Хранение данных гостей в средстве размещения

Хранить карточку гостя «на всякий случай» нельзя. Средство размещения вправе оставить только те сведения, для которых есть конкретная цель, законное основание и срок. Причем срок назначают не человеку целиком, а отдельной записи: уведомлению МВД, договору, кассовому документу, переписке по претензии или согласию на рассылку.

В маленькой гостинице эта разница быстро исчезает. Администратор один раз вводит паспорт, телефон и дату рождения, а программа, мессенджер и бумажная анкета создают несколько копий с разными задачами. Когда гость просит удалить данные, стереть строку из шахматки недостаточно. Нужно найти все экземпляры, отделить обязательное хранение от добровольного и подтвердить уничтожение того, что больше не нужно.

Одно согласие не узаконивает всю карточку гостя

Для каждой цели обработки нужно свое основание, а согласие требуется далеко не всегда. Статья 6 Федерального закона № 152-ФЗ разрешает обрабатывать данные, когда это нужно для заключения и исполнения договора по инициативе самого гостя. Другое основание действует, когда гостиница исполняет установленную законом обязанность, например передает сведения для регистрационного или миграционного учета.

Бронирование номера обычно опирается на договорное основание. Имя, контакт, даты проживания, выбранный номер, цена, состав гостей и сведения об оплате нужны, чтобы подтвердить заявку, заселить человека и рассчитаться с ним. Просить отдельное согласие на каждое такое действие бессмысленно: отказ от необходимой обработки означает, что договор нельзя исполнить. Гостю надо объяснить это прямо, не прятать объяснение в десяти страницах правил проживания.

Передача сведений в МВД опирается на обязанность, установленную законом. Отзыв согласия не отменяет уже поданное уведомление и не заставляет гостиницу уничтожить экземпляр, который нормативный акт велит хранить. Это важная граница: право гостя требовать прекращения обработки не отменяет другие законные основания.

Согласие нужно для целей, которые не обязательны для проживания. Типичный пример: рекламные сообщения после выезда, поздравление с днем рождения со скидкой, публикация фотографии гостя, передача контакта партнеру, не участвующему в оказании услуги. С 1 сентября 2025 года статья 9 Закона № 152-ФЗ требует оформлять согласие отдельно от других документов, которые подписывает человек. Галочка, спрятанная внутри договора или правил проживания, больше не годится.

Согласие должно называть оператора, цель, состав данных, действия с ними, срок и способ отзыва. Если гостиница хочет отправлять новости по телефону и электронной почте, это отдельная цель. Нельзя написать «для улучшения качества обслуживания» и под этой фразой годами хранить паспорт, историю поездок и контакты семьи.

Полезно разложить основания до настройки программы:

1. Исполнение договора: бронирование, проживание, расчет, возврат денег, разбор претензии.
2. Исполнение закона: регистрационный и миграционный учет, бухгалтерский и налоговый учет.
3. Согласие: реклама, публикация отзывов с именем, необязательная персонализация будущих предложений.
4. Законный интерес оператора: защита по конкретному спору или обеспечение безопасности, если права гостя не перевешивают этот интерес.

Последний пункт нельзя использовать как универсальный запасной выход. Оператор обязан уметь объяснить, какой интерес он защищает, почему без данных это невозможно и почему объем не чрезмерен. Формула «может пригодиться в суде» не оправдывает вечное хранение полной копии паспорта каждого постояльца.

Минимальный набор определяет действие, а не удобство анкеты

Минимально необходимый набор данных меняется от одной операции к другой. Статья 5 Закона № 152-ФЗ требует, чтобы содержание и объем данных соответствовали заявленной цели и не были избыточными. Значит, поле в программе нужно обосновать до того, как администратор начнет его заполнять.

Для предварительного бронирования обычно достаточно имени или обозначения брони, контакта для подтверждения, дат, категории или номера, количества гостей, тарифа и условий отмены. Паспортные реквизиты на этом этапе чаще всего не нужны. Правила предоставления гостиничных услуг, утвержденные постановлением Правительства № 1912, связывают предъявление удостоверяющего личность документа с заселением, а не с простым вопросом о свободном номере.

