Как правильно брать согласие на обработку персональных данных у гостя

Коротко: для большей части работы с данными гостя согласие не нужно вовсе. Бронирование, заселение, счёт, договор, уведомление МВД — всё это объект делает на основании договора с гостем и прямых обязанностей, возложенных законом (пункты 5 и 2 части 1 статьи 6 закона № 152-ФЗ «О персональных данных»). Согласие требуется только там, где нет ни договора, ни обязанности: рекламные рассылки, публикация фотографий и отзывов, сведения о здоровье, биометрия.

При этом с 1 сентября 2025 года изменилось главное правило оформления. Согласие на обработку персональных данных оформляется отдельно от любых других документов, которые гость подписывает или подтверждает, — так теперь сформулирована часть 1 статьи 9 закона № 152-ФЗ (поправка внесена законом от 24.06.2025 № 156-ФЗ). Пункт «подписывая договор, даю согласие на обработку…» внутри договора, анкеты или регистрационной карты больше не работает: обработка по такому «вшитому» согласию приравнивается к обработке без надлежащего согласия, а это по части 2 статьи 13.11 КоАП до 700 тысяч рублей штрафа юридическому лицу.

Перестройка стойки сводится к трём действиям: убрать согласие из договора и анкеты, завести отдельную форму под каждую цель, которой согласие действительно требуется, и научить смену не требовать подпись там, где она не нужна. Разбираем по шагам.

Кому относится

Всем, кто размещает гостей и ведёт их данные: гостиницам, апарт-отелям, хостелам, базам отдыха, кемпингам, глэмпингам, санаториям и посуточным квартирам. Форма ведения бизнеса не важна: оператором персональных данных являются и юридическое лицо, и ИП, и самозанятый собственник одной квартиры. Зоогостиниц это тоже касается: паспортные данные и телефоны владельцев питомцев — такие же персональные данные, как и данные гостей отеля.

Материал — про согласие гостя. Согласия сотрудников закон № 156-ФЗ поменял точно так же (отдельный документ вместо пункта в трудовом договоре), но кадровые формы здесь не разбираем.

Что можно делать без согласия

У обработки персональных данных шесть законных оснований, и согласие — лишь одно из них. Для повседневной работы объекта важны два других.

Исполнение договора (пункт 5 части 1 статьи 6 закона № 152-ФЗ). Гость — сторона договора о предоставлении гостиничных услуг, поэтому всё, что нужно для его исполнения, делается без согласия: приём брони, переписка о заезде, оформление заселения, счёт, кассовый чек, взыскание задолженности.

Обязанность, возложенная законом (пункт 2 части 1 статьи 6 закона № 152-ФЗ). Идентифицировать гостя по документу требуют пункты 18–22 Правил предоставления гостиничных услуг № 1912; передавать сведения в МВД — законодательство о миграционном и регистрационном учёте; хранить первичные документы — налоговое и бухгалтерское законодательство. Подпись гостя под «согласием на передачу данных в МВД» ничего не добавляет: вы обязаны передать сведения независимо от его мнения.

Отсюда практическое правило: не берите согласие там, где обработка и так законна. Лишняя форма не подстраховывает, а вредит: подписав согласие, вы сами заявили его основанием обработки, и отзыв согласия гостем породит спор на ровном месте — хотя по договору и закону вы могли работать спокойно.

Когда согласие обязательно — и какое

Сверьте свои процессы с таблицей: в первой колонке — типичная ситуация, во второй — какое согласие нужно.

Три пояснения к таблице. Рассылка: статья 15 закона № 152-ФЗ требует предварительного согласия на обработку данных в целях продвижения услуг, а статья 18 закона «О рекламе» — согласия на саму доставку рекламы по СМС, почте и телефону; доказывать наличие обоих будете вы. Публикация: согласие на распространение по статье 10.1 — само по себе отдельный документ с требованиями Роскомнадзора к содержанию, общее согласие его не заменяет. Биометрия: письменное согласие нужно для собственных систем — распознавания лиц в СКУД, фотофиксации на стойке; заселение через Единую биометрическую систему идёт по своим правилам, мы разбирали его в статье о заселении по водительскому удостоверению и биометрии.

Сведения о здоровье — самая недооценённая строка. Поле «аллергия на перо» в карточке гостя или анкета санатория о диагнозах — это специальные категории данных, и без письменного согласия их собирать нельзя, даже если вы спрашивали из лучших побуждений.

