Как оформить персональные данные гостей при заселении по 152-ФЗ
Администратор апартаментов или коворкинга при заселении гостя просит паспорт, телефон и почту. Это уже обработка персональных данных по 152-ФЗ, и большинство сервисов её никак не оформляют. Разбираем, какое основание нужно для сбора данных, что делать со сканами паспортов и как не собирать больше, чем нужно.
Администратор апартаментов просит гостя прислать фото паспорта в мессенджер до заселения. Администратор коворкинга на ресепшене переписывает ФИО и номер телефона в блокнот или CRM. В обоих случаях это обработка персональных данных, и на неё распространяется 152-ФЗ, даже если владелец бизнеса никогда не задумывался, что стал оператором персональных данных.
Какие данные попадают под 152-ФЗ при заселении
ФИО, серия и номер паспорта, дата рождения, номер телефона, электронная почта, а иногда и номер автомобиля для парковки. Все эти сведения относятся к персональным данным, и закон не различает базу гостей в дорогой CRM и список в тетради на ресепшене. Важен факт сбора и использования данных, а не форма, в которой они хранятся.
Зачем вообще нужен паспорт гостя
Паспортные данные нужны, чтобы подтвердить личность человека, который заселяется, и связать бронирование с конкретным договором. Для апартаментов это часто дополнительно фиксирует ответственность за имущество. Проблема в другом: многие сервисы хранят не сведения из паспорта, а полный скан документа целиком, со всеми страницами и отметками о браке, детях, регистрации. Для проверки личности и оформления договора хватает фамилии, имени, отчества, серии и номера паспорта и даты рождения. Остальное превращается в избыточные данные, которые только увеличивают ответственность оператора, если база утечёт.
Какое основание нужно, чтобы законно собирать эти данные
У оператора есть два рабочих варианта. Первым основанием служит согласие гостя, оформленное отдельно от договора бронирования, с понятной формулировкой цели и перечня данных. Вторым основанием служит обработка в рамках заключения и исполнения договора аренды или оказания услуг. Тогда отдельное согласие не требуется, потому что цель обработки прямо связана с самим договором.
Площадки бронирования вроде Островка, Суточно.ру или Авито обычно уже включают согласие в свою форму бронирования, но это не снимает ответственности с администратора апартаментов. Он тоже обрабатывает эти данные, когда принимает гостя лично, ведёт свою CRM или переписку в мессенджере.
Что оформить, чтобы не нарушать закон
Дальше короткий список того, что стоит проверить и привести в порядок.
- Политика обработки персональных данных на сайте или странице бронирования, где написано, какие данные собирают, зачем и как долго хранят.
- Согласие гостя на обработку персональных данных, если оно нужно по выбранному основанию, с чётким перечнем данных и целью сбора.
- Правила хранения сканов паспорта, включая отдельную папку с ограниченным доступом, срок хранения, привязанный к цели, и удаление данных после того, как необходимость в них отпала.
- Договор поручения обработки персональных данных с подрядчиками, которые тоже видят данные гостя, например клининг с доступом к CRM, служба охраны или площадка бронирования.
Проверить, какие персональные данные сайт бронирования или форма заезда реально собирают и куда они уходят, помогает
Авто-аудит сайта — проверка на нарушения 152-ФЗ
.Что дополнительно проверить коворкингу
Коворкинги собирают не только паспортные данные при заселении, но и данные для системы доступа. Электронный пропуск с фото и ФИО, бэйдж с QR-кодом и запись с камер на ресепшене тоже относятся к персональным данным, и на них распространяются те же правила. Отдельно стоит сказать про биометрию. Если коворкинг ставит терминал с распознаванием лица или отпечатком пальца вместо ключ-карты, это уже специальная категория данных с более жёсткими требованиями к согласию и хранению. Такую систему стоит вводить только после консультации с юристом, а не потому что похожее оборудование поставил сосед по бизнес-центру.
С чего начать, если сейчас не оформлено ничего
Если политики, согласий и правил хранения ещё нет, начать стоит с ревизии, а не с документов.
- Выписать все места, где собираются данные гостей, включая форму бронирования на сайте, мессенджер администратора, тетрадь на ресепшене и систему пропусков.
- Сократить объём данных до необходимого минимума и договориться с администраторами, что скан паспорта целиком не запрашивают без крайней необходимости.
- Составить или обновить политику обработки персональных данных и разместить её там, где гость видит её до момента передачи данных.
- Проверить, есть ли договоры поручения обработки с подрядчиками, которые тоже получают доступ к данным гостей.
- Определить, нужно ли уведомлять Роскомнадзор о начале обработки персональных данных, если оператор ещё не встал в реестр. Здесь может помочь .
- Ограничить доступ к базе гостей внутри команды и назначить ответственного за персональные данные.
Частые вопросы
Нужно ли отдельное согласие, если гость и так подписывает договор аренды?
Если сбор и обработка данных прямо нужны для заключения и исполнения этого договора, отдельное согласие не требуется. Но если сервис собирает данные сверх того, что нужно для договора, например для рассылки предложений о скидках, на это нужно отдельное согласие с самостоятельной формулировкой цели.
Можно ли хранить скан паспорта гостя после его выезда?
Хранить его можно ровно столько, сколько нужно для цели, ради которой его собрали, например пока не закрыты финансовые и имущественные вопросы по бронированию. Хранить скан на всякий случай годами без обоснованной цели закон не позволяет.
Что делать, если бронирование идёт через площадку вроде Авито или Островка?
Площадка обрабатывает данные гостя как оператор в своей части процесса, но администратор апартаментов, который принимает гостя лично и получает от площадки его контакты и паспортные данные, становится оператором тоже. Правила площадки не освобождают его от необходимости оформить свою обработку данных.
Грозит ли ответственность за сбор паспортных данных без оформленных документов?
Да, обработка персональных данных без законного основания или без нужных документов может привести к административной ответственности по КоАП РФ. Размер ответственности зависит от конкретного нарушения, поэтому в спорной ситуации разумнее свериться с юристом или провести
, чем полагаться на то, что проверка обойдёт бизнес стороной.