При заселении набор расширяется. Гостиница проверяет документ и берет сведения, которые нужны для договора и регистрации по месту пребывания. Для иностранного гражданина миграционный учет требует данных документа, миграционной карты при ее наличии, визы или сведений о праве проживания в зависимости от статуса. Нельзя механически применять одну и ту же форму к гражданину России, иностранцу и ребенку: основания и обязательные поля различаются.

Рабочую матрицу можно положить в основу локального акта:

Запрос мест | имя, контакт, даты, число гостей | действия до договора | отказ или конец короткого срока ответа
Бронь и проживание | ФИО, контакт, даты, номер, тариф, расчеты | договор | исполнение плюс сроки претензий
Регистрация гражданина России | обязательные сведения документа и проживания | закон | срок процедуры и локального перечня
Учет иностранца | уведомление и требуемые копии | закон | один год для экземпляра у средства размещения
Учет платежей | реквизиты чека, счета, акта и оплаты | закон | не менее пяти лет для учетных документов
Претензия | договор, платеж, переписка, спорное событие | договор и законный интерес | закрытие спора и срок защиты
Реклама | имя, канал, контакт, запись о согласии | отдельное согласие | отзыв или указанная в согласии дата

Эта таблица не заменяет проверку конкретных форм. Ее задача практичнее: не дать одной записи с паспортом автоматически попасть в рассылку, отчет по повторным гостям и архив «навсегда». У каждой строки в реестре целей должны быть владелец, место хранения и правило удаления.

Особенно осторожно обращайтесь со сведениями о здоровье, ограничениях питания и доступности номера. Диагноз гостинице почти никогда не нужен. Если человек просит номер без лестницы или сообщает об аллергии для завтрака, запишите операционную потребность без лишней медицинской истории. Специальные категории персональных данных подчиняются статье 10 Закона № 152-ФЗ, и обычное договорное основание не дает свободы собирать их про запас.

Фотография тоже требует точного разбора. Само изображение не всегда становится биометрическими данными. Статья 11 связывает этот статус с использованием физиологических особенностей для установления личности. Фото для публикации, запись камеры и шаблон распознавания лица имеют разные цели, основания и режимы. Называть любую фотографию биометрией неверно, но использовать лицо для идентификации без предусмотренного законом основания и требуемого письменного согласия опасно.

Паспорт предъявляют, а копию хранят только по основанию

Требование показать документ не означает автоматического права сохранить его изображение. Постановление № 1912 перечисляет документы, по которым заселяют гостя, и допускает разные способы подтверждения личности. Оно не превращает скан каждой страницы паспорта в обязательное приложение к карточке брони.

Администратору нужны конкретные реквизиты для конкретной процедуры. Он может сверить личность, внести обязательные сведения в договор или форму учета и вернуть документ. Полный скан содержит больше: фотографию, подпись, место рождения, сведения о ранее выданных паспортах и другие данные, которые часто не нужны ни для проживания, ни для расчета.

Для миграционного учета иностранного гражданина действуют специальные правила. Постановление Правительства № 9 требует заполнить уведомление о прибытии, а в предусмотренных случаях хранить его вместе с копиями нужных документов. Здесь основание для копий дает сама процедура, и срок тоже задан отдельно. Нельзя переносить эту практику на всех российских гостей.

Если программа предлагает обязательную загрузку разворота паспорта для любого бронирования, настройку надо менять, а не собирать согласия пачкой. Согласие не лечит избыточность. Часть 5 статьи 5 Закона № 152-ФЗ действует вместе со статьей 6: даже при наличии основания оператор обрабатывает только соразмерный объем.

Отдельная ошибка возникает при дистанционном заселении. Администратор просит прислать фото паспорта в личный мессенджер, затем пересылает его сотруднику, сохраняет в галерее телефона и загружает в систему. Одна проверка личности оставляет четыре неконтролируемые копии. Безопасный процесс должен заранее определять канал получения, круг сотрудников, срок автоматического удаления исходного файла и запись реквизитов без сохранения лишнего изображения.

Не храните паспорт в обмен на удобство поиска. Для внутреннего связывания записей достаточно номера брони или внутреннего идентификатора гостя. Серия и номер паспорта не должны быть логином, заметкой на бумажном стикере или названием файла.

