Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: сентябрь 2026. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
В марте 2026 года сеть фитнес-клубов в Краснодаре получила предписание Роскомнадзора после жалобы клиента: турникет на входе сканировал отпечаток пальца у каждого посетителя, а письменного согласия на обработку биометрии не подписал никто из 1400 действующих абонементов. Штраф по итогам проверки составил 280 000 рублей — и это без утечки, которой в этом случае не было. Если тема 152-ФЗ для фитнес-клуба до сих пор казалась вам теоретической, эта история — повод пересчитать, сколько персональных данных проходит через рецепцию, приложение для записи и турникет за один обычный день.
Кто в фитнес-клубе становится оператором персональных данных
Оператором по ст. 3 152-ФЗ становится любая компания, которая определяет цели и способы обработки данных клиента. Фитнес-клуб подпадает под это определение с первого дня работы: анкета при покупке абонемента, форма записи на групповое занятие через сайт или приложение, база контактов для рассылки о скидках — всё это обработка персональных данных, и статус оператора возникает автоматически, а не по решению администрации.
Разница с обычным интернет-магазином в том, что клуб почти всегда работает с данными сразу на нескольких уровнях: контактные данные в CRM, биометрия на входе, сведения о здоровье в анкете противопоказаний, а иногда ещё и данные детей в подростковых секциях. Каждый уровень регулируется своей статьёй закона, и смешивать их в одном универсальном согласии — частая ошибка, которая обычно и всплывает при проверке.
Абонемент и анкета клиента: какие данные лишние
Стандартная анкета при продаже абонемента обычно содержит имя, телефон, дату рождения и адрес электронной почты — этого достаточно для заключения договора и минимальной идентификации клиента. Проблема начинается там, где администратор по привычке добавляет поля «профессия», «паспортные данные» или «адрес проживания» без связи с целью обработки.
Ст. 5 ч. 5 152-ФЗ требует, чтобы объём и характер обрабатываемых данных соответствовали заявленным целям. Если клуб не оформляет пропускной режим через паспортный контроль и не заключает договор, требующий полных паспортных реквизитов, эти графы в анкете — лишний риск без пользы. При проверке РКН избыточные поля часто становятся первым, за что цепляется инспектор: обработка без законного основания по ч. 1 ст. 13.11 КоАП грозит юрлицу штрафом от 150 000 до 300 000 рублей.
Отдельная история — согласие на рассылку. Чекбокс «соглашаюсь на обработку персональных данных» не даёт клубу права присылать SMS и push-уведомления о скидках: для маркетинговых рассылок нужна отдельная и явная формулировка согласия, желательно с возможностью отписаться в один клик.
Приложение для записи и геолокация в раздевалке
Многие сети переходят на мобильное приложение: клиент записывается на тренировку, получает push-уведомление о свободном месте в зале, а иногда приложение просит доступ к геолокации, чтобы напомнить о занятии по дороге. Каждое из этих действий — обработка персональных данных, и её нужно описывать в политике конфиденциальности приложения, а не только на сайте клуба.
Отдельный вопрос — где физически хранятся эти данные. Если приложение строится на зарубежном SaaS-сервисе push-уведомлений, встаёт требование первичной локализации базы в России по ст. 18 ч. 5: сначала запись и хранение на сервере в РФ, и только потом при необходимости трансграничная передача. Разработчику приложения стоит сразу уточнять у клуба, на каком сервере лежит база клиентов, а не выяснять это после жалобы в Роскомнадзор.
Биометрия на турникете: когда нужно отдельное согласие
Проход по отпечатку пальца, ладони или распознаванию лица — это обработка биометрических персональных данных по ст. 11 152-ФЗ, и она требует отдельного письменного согласия от каждого клиента, а не строчки в общей анкете. Формулировка вида «клиент согласен на обработку персональных данных, включая биометрические» юридически не работает: закон требует, чтобы согласие на биометрию было выделено как самостоятельный документ с описанием конкретной системы идентификации и срока хранения шаблона.
Если клуб когда-то ставил такие турникеты как эксперимент и давно про это забыл, стоит проверить: работает ли система прямо сейчас, кто подписывал согласия и хранятся ли эти документы отдельно от общей папки с анкетами. Подробный разбор того, что считается биометрией и как оформить согласие правильно, есть в материале про биометрию в бизнесе — там разобраны и Face ID на входе, и голосовые ассистенты на ресепшене.
