Как гостинице работать с персональными данными в реалиях 2026 года

Как гостинице организовать работу с персональными данными гостей

Состав получаемых от клиента персональных данных зависит от того, какие услуги оказывает отель и как организована его работа. Обычно в информационных системах гостиницы обрабатываются:

• фамилия, имя, отчество;
• дата и место рождения;
• гражданство;
• данные документа, удостоверяющего личность;
• адрес;
• номер телефона;
• адрес электронной почты;
• сведения о бронировании;
• сведения о периоде проживания;
• информация о расчетах за услуги.

Организуя работу с персональными данными, я рекомендую пройти несколько последовательных этапов.

Этап 1. Определить, какие процессы связаны с обработкой ПД

В список стоит включить:

• бронирование через сайт;
• бронирование по телефону;
• заявки через электронную почту;
• работу с агрегаторами и системами бронирования;
• заселение;
• регистрацию по месту пребывания;
• оплату;
• программы лояльности;
• работу с отзывами и обращениями;
• рассылки;
• видеонаблюдение, если оно ведется;
• передачу данных подрядчикам;
• хранение бумажных документов.

Этап 2. Определить правовые основания для каждой цели

Не каждая обработка требует согласия. Статья 6 Федерального закона № 152-ФЗ предусматривает несколько самостоятельных оснований обработки персональных данных, в том числе:

• обработку, ведущуюся с согласия клиента;
• обработку, необходимую для исполнения договора с клиентом;
• обработку, с целью исполнения требований НПА;
• обработку в целях защиты жизни и здоровья граждан.

Этап 3. Проверить локальные документы

Проверьте наличие и актуальность:

• политики обработки персональных данных;
• локальных актов, устанавливающих порядок обработки и защиты данных;
• документов о назначении ответственного за организацию обработки персональных данных;
• согласий и других документов, используемых при сборе данных;
• инструкций для сотрудников;
• правил доступа, хранения и уничтожения информации.

Этап 4. Проверить договоры с подрядчиками

Если гостиница использует стороннюю систему бронирования, CRM, сервис рассылок, бухгалтерскую программу или другие инструменты, персональные данные оказываются доступны не только сотрудникам отеля. Тогда необходимо выяснить, как сервисы обрабатывают информацию, для каких целей и на каких условиях. Если гостиница поручает обработку подрядчику, соответствующие порядки закрепляют в договоре или другом предусмотренном законом документе.

Этап 5. Организовать защиту данных

Даже если все документы оформлены правильно, остается вопрос: как информация защищена в повседневной работе? Например, администратору нужны данные для оформления заселения, но это не означает, что ему необходим доступ ко всем архивам гостиницы. Сотрудник, работающий с бронированиями, не обязательно должен видеть всю бухгалтерскую информацию или документы других гостей. Я советую заранее определить, кто и к каким данным имеет доступ, где хранятся бумажные документы, как защищены электронные базы, кто отвечает за контроль доступа и в дальнейшем придерживаться этого порядка.

Сотрудники должны не просто расписаться в ознакомлении с инструкцией, а понимать, как применять ее на практике. Нельзя оставлять сканы паспортов на стойке регистрации, сообщать одному гостю контактные данные другого или пересылать документы через сервисы, которые не разрешены правилами компании.

Для работников, имеющих доступ к персональным данным, следует оформить необходимые документы о конфиденциальности и закрепить обязанности по их защите в трудовых договорах или должностных инструкциях.

Еще один вопрос, о котором иногда вспоминают слишком поздно, — сроки хранения. Определите, как долго информация требуется для конкретной цели и выполнения требований законодательства, а затем организуйте ее удаление или уничтожение. Нельзя просто оставлять все сведения в базе на неопределенный срок.

Нужно заранее продумать и порядок действий на случай утечки. Если персональные данные оказались у посторонних, следует оперативно принять меры, разобраться в обстоятельствах и выполнить обязанности по уведомлению Роскомнадзора. Для предусмотренных законом инцидентов установлены сроки уведомления в течение 24 часов и представления результатов внутреннего расследования в течение 72 часов.

За нарушения в области работы с персональными данными предусмотрена административная ответственность, в том числе по статье 13.11 КоАП РФ.

Подробнее о мерах защиты персональных данных

Когда согласие на обработку персональных данных нужно, а когда нет

Сначала необходимо определить цель и правовое основание обработки. Тут есть несколько вариантов. Я рассмотрю самые распространенные из них:

Обработка персональных данных без согласия клиента

С целью заключения и исполнения договора

Представим обычную ситуацию. Гость бронирует номер на три ночи. Для оформления бронирования гостинице нужны его имя, контактные данные, даты проживания и другая информация, необходимая для заключения и исполнения договора. В такой ситуации основанием обработки выступает необходимость заключения и исполнения договора. Согласие на обработку не требуется.

С целью исполнения законов

У гостиницы есть обязанности, установленные законодательством. Например, связанные с регистрационным учетом гостей. Правила регистрации предусматривают передачу гостиницами информации о клиентах в органы МВД в установленном порядке. Отдельное согласие на такую обработку получать не надо.