Как перестроить стойку: пять шагов

Шаг 1. Проведите ревизию точек сбора данных. Пройдите путь гостя и выпишите, где и что вы собираете: модуль бронирования на сайте, телефон, мессенджеры, стойка, анкета онлайн-заезда, книга отзывов, камеры. По каждой точке ответьте на один вопрос: зачем эти данные? Цели «для договора» и «по закону» согласия не требуют; всё остальное — кандидаты на отдельную форму. Результат шага — короткий список целей, которым согласие действительно нужно. У небольшого объекта их обычно две-три: рассылка, публикация фото и отзывов, изредка — здоровье.

Шаг 2. Вычистите договор и анкету. Уберите из договора, анкеты гостя и регистрационной карты пункты вида «подписывая, даю согласие на обработку персональных данных». Информационная часть при этом остаётся: уведомить гостя о том, как вы обрабатываете данные, и опубликовать политику обработки — ваша обязанность по статье 18.1, но уведомление — не согласие, подпись под ним не нужна.

Шаг 3. Составьте отдельные формы — по одной на цель. Форма не должна быть частью другого документа ни физически, ни по смыслу. Для письменного согласия часть 4 статьи 9 требует девяти элементов: ФИО и адрес гостя, реквизиты его паспорта, наименование и адрес вашего объекта, цель обработки, перечень данных, перечень действий с ними, лицо, которому поручена обработка (если есть), срок действия и способ отзыва, подпись. Согласие должно быть конкретным и однозначным: одна форма «на всё сразу» с десятью целями этому требованию не отвечает, и отзыв такой бумаги остановит сразу всё. Форма может быть электронной: галочка в анкете онлайн-заезда с полным текстом согласия — законный способ, если галочка не проставлена заранее.

Шаг 4. Обучите смену. Два правила для администратора. Первое: согласие добровольно, и отказ гостя подписать форму рассылки никак не влияет на заселение — отказывать в услуге из-за отказа предоставить данные запрещает статья 16 закона «О защите прав потребителей», штраф по части 2.2 статьи 14.8 КоАП — 30–50 тысяч рублей юрлицу. Второе: подпись собирается до начала обработки, а не после — «пришлём подтверждение, а заодно подпишетесь» не работает для рекламных сообщений.

Шаг 5. Организуйте хранение и отзыв. Доказывать, что согласие было, обязан оператор (часть 3 статьи 9), поэтому подписанные формы и электронные отметки нужно хранить упорядоченно: кто, когда, на какую цель. Пропишите порядок отзыва там же, где обещали его в форме: гость отозвал согласие — обработку по этой цели прекращают, а данные, которые больше не на чем обрабатывать, уничтожают в срок до 30 дней (часть 5 статьи 21).

Чем рискует объект

Штрафы за нарушения вокруг согласия складываются из нескольких составов КоАП — ориентируйтесь по таблице.

ИП по частям 1 и 2 статьи 13.11 отвечает как должностное лицо (до 100 и до 300 тысяч рублей соответственно), но при повторном нарушении по части 2.1 для ИП установлена отдельная вилка — 500 тысяч — 1 миллион рублей. Часть 2 статьи 13.11 наказывает не только за отсутствие письменного согласия, но и за форму с неполным составом сведений — девять элементов из шага 3 проверяются буквально.

Частые ошибки

• Согласие пунктом договора или анкеты. До сентября 2025 года это было плохой практикой, теперь — прямое нарушение части 1 статьи 9. Последствие: обработка по такому согласию считается обработкой без согласия, для письменных случаев — 300–700 тысяч рублей.
• Одна форма «на всё»: рассылки, фото, передача партнёрам и «иные цели». Согласие перестаёт быть конкретным; при споре форма не защитит ни одну из целей, а отзыв остановит всё сразу.
• Отказ заселять без подписи. Администратор «для порядка» не отдаёт ключ, пока гость не подпишет согласие на рассылку. Это состав части 2.2 статьи 14.8 КоАП и готовая жалоба в Роспотребнадзор.
• Согласия «на всякий случай» там, где работает договор. Вы добровольно создали себе обязанность реагировать на отзыв и запутали основания обработки — проверяющий спросит, зачем согласие, если ссылаетесь на договор.
• Заранее проставленная галочка в форме брони. Согласие должно быть однозначным действием гостя; предотмеченная галочка и «молчаливое согласие» не работают.
• Копия паспорта «в архив» без внятной цели. Для договора и уведомления МВД достаточно сведений из документа; хранение копий сверх нужного — избыточная обработка по части 1 статьи 13.11.
• Согласия собраны, но не найти. Рассылка идёт по базе за пять лет, а кто и когда подписался — неизвестно. При жалобе бремя доказывания на вас: нет бумаги или отметки — нет согласия.

