Обработка персональных данных в туризме: требования 152-ФЗ, согласия туристов и трансграничная передача
Деятельность туроператоров и турагентств неразрывно связана со сбором и обработкой персональных данных туристов. Федеральный закон № 152-ФЗ «О персональных данных» распространяется на такие организации в полном объёме, устанавливая особые требования в части трансграничной передачи информации. В данном материале рассмотрены ключевые аспекты: категории собираемых сведений, порядок оформления согласий, обязанность уведомления Роскомнадзора, правила трансграничной передачи, а также практические рекомендации для выстраивания законных процессов.
Подготовим и подадим уведомление в Роскомнадзор, разработаем пакет документов и введём компанию в реестр операторов персональных данных.
* Оплата после выполнения работ
В процессе бронирования и организации туров туроператор обрабатывает следующие категории персональных данных:
Важное правило: оператор не вправе запрашивать избыточные данные. Объём собираемой информации должен строго соответствовать заявленным целям обработки (бронирование, оформление документов, связь с клиентом, организация трансферов и размещения).
Если обработка данных осуществляется для исполнения договора (подбор тура, бронирование, оформление документов, связь с туристом в ходе поездки), отдельное письменное согласие формально не требуется. Правовое основание – пункт 2 части 1 статьи 6 152-ФЗ. В этом случае достаточно прописать цели и состав данных непосредственно в тексте договора.
Согласие требуется в следующих случаях:
Туроператор, выступая оператором персональных данных, обязан уведомить Роскомнадзор о начале обработки. Сделать это необходимо до фактического начала обработки (пункт 1 статьи 22 152-ФЗ).
При планировании трансграничной передачи данных требуется подать отдельное уведомление – «О намерении осуществлять трансграничную передачу персональных данных».
При изменении условий обработки (новые цели, изменение перечня данных, смена ответственного лица) необходимо направить уведомление об обновлении сведений. При прекращении обработки – уведомить ведомство в течение 10 рабочих дней. В случае утечки данных – сообщить в Роскомнадзор в течение 24 часов, а в течение 72 часов представить результаты внутреннего расследования.
Если у вас возникают вопросы по этим задачам – мы с радостью поможем. Наши специалисты детально разбираются в нюансах применения 152-ФЗ и подготовят для вас необходимые документы, а также помогут подать уведомление в Роскомнадзор.
| Нарушение | Штраф |
|---|---|
| Обработка ПДн без уведомления Роскомнадзора (ст. 19.17 КоАП) | до 300 000 ₽ |
| Обработка без согласия субъекта | до 100 000 ₽ |
| Отсутствие политики обработки ПДн | до 40 000 ₽ |
| Утечка или нарушение защиты данных | до 1 500 000 ₽ |
В процессе бронирования и организации туров туроператор обрабатывает следующие категории персональных данных:
Любая организация или ИП, которая собирает и обрабатывает персональные данные клиентов, сотрудников или посетителей (ФИО, телефон, e-mail, адрес), признаётся оператором по 152-ФЗ и обязана до начала обработки подать уведомление в Роскомнадзор.
Уведомление подаётся через портал Роскомнадзора (pd.rkn.gov.ru) с усиленной квалифицированной электронной подписью, через Госуслуги при подтверждённой учётной записи либо в бумажном виде в территориальный орган. После проверки ведомство вносит компанию в реестр операторов персональных данных.
С 30 мая 2025 года за обработку персональных данных без уведомления Роскомнадзора штраф для организаций и ИП достигает 300 000 рублей. Дополнительно возможны штрафы за отсутствие политики обработки ПДн, согласий и нарушение требований к защите данных.
В большинстве случаев — да. Согласие оформляется под каждой формой сбора данных через незаполненный чекбокс со ссылкой на Политику конфиденциальности. Для специальных категорий данных, биометрии и распространения требуется отдельное письменное согласие.