У каждой категории свой срок хранения

Закон не устанавливает единый срок «персональные данные гостя хранятся пять лет». Статья 5 Закона № 152-ФЗ формулирует другой принцип: данные хранят в форме, позволяющей определить человека, не дольше, чем этого требует цель, если иной срок не установил закон или договор. После достижения цели данные уничтожают или обезличивают.

Пять лет относятся к определенным документам, а не ко всей карточке. Статья 29 Федерального закона № 402-ФЗ требует хранить первичные учетные документы не менее пяти лет после отчетного года. Подпункт 8 пункта 1 статьи 23 Налогового кодекса устанавливает пятилетнюю сохранность данных учета и документов, нужных для исчисления и уплаты налогов. Если фамилия гостя есть в таком документе, требование об удалении не позволяет вычеркнуть ее раньше обязательного срока.

Экземпляр уведомления о прибытии иностранного гражданина хранится у администрации средства размещения один год. Этот срок прямо закреплен в правилах миграционного учета, утвержденных постановлением № 9. Год нельзя самовольно сократить из-за отзыва согласия, но нельзя и превращать в бессрочный архив «иностранцы за все годы».

Для оперативной карточки бронирования срок назначает сама гостиница с учетом договора, претензий и своей реальной процедуры. Общий трехлетний срок исковой давности часто используют как ориентир для доказательств исполнения договора. Это не команда хранить три года каждое поле. Для защиты по спору могут понадобиться подтверждение брони, условия тарифа, платеж и деловая переписка, но не фотография паспорта, предпочтение подушки и телефон сопровождающего.

Заявка, которая не превратилась в бронь, живет меньше исполненного договора. Контакт для разового ответа можно удалить после отказа или короткого установленного периода. Если гость просил сообщить об освободившемся номере, срок заканчивается после сообщения или даты поездки. Перенос контакта в постоянную рекламную базу требует отдельного согласия.

Видеозапись, журнал электронного замка, запись звонка и переписка в мессенджере тоже содержат персональные данные, если позволяют связать информацию с человеком. Каждой категории нужен свой срок. Удобная политика указывает событие, а не туманное «до достижения цели»: например, 30 дней после выезда, один год с даты уведомления, пять лет после отчетного года, до отзыва согласия, но не дольше указанной даты.

Срок должен срабатывать технически. Политика, которая обещает удаление через 30 дней, а программа ничего не удаляет, создает доказательство против самого оператора. Раз в месяц ответственный сотрудник должен получать перечень записей с истекшими сроками, принимать решение по исключениям и запускать уничтожение.

Место хранения включает телефоны, бумагу и резервные копии

Персональные данные находятся во всех местах, где их может найти сотрудник, а не только в основной программе. В карту обработки надо включить шахматку, почту, сайт бронирования, облачные формы, кассу, мессенджеры, рабочие и личные телефоны, бумажные анкеты, журналы, выгрузки Excel, папки сканов и резервные копии.

Часть 5 статьи 18 Закона № 152-ФЗ требует при сборе данных граждан России через интернет использовать для записи, систематизации, накопления, хранения, уточнения и извлечения базы данных на территории России, кроме узких законных исключений. Место сервера надо выяснить у поставщика, а не угадывать по русскому интерфейсу или адресу поддержки.

Поставщик PMS, сервис рассылок или организация, которая готовит уведомления, может обрабатывать данные по поручению гостиницы. В договоре с таким лицом должны быть перечислены данные, операции, цели, требования конфиденциальности и безопасности, обязанности подтверждать меры защиты и уведомлять об инцидентах. Передача работы подрядчику не передает ему ответственность за выбор цели и состава данных.

Для небольшой гостиницы разумный минимум выглядит так:

• у каждого сотрудника своя учетная запись без общего пароля на стойке;
• доступ к паспортным и миграционным сведениям получают только те, кто оформляет гостей;
• выгрузки не лежат на рабочем столе и не уходят в личную почту;
• бумажные формы хранятся в закрытом шкафу, а выдачу фиксируют;
• уволенному сотруднику закрывают доступ в день прекращения работы.

Резервная копия не дает права хранить удаленные данные вечно. Если из технической копии нельзя безопасно удалить одну запись, опишите срок перезаписи, изолируйте копию от обычного доступа и запретите возвращать удаленную запись в рабочую базу при восстановлении. После восстановления система должна повторно применить журнал удалений.

