Рекомендации Shelter PMS по регистрации отелей в Роскомназдзоре.

Изменения в законе о персональных данных: что нужно знать отельерам

С 30 мая 2025 года в России действуют масштабные поправки в законодательство о персональных данных (420-ФЗ), а вместе с ними — новые штрафы за нарушения в этой сфере. Один из ключевых требований закона касается уведомления Роскомнадзора о намерении обрабатывать персональные данные гостей. Разъяснение по этой теме подготовили коллеги из Shelter PMS, а мы собрали для вас главное, что нужно знать владельцам и управляющим отелей, хостелов и апартаментов.

Если вы уже подавали уведомление в РКН ранее, повторно делать это не нужно. Если нет — разбираемся, кому это требуется и как оформить всё правильно.

Кому нужно уведомлять Роскомнадзор

Уведомление о начале обработки персональных данных обязаны подать все средства размещения, которые получают данные о гостях с помощью автоматизации. Это касается практически любого объекта, который:

• собирает email-адреса или другие данные через контактные формы на сайте;
• анализирует статистику сайта через внешние сервисы с использованием cookies;
• хранит и обрабатывает данные гостей в CRM-системе;
• ведёт информационно-рекламные рассылки;
• публикует отзывы клиентов на сайте.

Требование распространяется на все формы деятельности — самозанятых, ИП и юридических лиц.

Проверить, принял ли Роскомнадзор ваше уведомление и присвоен ли вам статус оператора, можно в реестре операторов.

Как подать уведомление

Прежде чем отправлять уведомление в РКН, нужно выполнить несколько шагов:

1. Убедиться, что гости проинформированы о том, как вы обрабатываете их персональные данные, и разместить на сайте политику конфиденциальности. Шаблоны обязательных документов есть на сайте РКН.
2. Получить согласие на обработку персональных данных — это касается не только гостей, но и посетителей сайта, а также тех, чьи данные хранятся в CRM или PMS.
3. Проверить, что ваша PMS-система или модуль онлайн-бронирования может выводить соглашение на обработку персональных данных при бронировании.
4. Включить в процесс онлайн-бронирования уведомление об обработке данных и согласие на получение информационно-рекламной рассылки.
5. Составить и отправить уведомление в РКН одним из способов:
   • заполнить электронную форму, распечатать и отправить по почте;
   • заполнить электронную форму, подписать электронной подписью и подать через сайт Роскомнадзора;
   • авторизоваться через Госуслуги и заполнить электронную форму на сайте.

На что обратить внимание при заполнении формы

Форма уведомления содержит ряд разделов, в которых важно не ошибиться:

• Сведения об операторе — регион регистрации, адрес и регионы обработки данных (можно указать «Все субъекты Российской Федерации»).
• Цели обработки персональных данных — каждую цель (например, продвижение услуг, реализация товаров) нужно указывать отдельно.
• Категории персональных данных — ФИО, email, телефон, дата рождения и другие данные, которые фиксирует ваша PMS или CRM.
• Категории субъектов — гости, посетители сайта и другие категории в зависимости от специфики объекта.
• Правовое основание обработки — обработка данных на основании согласия субъекта.
• Перечень действий и способы обработки — сбор, хранение, использование; автоматизированная или смешанная обработка, передача по внутренней сети или через интернет.
• Меры по статьям 18.1 и 19 закона «О персональных данных» — например, издание документа (локального регламента) для обеспечения соблюдения N 152-ФЗ, разработка и издание локальных актов по вопросам обработки персональных данных, внутренний контроль обработки данных, учёт носителей персональных данных, разграничение доступа. Подробности — в статье 18.1 и статье 19 закона.
• Средства обеспечения безопасности — как минимум использование антивирусных средств защиты информации.
• Использование шифровальных средств — при их отсутствии указывается «не используются».
• Дата начала обработки персональных данных — дата подачи уведомления.
• Срок или условие прекращения обработки — например, прекращение деятельности как самозанятого или окончание регистрации ИП.
• Трансграничная передача данных — если данные не передаются за пределы России, указывается «не осуществляется».
• Сведения о местонахождении базы данных — страна Россия, адрес ЦОДа (можно указать адрес вашей PMS-системы или собственной организации, если у вас небольшой локальный бизнес), собственный ЦОД — «нет».
• Меры по защите персональных данных — сохранность носителей данных, использование паролей, двухфакторной идентификации, регулярное обновление ПО.
• Ответственный за организацию обработки данных — указывается один человек, отвечающий за обработку данных перед проверяющими органами. Стоит оставить только рабочие контакты, так как эта информация будет в открытом доступе.

После подачи уведомления у Роскомнадзора есть 30 дней, чтобы рассмотреть заявку и внести данные об операторе в реестр операторов.

Что в итоге

Поправки в 420-ФЗ и новые штрафы делают уведомление РКН обязательным шагом для большинства отелей, хостелов и апартаментов, которые работают с данными гостей через сайт, CRM или систему онлайн-бронирования. Процедура не требует юридической подготовки — достаточно внимательно заполнить форму на сайте Роскомнадзора или через Госуслуги. Если вы ещё не подавали уведомление, самое время это сделать: проверить наличие политики конфиденциальности на сайте, настроить согласие на обработку данных в модуле бронирования и отправить заявление в РКН одним из доступных способов.