Обработка персональных данных с согласия клиента

Рекламные рассылки, ведение клиентской базы, фотофиксация и сбор биометрии для систем доступа, размещение отзывов клиентов на сайте — всё это потребует согласия на обработку ПД. Но прежде чем брать согласие, необходимо понять, что планирует делать гостиница. Я бы начала с пяти вопросов:

1. Какую цель преследует гостиница?
2. Какие данные для нее нужны?
3. Какие действия будут выполняться с данными?
4. Действительно ли согласие является подходящим правовым основанием?
5. Как согласие оформляется и как гостиница подтвердит его получение?

Если согласие запрашивается на сайте, гость выражает свою волю самостоятельно. Например, поставить галочку в соответствующем поле. Но наличие галочки само по себе не делает обработку законной, если согласие не соответствует конкретной цели и требованиям закона.

Отдельно разберитесь с передачей данных третьим лицам и их распространением. Например, гостиница поручает обработку данных сервису бронирования или передает их другой организации для самостоятельного использования. В этом случае перечень данных нередко отличается от того, что получено от клиента. Я рекомендую согласие на передачу данных оформлять отдельно от других, конкретно прописывая в нем что, куда, кому и зачем передается.

Отдельное внимание уделите требованиям к локализации персональных данных, если они применяются к конкретной системе и процессу. Хорошо, если выбранный сервис соответствует требованиям законодательства, а не просто удобен для сотрудников.

Ну а распространение персональных данных неограниченному кругу лиц (публикация отзывов или результатов каких-нибудь внутренних конкурсов среди клиентов в интернете, статьи о клиентах в газетах и т п) и вовсе требует отдельного письменного согласия в силу закона. Галочкой на сайте тут не отделаешься. Гость сам определяет, какие данные разрешено публиковать, и устанавливает условия и ограничения их распространения. Молчание или отсутствие ответа не означают согласие. Требования к такому документу установлены частью 1 статьи 10.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и приказом Роскомнадзора от 24.02.2021 № 18.

Как разработать надежное согласие на обработку персональных данных в отеле

Хорошее согласие — это не документ на десять страниц с максимально широкими формулировками. Наоборот: чем понятнее документ отвечает на вопросы «кто», «что», «зачем», «как долго» и «что происходит с данными», тем легче гостинице доказать законность обработки. Я предлагаю небольшой алгоритм для подготовки такого согласия.

Шаг 1. Четко сформулируйте цель обработки персональных данных

Лучше обозначить конкретные цели, например:

• заключение и исполнение договора на оказание гостиничных услуг;
• оформление бронирования;
• организация проживания;
• выполнение обязанностей, установленных законодательством;
• осуществление расчетов;
• рассмотрение обращений гостя и тп.

Шаг 2. Опишите перечень персональных данных

В зависимости от цели указываем:

• фамилию, имя, отчество;
• дату рождения;
• гражданство;
• адрес;
• номер телефона;
• адрес электронной почты;
• реквизиты документа, удостоверяющего личность;
• другие сведения, необходимые для конкретной операции.

Шаг 3. Укажите, какие действия с персональными данными производите

К обработке относятся, в частности:

• сбор;
• запись;
• систематизация;
• накопление;
• хранение;
• уточнение;
• извлечение;
• использование;
• передача в предусмотренных законом случаях;
• обезличивание;
• блокирование;
• удаление;
• уничтожение и т п.

Шаг 4. Опишите способы обработки

Обычно я указываю, что персональные данные обрабатываются с использованием средств автоматизации и без их использования. Это позволяет охватить и электронные системы, и бумажные документы. Не лишне и указать в согласии, какие сервисы и другие средства автоматизации используются.

Шаг 5. Определите срок действия согласия

В согласии необходимо определить срок его действия либо условие, с которым связано его прекращение.

Я обычно использую формулировку:

«Согласие действует до достижения целей обработки либо до прекращения иных законных оснований обработки».

Но срок всегда соответствует конкретной цели и реальным процессам гостиницы. В одних случаях уместно указать определенный период (год, 3,5,10 лет), в других — связать прекращение обработки с достижением цели. Кроме того, неплохо бы установить порядок пересмотра сроков хранения.

Шаг 6. Предусмотрите порядок отзыва согласия

Гостю необходимо понимать, как отозвать согласие и куда направить заявление. Удобно предусмотреть обращение лично, по почте или в электронной форме. Но выбирайте только те способы, которые вы готовы обрабатывать. Обязательно укажите понятный порядок подачи заявления, заранее определите, кто принимает такие обращения, как они регистрируются и кто проверяет дальнейшую судьбу данных.

При этом отзыв согласия не означает, что все сведения необходимо немедленно уничтожить без исключений. Если у гостиницы сохраняется другое законное основание для обработки, она продолжает обработку в необходимом объеме. Например, отдельные документы требуются для выполнения установленных законом обязанностей.

Шаблон и образец согласия на обработку ПД в отеле

Вот и заполненный образец для примера: