Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: октябрь 2026. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
Мастер-приёмщик в автосервисе на шесть постов заполняет заказ-наряд: ФИО владельца, телефон, госномер, VIN, пробег, адрес для счёта. Бумажный экземпляр уходит в папку, электронный в CRM, а через три дня клиенту прилетает СМС «Пора на ТО, скидка 15% до конца недели». Клиент ничего подписывать не просил. Такая схема встречается почти в каждой мастерской, и вопрос «152 ФЗ автосервис персональные данные» обычно возникает уже после первой жалобы или звонка из Роскомнадзора.
Закон здесь не против автосервиса. Он требует аккуратности в трёх местах: что вы собираете, как напоминаете и кому передаёте.
Автосервис как оператор персональных данных
Оператором вы становитесь с первого принятого автомобиля. Заказ-наряд, договор на ремонт, запись по телефону, карточка клиента в программе: всё это обработка персональных данных по ст. 3 152-ФЗ. Про то, кто и когда становится оператором, мы писали отдельно, а для мастерской ответ простой: если у вас есть клиентская база, вы оператор.
Отдельный вопрос про госномер и VIN. Сам по себе номер без привязки к человеку ничего не говорит. Но у автосервиса он лежит в одной строке с ФИО и телефоном владельца, и вся запись становится персональными данными. Фото автомобиля с номером в мессенджере мастеров относится туда же.
Что обычно собирает мастерская: ФИО, телефон, e-mail, госномер, VIN, марка и пробег, паспортные данные доверенного лица (если привёз не владелец), данные полиса ОСАГО или КАСКО, иногда копия СТС. К специальным категориям (ст. 10) и биометрии (ст. 11) это не относится, поэтому режим у обработки обычный, без повышенных требований.
На каком основании вы храните данные клиента
Согласие нужно не всегда, и это главная экономия времени для владельца сервиса. Основания обработки перечислены в ст. 6 152-ФЗ. Для автосервиса работают два.
Первое: договор. Клиент заказывает ремонт, вы выписываете заказ-наряд. Данные нужны, чтобы выполнить работы, принять оплату и выдать машину нужному человеку. Это п. 5 ч. 1 ст. 6, отдельная подпись под согласием на этот набор данных не требуется.
Второе: обязанности по закону. Первичные документы вроде заказ-наряда и акта выполненных работ вы храните по правилам бухгалтерского и налогового учёта. Срок хранения таких документов обычно составляет не менее пяти лет, но точный срок для вашей ситуации стоит сверить с бухгалтером.
Согласие появляется там, где договор уже закончился или данные нужны для чего-то другого: база для рассылок, программа лояльности, фото клиента для отзыва. Тогда это п. 1 ч. 1 ст. 6, и согласие оформляется по правилам ст. 9: конкретная цель, перечень данных, срок, способ отзыва. Общую галочку «согласен на всё» Роскомнадзор не любит. Если обработка идёт без основания, ч. 1 ст. 13.11 КоАП даёт штраф для юридических лиц от 150 000 до 300 000 ₽.
Когда клиент уехал и гарантия закончилась, данные не должны лежать бессрочно. Как считать сроки и оформлять уничтожение данных по акту, разобрано отдельно.
СМС о ТО: сервисное сообщение или реклама
Здесь автосервисы ошибаются чаще всего. Два сообщения выглядят похоже, а юридически это разные вещи.
«Ваш автомобиль готов, можно забирать» или «Мастер задерживается, перезвоните» относятся к исполнению договора. Согласие на рекламу для них не нужно: вы просто ведёте клиента по услуге, которую он заказал.
«Через 10 000 км вам пора на ТО, записывайтесь со скидкой» уже содержит предложение услуги, ориентированное на неопределённый круг лиц. По ст. 18 Федерального закона «О рекламе» (№ 38-ФЗ) распространение рекламы по сетям электросвязи допускается только при предварительном согласии абонента. Доказывать, что согласие было, приходится рекламораспространителю, то есть вам. За нарушение законодательства о рекламе юридическому лицу по ч. 1 ст. 14.3 КоАП грозит штраф от 100 000 до 500 000 ₽, и жалобу в ФАС обычно подаёт сам клиент.
Практическое решение несложное. В заказ-наряд или в анкету клиента добавьте отдельную строку-чекбокс: «Согласен получать рекламные и информационные сообщения о ТО и акциях сервиса по телефону и e-mail». Чекбокс не должен быть проставлен заранее, иначе согласие недействительно. Отписка работает с первого запроса: «СТОП» в ответ на СМС и вычёркивание из базы в тот же день.
Требования к согласию на рассылку и отписке подробно описаны в материале про email-маркетинг и 152-ФЗ, логика для СМС такая же.
Если напоминания о ТО отправляет внешний сервис (СМС-шлюз, мессенджер-бот, рассылочная платформа), он получает номера телефонов ваших клиентов. Это поручение обработки по ч. 3 ст. 6, а значит нужен договор с обязательным содержанием.
Страховые компании и сторонние подрядчики
Автосервис редко работает один. Данные клиента уходят дальше, и каждая такая передача требует основания.
Страховая. Ремонт по КАСКО или ОСАГО означает, что вы передаёте страховщику данные владельца, номер полиса, фото повреждений, акт осмотра. Если клиент сам обратился в страховую и направление выдано на ваш сервис, передача идёт в рамках договора страхования, стороной которого является клиент. Если вы сами ведёте дело и общаетесь со страховой от его имени, закрепите это в договоре на ремонт или в доверенности. Без этого вы передаёте чужие данные третьему лицу по собственной инициативе.
Поставщики запчастей. Для заказа детали по VIN обычно достаточно VIN и марки, имя клиента поставщику не нужно. Минимизация данных по ст. 5 работает в вашу пользу: не отправляйте в чат заказов паспорт владельца, если речь о фильтре.
Эвакуатор, кузовной подрядчик, независимая экспертиза. Если подрядчик получает контакты клиента, снова нужно основание, а при передаче по вашему поручению ещё и договор поручения обработки.
Сайт, онлайн-запись, мессенджеры. Если клиенты записываются через форму на сайте или в WhatsApp, действуют те же правила: чёткая цель, согласие там, где оно нужно, политика обработки на видном месте.
Что проверит Роскомнадзор и сколько это стоит
У типичной мастерской нарушения повторяются: нет опубликованной политики обработки (ч. 2 ст. 18.1), нет приказа об ответственном за обработку, согласие на рассылку не отделено от остальных, база клиентов хранится в Excel без пароля на общем компьютере, а камеры в приёмке и боксах никак не обозначены. По ч. 1 ст. 13.11 КоАП наказание для юрлиц составляет 150 000-300 000 ₽ за обработку без законного основания, а другие части статьи добавляют свои штрафы за отсутствие политики и невыполнение обязанностей оператора.
Утечка дороже. Забытая в такси папка с заказ-нарядами, выгруженная в открытый доступ клиентская база или взломанная CRM дают оператору 24 часа на уведомление РКН и 72 часа на результаты внутреннего расследования. Штраф за утечку по ст. 13.11 в редакции ФЗ № 420-ФЗ достигает 20 млн ₽, а при повторной утечке считается от выручки: 1-3% годового дохода, не меньше 20 млн и не больше 500 млн ₽. Для сервиса с оборотом в несколько миллионов это закрытие бизнеса.
Хранение базы тоже регулируется. Данные граждан России при первичном сборе записываются в базы на территории России (ст. 18 ч. 5). Если вы ведёте клиентов в зарубежном облачном сервисе, это нарушение, даже когда сервис удобный и дешёвый. Подробности есть в материале про CRM и 152-ФЗ.
Видеонаблюдение в зоне приёмки и ожидания тоже даёт ПДн: лица клиентов и сотрудников видны на записи. Таблички, срок хранения записи и упоминание в политике нужны и здесь.
Что делать прямо сейчас
Начните с трёх вещей, на всё уйдёт один рабочий день. Опубликуйте политику обработки на сайте и в зоне приёмки. Допишите в заказ-наряд отдельный чекбокс на рекламные сообщения. Выберите одного человека, который отвечает за персональные данные, и оформите приказ.
Дальше проверьте, куда уходит база (облако, CRM, СМС-сервис), есть ли договоры с подрядчиками и кто из сотрудников имеет доступ к сканам документов.
Вы точно знаете, на каком основании хранится каждая карточка клиента в вашей базе? Запустите бесплатный аудит на соответствие 152-ФЗ → Аудит проверит ваш сайт: политику, формы записи, cookie-баннер и сторонние скрипты, и покажет, что из требований закона у вас пока не закрыто.
Нормативные акты: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (ст. 3, 5, 6, 9, 10, 11, 18, 18.1, 19); Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе» (ст. 18); КоАП РФ (ст. 13.11, 14.3); Федеральный закон от 30.11.2024 № 420-ФЗ.