Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: сентябрь 2026. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
Администратор отеля на двадцать номеров просит у гостя паспорт, делает снимок телефоном «для брони» и отправляет его в рабочий чат ресепшена. Через год там лежат сотни сканов, к чату есть доступ у трёх уволившихся сотрудниц, а у самого отеля нет ни политики, ни приказа об ответственном. Ситуация обычная для небольшой гостиницы. Тема «152 ФЗ гостиница персональные данные» кажется пугающей только до тех пор, пока не разложишь её на две части: что отель обязан собирать по закону и что он собирает «на всякий случай».
Разница между ними и определяет, где нужно согласие гостя, а где оно не нужно вовсе.
152-ФЗ и гостиница: персональные данные гостей по закону
Гостиница почти всегда оператор персональных данных. Она получает ФИО, паспортные данные, телефон, e-mail, даты проживания, состав семьи, иногда данные банковской карты, пожелания по питанию и номер автомобиля для парковки. Если у отеля есть сайт с формой бронирования, к этому добавляются cookie и IP-адреса. Про то, когда вы становитесь оператором, мы писали отдельно, и для отеля ответ однозначный: с первого заселения.
Главная особенность отрасли в том, что часть данных гостиница собирает не потому, что гость согласился, а потому, что так требует закон. Основания обработки перечислены в ст. 6 152-ФЗ, и для отеля работают сразу три:
- обработка для исполнения договора, стороной которого является гость (п. 5 ч. 1 ст. 6): договор оказания гостиничных услуг, бронь, оплата;
- обработка для осуществления обязанностей, возложенных на оператора законом (п. 2 ч. 1 ст. 6): миграционный учёт иностранцев, передача сведений в МВД;
- согласие (п. 1 ч. 1 ст. 6): всё остальное, что законом или договором не покрыто.
Смешивать эти основания нельзя. Если вы просите согласие там, где обработка идёт по закону, документ получается путаным. Если обрабатываете по «согласию» то, что ни договором, ни законом не обосновано, а согласия нет, это нарушение по ч. 1 ст. 13.11 КоАП: для юридических лиц штраф от 150 000 до 300 000 ₽.
Паспорт при заселении: где согласие не нужно
Проверка документа, удостоверяющего личность, при заселении предусмотрена Правилами предоставления гостиничных услуг (постановление Правительства РФ № 1912 от 27.11.2023). Гость предъявляет паспорт, администратор вносит нужные сведения в систему или в книгу учёта. Основание для этой обработки договорное и законное, отдельная подпись под согласием здесь не требуется.
Но у этой обработки есть границы, и именно на них ловят отели.
Во-первых, объём. Паспорт нужен для идентификации и, если гость иностранец, для миграционного учёта. Серия и номер, срок действия документа, всё это необходимо. Полный скан всех страниц, включая прописку и семейное положение, для ночёвки в номере обычно избыточен. Принцип минимизации из ст. 5 152-ФЗ никто не отменял: содержание и объём обрабатываемых данных не должны быть избыточными по отношению к заявленной цели.
Во-вторых, срок. Цель «заселить гостя» закончилась в день выезда. Хранить сканы дальше можно только если есть отдельное основание, например срок, установленный законом для учётных документов, или согласие гостя на участие в программе лояльности. Как правильно считать сроки и оформлять уничтожение, разобрано в материале про срок хранения персональных данных и акт об уничтожении.
В-третьих, канал. Фото паспорта в мессенджере и в личной галерее телефона администратора не относится к мерам защиты по ст. 18.1 и ст. 19 152-ФЗ. Если сканы всё-таки нужны, они лежат в защищённой системе с разграничением доступа и журналом действий.
Миграционный учёт иностранных граждан: передача в МВД
Иностранный гость в гостинице означает обязанность отеля как принимающей стороны уведомить территориальный орган МВД о прибытии. Порядок установлен Федеральным законом № 109-ФЗ «О миграционном учёте иностранных граждан и лиц без гражданства в Российской Федерации». Уведомление подаётся, как правило, в течение одного рабочего дня после прибытия, а сроки и способы подачи лучше сверять с актуальной редакцией закона и ведомственными правилами перед внедрением процесса.
С точки зрения 152-ФЗ здесь три вывода.
Передача сведений в МВД идёт по закону, согласие иностранного гостя на неё не нужно. Эту передачу нужно описать в политике обработки: кому, какие данные, на каком основании.
Гость не должен узнавать о том, что его данные ушли в МВД, только из чужих рассказов. Информирование при сборе данных входит в добросовестную практику, и одной строки в политике плюс памятки на стойке ресепшена достаточно.
Сотрудник, который подаёт уведомления, должен быть в списке допущенных к обработке, а его рабочее место должно быть защищено так же, как любое другое, где обрабатываются персональные данные. Если уведомления подаёт управляющая компания или внешний оператор, между отелем и ним нужен договор поручения на обработку персональных данных.
Что в гостинице требует отдельного согласия
Как только отель выходит за пределы «заселить и выселить», картина меняется. Вот типичный список.