«Плацкарт» хранит данные на серверах в России, позволяет выгрузить их в Excel без обращения в поддержку и удалить аккаунт кнопкой. Эти свойства помогают контролировать местонахождение и переносимость данных, но оператором перед гостем остается само средство размещения: оно определяет цели, доступы и сроки.

Требование гостя запускает проверку всех оснований

Гость вправе узнать, какие данные обрабатывает средство размещения, откуда они получены, для каких целей, кому доступны и как долго хранятся. Статья 14 Закона № 152-ФЗ дает оператору десять рабочих дней на ответ. Срок можно продлить не более чем на пять рабочих дней, если вовремя направить мотивированное уведомление с причиной.

Запрос должен позволять надежно установить заявителя и его связь с гостиницей. Не стоит отвечать на письмо с незнакомого адреса выгрузкой полной карточки и паспортных реквизитов. Попросите сведения, предусмотренные статьей 14: реквизиты удостоверяющего документа, данные о договоре или иное подтверждение обработки, а для электронного запроса учитывайте требование об электронной подписи. Проверка личности должна быть соразмерной и не создавать новую лишнюю копию паспорта.

После получения требования о прекращении обработки работайте по одной последовательности:

1. Зарегистрируйте дату, заявителя, содержание требования и крайний срок ответа.
2. Найдите записи во всех системах, бумажных папках, каналах общения, выгрузках и у обработчиков по поручению.
3. Для каждой записи укажите цель, основание и срок: удалить, заблокировать или продолжить обязательное хранение.
4. Прекратите необязательную обработку, сообщите исполнителям и уничтожьте данные, для которых основание закончилось.
5. Ответьте гостю, что прекращено и удалено, а что сохраняется, на каком основании и до какой даты или события.

Статья 21 устанавливает несколько разных сроков. При достижении цели или отзыве согласия данные, которые больше не нужны на другом основании, уничтожают не позднее 30 дней. Если гость требует прекратить обработку, оператор должен сделать это в течение десяти рабочих дней, кроме случаев, когда закон разрешает продолжение без согласия; срок ответа можно мотивированно продлить еще на пять рабочих дней. Незаконную обработку прекращают в течение трех рабочих дней после выявления, а если сделать ее законной нельзя, данные уничтожают в течение десяти рабочих дней.

Удаление по требованию не означает, что гостиница обязана стереть учетный документ, уведомление МВД или материалы незаконченного спора раньше обязательного срока. В ответе не надо писать «удалить невозможно» одной строкой. Разделите категории: рекламный контакт удален, скан российского паспорта уничтожен как избыточный, платежный документ хранится до конкретного срока по налоговому основанию, экземпляр миграционного уведомления хранится один год.

Если сведения неточны, применяется уточнение и блокирование на время проверки. Если запрос касается всех членов семьи, заявитель должен подтвердить полномочия действовать за остальных. Один плательщик по брони не получает автоматически право распорядиться данными каждого совершеннолетнего гостя.

Не смешивайте блокирование, удаление, уничтожение и обезличивание. Блокирование временно останавливает обработку на период проверки. Удаление убирает запись из конкретной системы, но копия может сохраниться в другом месте. Уничтожение делает восстановление содержания невозможным во всем охваченном массиве, а обезличивание разрывает связь с человеком так, чтобы без дополнительной информации ее нельзя было восстановить. Для статистики загрузки обычно достаточно агрегатов по датам, тарифам и каналам бронирования. Если отчет по выручке можно считать без имени и телефона, личность гостя в аналитическом архиве лишняя.

Уничтожение нужно подтвердить документами

Нажатие клавиши Delete не доказывает уничтожение персональных данных. Приказ Роскомнадзора № 179 устанавливает, чем оператор подтверждает результат. Для обработки без автоматизации нужен акт об уничтожении. Для автоматизированной обработки нужны акт и выгрузка из журнала регистрации событий информационной системы.

Акт должен позволять понять, кто, когда, на каком основании и какой массив уничтожил. В нем указывают данные об операторе, сведения о субъектах или категории субъектов, категории данных, способ и причину уничтожения, дату, а также лиц, составивших акт. Не переносите в акт весь удаляемый массив: доказательство уничтожения не должно стать новой вечной базой паспортов.

