Как правильно брать согласие на обработку персональных данных у гостя
Коротко: для большей части работы с данными гостя согласие не нужно вовсе. Бронирование, заселение, счёт, договор, уведомление МВД - всё это объект делает на основании договора с гостем и прямых обязанностей, возложенных законом (пункты 5 и 2 части 1 статьи 6 закона № 152-ФЗ «О персональных данных»). Согласие требуется только там, где нет ни договора, ни обязанности: рекламные рассылки, публикация фотографий и отзывов, сведения о здоровье, биометрия.
При этом с 1 сентября 2025 года изменилось главное правило оформления. Согласие на обработку персональных данных оформляется отдельно от любых других документов, которые гость подписывает или подтверждает, - так теперь сформулирована часть 1 статьи 9 закона № 152-ФЗ (поправка внесена законом от 24.06.2025 № 156-ФЗ). Пункт «подписывая договор, даю согласие на обработку…» внутри договора, анкеты или регистрационной карты больше не работает: обработка по такому «вшитому» согласию приравнивается к обработке без надлежащего согласия, а это по части 2 статьи 13.11 КоАП до 700 тысяч рублей штрафа юридическому лицу.
Перестройка стойки сводится к трём действиям: убрать согласие из договора и анкеты, завести отдельную форму под каждую цель, которой согласие действительно требуется, и научить смену не требовать подпись там, где она не нужна. Разбираем по шагам.
Кому относится
Всем, кто размещает гостей и ведёт их данные: гостиницам, апарт-отелям, хостелам, базам отдыха, кемпингам, глэмпингам, санаториям и посуточным квартирам. Форма ведения бизнеса не важна: оператором персональных данных являются и юридическое лицо, и ИП, и самозанятый собственник одной квартиры. Зоогостиниц это тоже касается: паспортные данные и телефоны владельцев питомцев - такие же персональные данные, как и данные гостей отеля.
Материал - про согласие гостя. Согласия сотрудников закон № 156-ФЗ поменял точно так же (отдельный документ вместо пункта в трудовом договоре), но кадровые формы здесь не разбираем.
Что можно делать без согласия
У обработки персональных данных шесть законных оснований, и согласие - лишь одно из них. Для повседневной работы объекта важны два других.
Исполнение договора (пункт 5 части 1 статьи 6 закона № 152-ФЗ). Гость - сторона договора о предоставлении гостиничных услуг, поэтому всё, что нужно для его исполнения, делается без согласия: приём брони, переписка о заезде, оформление заселения, счёт, кассовый чек, взыскание задолженности.
Обязанность, возложенная законом (пункт 2 части 1 статьи 6 закона № 152-ФЗ). Идентифицировать гостя по документу требуют пункты 18-22 Правил предоставления гостиничных услуг № 1912; передавать сведения в МВД - законодательство о миграционном и регистрационном учёте; хранить первичные документы - налоговое и бухгалтерское законодательство. Подпись гостя под «согласием на передачу данных в МВД» ничего не добавляет: вы обязаны передать сведения независимо от его мнения.
Отсюда практическое правило: не берите согласие там, где обработка и так законна. Лишняя форма не подстраховывает, а вредит: подписав согласие, вы сами заявили его основанием обработки, и отзыв согласия гостем породит спор на ровном месте - хотя по договору и закону вы могли работать спокойно.
Когда согласие обязательно - и какое
Сверьте свои процессы с таблицей: в первой колонке - типичная ситуация, во второй - какое согласие нужно.
| Ситуация | Согласие | Норма 152-ФЗ |
|---|---|---|
| Заселение, счёт, договор | не нужно | п. 5 ч. 1 ст. 6 |
| Уведомление МВД, регистрация | не нужно | п. 2 ч. 1 ст. 6 |
| Рекламная рассылка, обзвон | нужно, заранее | ст. 15 |
| Фото или отзыв гостя в соцсетях | отдельное, на распространение | ст. 10.1 |
| Здоровье: аллергии, диета, диагноз | письменное | ч. 2 ст. 10 |
| Биометрия в своей системе | письменное | ст. 11 |
Три пояснения к таблице. Рассылка: статья 15 закона № 152-ФЗ требует предварительного согласия на обработку данных в целях продвижения услуг, а статья 18 закона «О рекламе» - согласия на саму доставку рекламы по СМС, почте и телефону; доказывать наличие обоих будете вы. Публикация: согласие на распространение по статье 10.1 - само по себе отдельный документ с требованиями Роскомнадзора к содержанию, общее согласие его не заменяет. Биометрия: письменное согласие нужно для собственных систем - распознавания лиц в СКУД, фотофиксации на стойке; заселение через Единую биометрическую систему идёт по своим правилам, мы разбирали его в статье о заселении по водительскому удостоверению и биометрии.