Программа лояльности и рассылки. Это уже не договор проживания, а маркетинг. Нужно отдельное согласие по ст. 9 152-ФЗ с указанием целей, перечня данных и срока. Плюс по ст. 18 ФЗ «О рекламе» для рекламной рассылки нужно предварительное согласие абонента на получение сообщений. Чекбокс не может быть проставлен заранее.
Пожелания по здоровью. Гость пишет в анкете: «аллергия на орехи, нужен безглютеновый завтрак» или просит номер для маломобильных гостей. Это данные о здоровье, то есть специальная категория по ст. 10 152-ФЗ. Обычной галочки здесь мало, нужно письменное согласие с соблюдением требований закона. Подробнее о том, как обращаться с такими сведениями, в статье про медицинские данные. На практике отели решают это так: либо вообще не фиксируют диагнозы (записывают нейтральное «требуется специальное питание»), либо получают письменное согласие.
Дети. Заселение семьи с ребёнком означает обработку данных несовершеннолетнего, а согласие даёт законный представитель. Свидетельство о рождении сканировать «на всякий случай» не нужно.
Фото и видео. Если гость попадает в кадр на промо-съёмке отеля, это отдельная история. Для публикации изображения человека в рекламе нужно согласие по ст. 152.1 Гражданского кодекса, а для распространения персональных данных неограниченному кругу лиц отдельный документ по ст. 10.1 152-ФЗ.
Биометрия. Распознавание лиц на входе в SPA-зону или «умные замки» с отпечатком пальца попадают под ст. 11. Разбор, что здесь разрешено, есть в материале про биометрию в бизнесе. Видеонаблюдение в холле и на парковке подчиняется отдельным правилам, о них написано в статье про видеонаблюдение.
Системы бронирования, каналы продаж и локализация
Современный отель работает не с тетрадью, а с PMS, channel-менеджером и несколькими каналами продаж. Здесь появляются два вопроса, которые проверяющие любят задавать в первую очередь.
Первый касается локализации. По ч. 5 ст. 18 152-ФЗ первичная запись, систематизация и накопление персональных данных граждан России должны выполняться в базах на территории РФ. Если ваша PMS или CRM хранит гостевые профили на зарубежных серверах, это риск. Оценивайте по факту: где физически лежит база, кто вендор, есть ли у него российский контур. Подробнее в статье про локализацию баз данных.
Второй вопрос про трансграничную передачу. Если бронирование приходит через зарубежного агрегатора или письма гостям идут через иностранный почтовый сервис, нужно проверить, не происходит ли передача данных за рубеж и подано ли уведомление по ст. 12. Пока такая передача не выявлена и не описана, она остаётся скрытым риском.
Отдельный сюжет это Wi-Fi для гостей. Публичный доступ в интернет требует идентификации пользователей по правилам, установленным Правительством РФ, а логи авторизации содержат номера телефонов. Значит, этот массив данных тоже нужно внести в реестр и защитить.
Что проверяет РКН и сколько это стоит
Автоматический мониторинг сайтов отелей давно не редкость: форма бронирования без политики, чекбокс с предустановленной галочкой, счётчики без cookie-баннера. Если Роскомнадзор находит нарушение, по ч. 1 ст. 13.11 КоАП штраф для юрлица составит 150 000–300 000 ₽. Отдельная история утечка. После ФЗ № 420-ФЗ штрафы за неё достигают 20 млн ₽, а при повторном нарушении применяется оборотный штраф в размере 1–3% выручки: не менее 20 млн ₽ и не более 500 млн ₽. Для семейной гостиницы такая сумма означает закрытие.
При утечке сканов паспортов гостей сроки жёсткие: 24 часа на уведомление Роскомнадзора и 72 часа на передачу результатов внутреннего расследования. Как выстроить действия по часам, описано в регламенте реагирования на инциденты.
Что делать прямо сейчас
Пройдитесь по своему отелю так, как пройдёт проверяющий. Откройте сайт: есть ли политика конфиденциальности, работает ли согласие в форме брони, что происходит с cookie. Спросите у администратора, где лежат сканы паспортов и кто ещё может их увидеть. Проверьте, есть ли приказ об ответственном за обработку ПДн и перечень допущенных сотрудников. Затем разделите обработку на три группы: по закону (заселение, миграционный учёт), по договору (бронь и оплата), по согласию (лояльность, рассылки, особые пожелания). Для каждой группы должен быть свой документ или своё правило.
Знаете ли вы, где сейчас хранятся сканы паспортов ваших гостей за последний год? Запустите бесплатный аудит на соответствие 152-ФЗ → Аудит проверит сайт и формы бронирования, покажет, каких документов не хватает, и отметит места, где возможен штраф.
Нормативные акты: Федеральный закон № 152-ФЗ «О персональных данных» (ст. 5, 6, 9, 10, 10.1, 11, 12, 18, 18.1, 19); Федеральный закон № 109-ФЗ «О миграционном учёте иностранных граждан и лиц без гражданства в Российской Федерации»; Федеральный закон № 38-ФЗ «О рекламе» (ст. 18); Кодекс РФ об административных правонарушениях (ст. 13.11); ФЗ № 420-ФЗ от 30.11.2024; постановление Правительства РФ № 1912 от 27.11.2023 «Об утверждении Правил предоставления гостиничных услуг в Российской Федерации».