда их уничтожать.

Короткий ответ

Когда цель обработки достигнута, гостиница обязана прекратить обработку и уничтожить данные в срок, не превышающий 30 дней. Исключения есть: иное предусмотрено договором, где гость сторона, или соглашением с ним, или законом, требующим хранения. Если уничтожить данные в эти сроки нельзя, их блокируют и уничтожают не позднее 6 месяцев, если закон не устанавливает иного срока. На практике это значит: сначала определите, какие данные к какой цели относятся, и поставьте им срок.

Что говорит закон

Статья 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (по тексту на zakonrf.info) устанавливает три правила, которые важны для гостиницы.

Первое. Часть 4: при достижении цели обработки оператор прекращает обработку или обеспечивает её прекращение и уничтожает данные или обеспечивает их уничтожение в срок, не превышающий 30 дней с даты достижения цели. Срок один, и он короткий.

Второе. Часть 4 также содержит исключения: иное предусмотрено договором, стороной которого, выгодоприобретателем или поручителем является субъект данных; иное установлено соглашением между оператором и гостем; или оператор не вправе продолжать обработку без согласия гостя по основаниям, которые дают закон или другие федеральные законы. То есть если закон велит хранить документы определённое время, данные хранятся, но только в этой части, а не вечно.

Третье. Часть 6: если уничтожить данные в сроки, установленные частями 3-5.1, невозможно, оператор блокирует их и уничтожает не позднее 6 месяцев, если федеральный закон не устанавливает иной срок. Это правило для ситуаций, когда технически данные нельзя удалить сразу, например они лежат в резервной копии.

Тонкость: в текстах комментариев встречается мнение, что при достижении цели возможно обезличивание. Оно прямо не совпадает с частью 4 статьи 21, поэтому обезличивание как способ вместо уничтожения лучше обсудить с юристом, а не применять как правило.

Шаг 1. Разложите данные по целям

Сначала выпишите все категории данных гостя и цель каждой. Пример для гостиницы:

• паспорт и данные для регистрации: цель - исполнить обязанность по регистрации гостя; срок определяется законом о регистрации и миграционном учёте, а не 30 днями по умолчанию;
• данные брони и оплаты: цель - исполнить договор и бухгалтерский учёт; срок определяется договором и требованиями учёта;
• номер телефона и почта для связи: цель - связаться до заезда и после выезда по спорным вопросам; срок - разумный, по договору;
• фото с камеры видеонаблюдения, если она есть: отдельная тема, см. статью про видеонаблюдение в отеле.

Для каждой строки запишите, что именно закон или договор требует хранить и до какого момента. Всё остальное подпадает под общее правило: 30 дней после достижения цели.

Шаг 2. Определите, когда цель достигнута

Цель обычно достигается в один из моментов: выезд гостя и закрытие расчётов, окончание срока претензий по договору, окончание срока, который требует закон. Зафиксируйте этот момент в программе или в журнале, иначе отсчёт 30 дней не виден. Удобно вести один журнал уничтожения: дата достижения цели, категория данных, дата уничтожения, кто провёл, как подтверждено.

Шаг 3. Уничтожайте так, чтобы восстановить было нельзя

Закон требует, чтобы данные нельзя было восстановить в информационной системе и носители ликвидировались. Документально подтверждайте, что уничтожение произошло: по требованиям Роскомнадзора, которые действуют с 1 марта 2023 года (приказ от 28.10.2022 № 179, по данным открытых источников; проверьте актуальную редакцию), факт уничтожения нужно оформить документом.

На практике это означает: удаление из программы с очисткой резервных копий в разумный срок, уничтожение бумажных карточек шредером с актом, очистка почтовых ящиков и папок с выгрузками.

Шаг 4. Что делать, если уничтожить нельзя сразу

Если данные лежат в резервной копии, которую нельзя удалить точечно, их блокируют: закрывают доступ сотрудникам, не используют и уничтожают в ближайшей плановой очистке, но не позднее 6 месяцев. Блокировку тоже фиксируйте в журнале.

Частые ошибки

1. Данные хранятся вечно «на всякий случай». Закон такого основания не даёт, а при утечке отвечает оператор.
2. Один срок на все данные. Паспорт для регистрации и телефон для связи хранятся по разным основаниям.
3. Отсчёт 30 дней не зафиксирован. Невозможно доказать, когда цель была достигнута.
4. Уничтожение без подтверждения. Документы не подтверждают, что данные удалены.
5. Копии в почте и на телефонах сотрудников. Они остаются вне программы и вне контроля.
6. Резервные копии игнорируются. Данные живут в них годами.

Как здесь помогает bpop

В bpop персональные данные гостей ведутся в карточке брони и в переписке, а не в отдельных таблицах на стойке, что упрощает поиск и удаление. Но сроки хранения и порядок уничтожения в руководстве пользователя как функция не описаны: их нужно настроить через журнал уничтожения вне системы или уточнить у разработчика. Законные основания хранения и сроки по каждой категории определяет владелец вместе с юристом.

Часто задаваемые вопросы

Нужно ли уничтожать паспортные данные через 30 дней после выезда? Не обязательно: если закон о регистрации требует хранить их дольше, исключение из части 4 статьи 21 применяется. Но после истечения этого срока данные уничтожаются, а не остаются навсегда.

Что делать, если гость просит удалить его данные? Проверьте, есть ли основание для хранения. Если основания нет, уничтожьте данные в срок 30 дней и подтвердите гостю. Если основание есть, объясните, какой закон требует хранения.

Относится ли это к данным сотрудников? Это отдельный вопрос: данные работников хранятся по трудовому законодательству, а не по правилам для гостей. Не смешивайте эти базы.

Итоговый чек-лист

• Данные гостя разложены по категориям и целям.
• Для каждой категории определено основание и срок хранения.
• Момент достижения цели фиксируется в журнале.
• Уничтожение происходит в 30 дней, исключения записаны.
• Резервные копии учтены, блокировка фиксируется.
• Уничтожение подтверждается документом.
• Данные сотрудников хранятся отдельно.

Что почитать дальше

Как взять согласие на обработку данных, разобрано в статье Как правильно брать согласие на обработку персональных данных у гостя. Что делать при утечке, описано в статье Утечка данных гостей: что делать в первые 24 и 72 часа. Видеонаблюдение и сроки хранения записей разобраны в статье Видеонаблюдение в отеле и закон: где ставить камеры, сколько хранить записи и кому их выдавать.

Источники и проверка

• Федеральный закон от 27.07.2006 № 152-ФЗ, статья 21, части 4 и 6 (по тексту на zakonrf.info; сверить с pravo.gov.ru).
• Приказ Роскомнадзора от 28.10.2022 № 179 о подтверждении уничтожения данных (по открытым источникам; актуальную редакцию сверить).
• Закон о регистрации и миграционном учёте, сроки хранения по которым определяются отдельно, проверить по актуальным текстам.

Дата проверки: 20.10.2026.