Практическая запись может выглядеть так:

Основание: отзыв согласия от 14.07.2026, входящий № 27
Категория: контакты для рекламной рассылки
Система: модуль сообщений и выгрузка marketing-july
Действие: запись удалена, файл выгрузки уничтожен
Дата и время: 16.07.2026 11:40
Исполнитель: должность, ФИО
Проверка: поиск по внутреннему ID результата не дал

Это не утвержденная государством форма, а рабочий фрагмент журнала. Сам акт составьте с реквизитами приказа № 179 и вашей процедуры. Для бумажных анкет используйте способ, после которого информацию нельзя восстановить, например измельчение с последующей утилизацией, а не целый лист в открытой корзине.

Проверьте связанные копии. Если администратор удалил карточку из PMS, но оставил Excel на общем диске, вложение в почте и фото документа в мессенджере, уничтожения не произошло. Обработчик по поручению тоже должен подтвердить выполнение требования в срок, который позволяет гостинице ответить гостю.

Акты и технические журналы хранят отдельно от рабочих гостевых профилей с ограниченным доступом. Срок их хранения закрепляют в локальном акте с учетом необходимости доказать исполнение обязанности. В таком доказательстве используйте внутренний идентификатор и категорию данных, когда закон не требует повторять сами удаленные сведения.

Один скан быстро превращается в пять архивов

Обычный сбой начинается с позднего заезда. Гость отправляет фотографию паспорта в мессенджер. Администратор сохраняет ее на личный телефон, пересылает на рабочую почту, вносит реквизиты в программу, прикрепляет исходный файл и печатает копию «для сменщика». Через месяц гость отзывает согласие, а сотрудник удаляет только бронь из шахматки.

В этой схеме гостиница ошиблась еще до запроса. Она не определила, зачем хранит изображение после проверки, разрешила личный канал, размножила документ и не назначила сроки копиям. Отзыв лишь сделал отсутствие учета видимым.

Исправление начинается не с нового согласия. Сначала составляют карту фактических экземпляров: телефон, мессенджер, почта, вложение в PMS, бумажная папка, резервная копия. Затем по каждому экземпляру отвечают, нужен ли он для договора или обязательной процедуры. Если нужны только внесенные реквизиты, изображения удаляют, а законно необходимые поля оставляют до своего срока.

После инцидента меняют сам маршрут документа. Гость передает сведения через один утвержденный канал. Администратор видит только нужные поля, не скачивает файл на личное устройство, а система удаляет исходное изображение после завершения предусмотренной операции. Доступ и удаление попадают в журнал.

Такая разборка полезнее формальной инвентаризации раз в год. Возьмите последние три заселения: гражданина России, ребенка с сопровождающим и иностранца. Пройдите путь каждого поля от первого сообщения до архива. Обычно уже на втором бронировании находятся забытая выгрузка, общий пароль или папка сканов без срока.

Реестр целей должен управлять программой

Рабочая политика по персональным данным начинается с реестра целей, а заканчивается настройками систем. Для каждой цели запишите категорию гостей, точные поля, основание, источник, получателей, место хранения, ответственного, срок и способ уничтожения. Затем сравните документ с реальными формами на сайте, полями PMS, бумажными анкетами и правами сотрудников.

Оператор, который собирает данные через сайт, обязан опубликовать доступную политику обработки на тех страницах, где идет сбор. До начала обработки обычно нужно уведомить Роскомнадзор по статье 22 Закона № 152-ФЗ, если конкретная операция не попадает в оставшиеся исключения. Проверьте запись в реестре операторов и обновите уведомление, если изменились цели, адреса баз, категории данных или обработчики.

Не копируйте срок из чужой политики. У хостела с иностранными гостями, мини-гостиницы с прямыми продажами и гостевого дома, который принимает заявки по телефону, разные маршруты данных. Закон один, но фактические системы и лишние копии у каждого свои.

Проверку можно закончить четырьмя вопросами:

• какое действие невозможно выполнить без этого поля;
• какой закон, договор или отдельное согласие разрешает обработку;
• какое событие запускает удаление;
• где останется копия после удаления из основной карточки.

Если на любой вопрос нет конкретного ответа, поле пока нельзя собирать. Самая безопасная запись о госте не та, которую хорошо спрятали, а та, которую гостиница не создала без необходимости.