Как автоматизировать

PMS (система управления объектом) наводит порядок в данных, на которых всё это держится. В bpop карточка гостя хранит контакты, документы и историю проживания без дублей, при онлайн-заезде гость вносит данные сам до приезда, а договор, регистрационные документы и уведомления МВД формируются по шаблонам с автоподстановкой полей — свой шаблон, например бланк согласия с реквизитами гостя, можно добавить рядом с договором. Данные хранятся в России, как требует статья 18 закона № 152-ФЗ, доступ сотрудников ограничен ролями, а выгрузка в Excel помогает свериться, по кому из базы согласие на рассылку есть.

Честная граница: решить, для каких целей вашему объекту нужно согласие, и составить юридически корректный текст форм PMS за вас не может — это разовая работа с юристом или самостоятельная, по этой статье. Сервисной рассылки маркетинговых кампаний в bpop тоже нет: система шлёт гостю сообщения по брони, а рекламу вы отправляете своими инструментами — и именно на неё собираете согласие.

Частые вопросы

Гость отказался подписывать согласие. Можно отказать в заселении? Нет. Для заселения согласие не нужно вообще, а отказ в услуге из-за отказа предоставить необязательные данные — административное нарушение. Просто заселяйте без рассылки.

Действительны ли согласия, собранные до 1 сентября 2025 года пунктом в договоре? Прямой нормы о переоформлении в законе № 156-ФЗ нет, поправка действует на будущее. Но доказать при проверке, что старое «вшитое» согласие было конкретным и однозначным, трудно. Для рекламной базы надёжнее собрать согласия заново отдельной формой — например, при следующем контакте с гостем.

Можно ли брать согласие электронно, без бумаги? Да. Галочка с полным текстом согласия в анкете онлайн-заезда или на сайте — законный способ для простой формы согласия. Там, где закон требует письменной формы (здоровье, биометрия, распространение), электронный документ должен быть подписан электронной подписью — на практике проще собрать подпись на бумаге при заезде.

На какой срок действует согласие? На тот, который вы сами указали в форме, — это обязательный элемент. Можно указать «до отзыва». Гость вправе отозвать согласие в любой момент, и на этот случай в форме описывается способ отзыва.

Итоговый чек-лист

• В договоре, анкете и регистрационной карте нет пунктов о согласии на обработку данных.
• Составлен список целей, которым согласие действительно нужно; для договора и МВД согласие не собирается.
• На каждую цель — отдельная форма; письменные формы содержат все девять элементов части 4 статьи 9.
• Галочки в онлайн-формах не проставлены заранее; текст согласия виден до подтверждения.
• Смена знает: отказ подписать — не повод отказать в заселении.
• Подписанные согласия и электронные отметки хранятся упорядоченно, порядок отзыва работает.
• Политика обработки опубликована, уведомление в Роскомнадзор подано, остальной комплект документов сверен со статьёй о документах отеля по персональным данным.

Источники

Проверено 01.09.2026:

• Федеральный закон от 27.07.2006 № 152-ФЗ, статья 9 — согласие отдельно от иных документов (редакция закона от 24.06.2025 № 156-ФЗ, действует с 01.09.2025), состав письменного согласия.
• Федеральный закон от 24.06.2025 № 156-ФЗ — поправки о раздельном оформлении согласия.
• Федеральный закон от 27.07.2006 № 152-ФЗ, статья 6 — основания обработки без согласия: договор и обязанность по закону.
• КоАП РФ, статья 13.11 — штрафы за обработку без согласия и с нарушением состава сведений.
• КоАП РФ, статья 14.8 — часть 2.2, отказ в договоре из-за отказа предоставить данные.
• КоАП РФ, статья 14.3 — часть 4.1, реклама по сетям электросвязи без согласия.
• Портал персональных данных Роскомнадзора — формы уведомлений, требования к согласию на распространение (приказ Роскомнадзора от 24.02.2021 № 18).
• Постановление Правительства от 27.11.2025 № 1912 — Правила предоставления гостиничных услуг, пункты 18–22 об идентификации гостя.