Отдельный нюанс: если турникет ставит не сам клуб, а управляющая компания бизнес-центра, ответственность за согласие всё равно лежит на клубе — именно он собирает данные своих клиентов, даже если оборудование чужое.
Медицинские справки и противопоказания — особая категория данных
Анкета «нет ли у вас противопоказаний к физическим нагрузкам» с вариантами ответа вроде «гипертония», «проблемы с суставами» или «беременность» — это обработка специальной категории персональных данных по ст. 10 152-ФЗ. Такие сведения требуют письменного согласия по ст. 9 и повышенного уровня защиты информационной системы, в которой они хранятся.
На практике многие клубы хранят эти анкеты в бумажном виде в папке у администратора либо, что хуже, фотографируют и пересылают тренеру в мессенджер. Оба варианта создают риск: бумажная папка без запирающегося шкафа — это отсутствие организационных мер по ст. 18.1, а пересылка в мессенджер превращает переписку в неконтролируемую копию медицинских данных, которую невозможно ни удалить по требованию клиента, ни включить в реестр обработки.
Подробнее про работу с данными о здоровье и требования к защите ИСПДн — в статье про медицинские данные и 152-ФЗ. Если справка от врача прикладывается к личному делу клиента, разумно хранить её в закрытой на пароль папке с доступом только у медицинского персонала клуба, а не у всех администраторов на ресепшене.
Детские секции и подростковые группы
Секции для детей и подростков — привычная часть фитнес-бизнеса, и здесь работает отдельное правило: согласие на обработку персональных данных ребёнка даёт законный представитель, а не сам ребёнок. Это касается и анкеты при записи, и фото с тренировок для соцсетей клуба, и видеонаблюдения в зале, где занимается детская группа.
Похожая логика уже отработана в онлайн-образовании — общие принципы оформления согласий для несовершеннолетних можно посмотреть в материале про онлайн-школы и данные детей. Для офлайн-клуба есть дополнительный момент: если ребёнка приводит на занятие бабушка или няня, а не родитель, договор и согласие всё равно должны быть подписаны именно законным представителем — устного разрешения от третьего лица недостаточно.
Персональные тренеры, фото и видео для соцсетей
Фото «до и после» и видео с тренировок — популярный маркетинговый инструмент, но с точки зрения закона это распространение персональных данных, которое регулируется отдельно от обычной обработки. Ст. 10.1 152-ФЗ требует отдельного письменного согласия на распространение — с указанием, где именно будут опубликованы фото, на какой срок и может ли клиент отозвать разрешение.
Смешивать это с обычным согласием по ст. 9, которое клиент подписывает при покупке абонемента, — ошибка, которую регулятор замечает одной из первых. Согласие на обработку и согласие на распространение — два разных документа с разным содержанием, и это стоит закрепить отдельным бланком, который тренер даёт подписать клиенту перед первой фотосессией в зале, а не постфактум, когда фото уже опубликовано в соцсети клуба.
Похожий подход к разделению документов на обработку клиентских данных и публикацию фото работ уже применяется в других нишах услуг — сравнение можно посмотреть в статье про 152-ФЗ для салона красоты, где разбирается почти идентичная ситуация с фото «до/после».
Что делать прямо сейчас
Если в клубе есть турникет с биометрией, анкета противопоказаний и хотя бы одна детская секция, вероятность, что документы оформлены не полностью, выше, чем кажется на первый взгляд. Разложить это на три отдельных согласия — обработка, биометрия, распространение — и привести в порядок хранение медицинских анкет — работа на несколько часов, а не недель.
Сколько из этих документов есть у вашего клуба прямо сейчас? Запустите бесплатный аудит на соответствие 152-ФЗ → — аудит покажет, какие согласия отсутствуют, какие поля анкеты стоит убрать как избыточные и какие документы нужно оформить отдельно для биометрии и детских групп.
Использованные нормативные акты: Федеральный закон № 152-ФЗ «О персональных данных», ст. 3, 5, 6, 9, 10, 10.1, 11, 18.1; КоАП РФ ст. 13.11 в редакции Федерального закона № 420-ФЗ от 30.11.2024.