Сведения о здоровье - самая недооценённая строка. Поле «аллергия на перо» в карточке гостя или анкета санатория о диагнозах - это специальные категории данных, и без письменного согласия их собирать нельзя, даже если вы спрашивали из лучших побуждений.
Как перестроить стойку: пять шагов
Шаг 1. Проведите ревизию точек сбора данных. Пройдите путь гостя и выпишите, где и что вы собираете: модуль бронирования на сайте, телефон, мессенджеры, стойка, анкета онлайн-заезда, книга отзывов, камеры. По каждой точке ответьте на один вопрос: зачем эти данные? Цели «для договора» и «по закону» согласия не требуют; всё остальное - кандидаты на отдельную форму. Результат шага - короткий список целей, которым согласие действительно нужно. У небольшого объекта их обычно две-три: рассылка, публикация фото и отзывов, изредка - здоровье.
Шаг 2. Вычистите договор и анкету. Уберите из договора, анкеты гостя и регистрационной карты пункты вида «подписывая, даю согласие на обработку персональных данных». Информационная часть при этом остаётся: уведомить гостя о том, как вы обрабатываете данные, и опубликовать политику обработки - ваша обязанность по статье 18.1, но уведомление - не согласие, подпись под ним не нужна.
Шаг 3. Составьте отдельные формы - по одной на цель. Форма не должна быть частью другого документа ни физически, ни по смыслу. Для письменного согласия часть 4 статьи 9 требует девяти элементов: ФИО и адрес гостя, реквизиты его паспорта, наименование и адрес вашего объекта, цель обработки, перечень данных, перечень действий с ними, лицо, которому поручена обработка (если есть), срок действия и способ отзыва, подпись. Согласие должно быть конкретным и однозначным: одна форма «на всё сразу» с десятью целями этому требованию не отвечает, и отзыв такой бумаги остановит сразу всё. Форма может быть электронной: галочка в анкете онлайн-заезда с полным текстом согласия - законный способ, если галочка не проставлена заранее.
Шаг 4. Обучите смену. Два правила для администратора. Первое: согласие добровольно, и отказ гостя подписать форму рассылки никак не влияет на заселение - отказывать в услуге из-за отказа предоставить данные запрещает статья 16 закона «О защите прав потребителей», штраф по части 2.2 статьи 14.8 КоАП - 30-50 тысяч рублей юрлицу. Второе: подпись собирается до начала обработки, а не после - «пришлём подтверждение, а заодно подпишетесь» не работает для рекламных сообщений.
Шаг 5. Организуйте хранение и отзыв. Доказывать, что согласие было, обязан оператор (часть 3 статьи 9), поэтому подписанные формы и электронные отметки нужно хранить упорядоченно: кто, когда, на какую цель. Пропишите порядок отзыва там же, где обещали его в форме: гость отозвал согласие - обработку по этой цели прекращают, а данные, которые больше не на чем обрабатывать, уничтожают в срок до 30 дней (часть 5 статьи 21).
Чем рискует объект
Штрафы за нарушения вокруг согласия складываются из нескольких составов КоАП - ориентируйтесь по таблице.
| Нарушение | Статья КоАП | Юрлицу, тыс. ₽ |
|---|---|---|
| Обработка без письменного согласия | ч. 2 ст. 13.11 | 300-700 |
| То же повторно | ч. 2.1 ст. 13.11 | 1 000-1 500 |
| Обработка вне заявленных целей | ч. 1 ст. 13.11 | 150-300 |
| Реклама по СМС и звонкам без согласия | ч. 4.1 ст. 14.3 | 300-1 000 |
| Отказ в услуге за отказ дать данные | ч. 2.2 ст. 14.8 | 30-50 |
ИП по частям 1 и 2 статьи 13.11 отвечает как должностное лицо (до 100 и до 300 тысяч рублей соответственно), но при повторном нарушении по части 2.1 для ИП установлена отдельная вилка - 500 тысяч - 1 миллион рублей. Часть 2 статьи 13.11 наказывает не только за отсутствие письменного согласия, но и за форму с неполным составом сведений - девять элементов из шага 3 проверяются буквально.
Частые ошибки
- Согласие пунктом договора или анкеты. До сентября 2025 года это было плохой практикой, теперь - прямое нарушение части 1 статьи 9. Последствие: обработка по такому согласию считается обработкой без согласия, для письменных случаев - 300-700 тысяч рублей.
- Одна форма «на всё»: рассылки, фото, передача партнёрам и «иные цели». Согласие перестаёт быть конкретным; при споре форма не защитит ни одну из целей, а отзыв остановит всё сразу.
- Отказ заселять без подписи. Администратор «для порядка» не отдаёт ключ, пока гость не подпишет согласие на рассылку. Это состав части 2.2 статьи 14.8 КоАП и готовая жалоба в Роспотребнадзор.
- Согласия «на всякий случай» там, где работает договор. Вы добровольно создали себе обязанность реагировать на отзыв и запутали основания обработки - проверяющий спросит, зачем согласие, если ссылаетесь на договор.
- Заранее проставленная галочка в форме брони. Согласие должно быть однозначным действием гостя; предотмеченная галочка и «молчаливое согласие» не работают.
- Копия паспорта «в архив» без внятной цели. Для договора и уведомления МВД достаточно сведений из документа; хранение копий сверх нужного - избыточная обработка по части 1 статьи 13.11.
- Согласия собраны, но не найти. Рассылка идёт по базе за пять лет, а кто и когда подписался - неизвестно. При жалобе бремя доказывания на вас: нет бумаги или отметки - нет согласия.
Как автоматизировать
PMS (система управления объектом) наводит порядок в данных, на которых всё это держится. В bpop карточка гостя хранит контакты, документы и историю проживания без дублей, при онлайн-заезде гость вносит данные сам до приезда, а договор, регистрационные документы и уведомления МВД формируются по шаблонам с автоподстановкой полей - свой шаблон, например бланк согласия с реквизитами гостя, можно добавить рядом с договором. Данные хранятся в России, как требует статья 18 закона № 152-ФЗ, доступ сотрудников ограничен ролями, а выгрузка в Excel помогает свериться, по кому из базы согласие на рассылку есть.
Честная граница: решить, для каких целей вашему объекту нужно согласие, и составить юридически корректный текст форм PMS за вас не может - это разовая работа с юристом или самостоятельная, по этой статье. Сервисной рассылки маркетинговых кампаний в bpop тоже нет: система шлёт гостю сообщения по брони, а рекламу вы отправляете своими инструментами - и именно на неё собираете согласие.
Итоговый чек-лист
- В договоре, анкете и регистрационной карте нет пунктов о согласии на обработку данных.
- Составлен список целей, которым согласие действительно нужно; для договора и МВД согласие не собирается.
- На каждую цель - отдельная форма; письменные формы содержат все девять элементов части 4 статьи 9.
- Галочки в онлайн-формах не проставлены заранее; текст согласия виден до подтверждения.
- Смена знает: отказ подписать - не повод отказать в заселении.
- Подписанные согласия и электронные отметки хранятся упорядоченно, порядок отзыва работает.
- Политика обработки опубликована, уведомление в Роскомнадзор подано, остальной комплект документов сверен со статьёй о документах отеля по персональным данным.
Источники
Проверено 01.09.2026:
- Федеральный закон от 27.07.2006 № 152-ФЗ, статья 9 - согласие отдельно от иных документов (редакция закона от 24.06.2025 № 156-ФЗ, действует с 01.09.2025), состав письменного согласия.
- Федеральный закон от 24.06.2025 № 156-ФЗ - поправки о раздельном оформлении согласия.
- Федеральный закон от 27.07.2006 № 152-ФЗ, статья 6 - основания обработки без согласия: договор и обязанность по закону.
- КоАП РФ, статья 13.11 - штрафы за обработку без согласия и с нарушением состава сведений.
- КоАП РФ, статья 14.8 - часть 2.2, отказ в договоре из-за отказа предоставить данные.
- КоАП РФ, статья 14.3 - часть 4.1, реклама по сетям электросвязи без согласия.
- Портал персональных данных Роскомнадзора - формы уведомлений, требования к согласию на распространение (приказ Роскомнадзора от 24.02.2021 № 18).
- Постановление Правительства от 27.11.2025 № 1912 - Правила предоставления гостиничных услуг, пункты 18-22 об идентификации гостя.
Частые вопросы
Гость отказался подписывать согласие. Можно отказать в заселении?
Нет. Для заселения согласие не нужно вообще, а отказ в услуге из-за отказа предоставить необязательные данные - административное нарушение. Просто заселяйте без рассылки.
Действительны ли согласия, собранные до 1 сентября 2025 года пунктом в договоре?
Прямой нормы о переоформлении в законе № 156-ФЗ нет, поправка действует на будущее. Но доказать при проверке, что старое «вшитое» согласие было конкретным и однозначным, трудно. Для рекламной базы надёжнее собрать согласия заново отдельной формой - например, при следующем контакте с гостем.
Можно ли брать согласие электронно, без бумаги?
Да. Галочка с полным текстом согласия в анкете онлайн-заезда или на сайте - законный способ для простой формы согласия. Там, где закон требует письменной формы (здоровье, биометрия, распространение), электронный документ должен быть подписан электронной подписью - на практике проще собрать подпись на бумаге при заезде.
На какой срок действует согласие?
На тот, который вы сами указали в форме, - это обязательный элемент. Можно указать «до отзыва». Гость вправе отозвать согласие в любой момент, и на этот случай в форме описывается способ отзыва.
Попробуйте bpop в деле
Кабинет объекта создаётся за две минуты. Основной функционал бесплатный: ни пробного периода, ни привязки карты.
Открыть кабинет бесплатно