Защита персональных данных гостей: что обязан соблюдать владелец
Владелец апартаментов в Крыму, который принимает гостей и собирает их данные при заселении, автоматически становится оператором персональных данных по 152-ФЗ. Это не зависит от наличия юрлица, количества объектов или способа сдачи. Разберём, что это означает на практике — и что нужно сделать до первого заселения.
Кто считается оператором персональных данных
Оператор — любое лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Если вы принимаете анкету гостя, снимаете копию паспорта или фиксируете контакт для связи — вы обрабатываете ПДн.
Разъяснения РКН прямо указывают: владельцы апартаментов, сдающие жильё через Ostrovok, Суточно.ру или Яндекс Путешествия, становятся операторами ПДн вне зависимости от регистрации в реестре. Обязанность уведомить РКН возникает при систематическом сборе данных — то есть при регулярной сдаче.
Важный нюанс для тех, кто передал объект в управление: агрегатор бронирования, управляющая компания и владелец образуют цепочку операторов с распределённой ответственностью. Если в договоре с УК не прописано, кто несёт ответственность за ПДн гостей, она по умолчанию остаётся на владельце.
Какие данные попадают под 152-ФЗ
Практически всё, что вы собираете при заселении:
- ФИО, дата рождения, серия и номер паспорта;
- адрес регистрации;
- номер телефона, e-mail;
- данные о несовершеннолетних гостях (особый режим — ст. 9 ч. 6 152-ФЗ);
- видеозапись с камер в местах общего пользования;
- история бронирований и платёжные данные.
Отдельный поток — регистрация гостей через МВД (Приказ МВД № 514 от 23.11.2017). Копии документов, переданные в ведомство, нельзя хранить дольше установленного срока и нельзя передавать третьим лицам.
Согласие гостя: что работает, а что нет
Согласие на обработку персональных данных должно быть:
- письменным — подпись на бумажной анкете при заселении;
- электронным с квалифицированной ЭП — при онлайн-бронировании через собственный сайт;
- зафиксированным — с сохранённым логом, если согласие дано через форму на сайте агрегатора.
Согласие через WhatsApp или Telegram, а также устное согласие юридической силы не имеют. Это прямо следует из ст. 9 152-ФЗ.
Отдельная ошибка — рассылка гостям рекламных сообщений без явного согласия на маркетинговые коммуникации. Это нарушение одновременно 152-ФЗ и Федерального закона «О рекламе», что означает два отдельных основания для штрафа.
Ещё один распространённый просчёт: в анкете написано «согласен на обработку данных», но не указано, для каких целей. Согласие должно содержать конкретный перечень целей — заселение, регистрация в МВД, направление счёта. Без этого перечня документ уязвим при проверке.
Видеонаблюдение: камера без таблички — уже нарушение
Видеонаблюдение в местах общего пользования апарт-комплекса — холле, коридоре, лифтовом холле — законно только при соблюдении двух условий:
- Гости уведомлены о ведении съёмки (табличка, запись в договоре или анкете).
- Цель съёмки определена и соответствует требованиям ст. 6 152-ФЗ.
Камера без уведомления — нарушение ст. 6 152-ФЗ и ст. 137 УК РФ (нарушение неприкосновенности частной жизни). Штраф для физлица — до 10 000 ₽, для ИП — до 20 000 ₽ по ст. 13.11 КоАП РФ. Уголовная ответственность наступает при доказанном умысле и причинении вреда.
Отдельный вопрос — камеры внутри апартаментов. Их установка категорически запрещена. Даже если владелец объясняет это «охраной имущества», съёмка в жилом помещении без ведома гостя образует состав ст. 137 УК РФ.
Регистрация гостей в МВД: что это добавляет к обязанностям
Владелец апартаментов, сдающий жильё посуточно, обязан уведомлять территориальный орган МВД о прибытии иностранных граждан. Для граждан РФ обязанность регистрации по месту пребывания формально существует, но на практике при краткосрочной аренде применяется иначе.
Важно: данные, собранные для регистрации в МВД, — это тоже персональные данные по 152-ФЗ. Их нельзя:
- хранить в открытом доступе;
- передавать третьим лицам без согласия гостя;
- использовать в маркетинговых целях.
Если МВД-регистрацию ведёт УК — убедитесь, что в договоре управления это прописано и разграничена ответственность за хранение документов.
Утечка данных: что делать и сколько времени есть
С 1 марта 2023 года при утечке ПДн владелец обязан:
- в течение 24 часов — направить первичное уведомление в РКН;
- в течение 72 часов — направить расширенное уведомление с описанием инцидента.
Это требование распространяется на всех операторов, включая частных арендодателей с онлайн-анкетами. Уведомление подаётся через портал РКН.
Штрафы с 1 сентября 2023 года (Федеральный закон № 266-ФЗ):
- физлица — до 300 000 ₽;
- юрлица — до 15 млн ₽ при повторном нарушении.
Роскомнадзор в 2023 году зафиксировал 168 крупных утечек баз данных — рост на 42% к 2022 году. Среди пострадавших — сервисы бронирования и гостиничный сектор. Крымские объекты в Ялте, Алуште и Судаке попали в зону проверок в рамках совместных рейдов РКН и Роспотребнадзора — поводом служили жалобы гостей на передачу их контактов турагентам и экскурсоводам.
Практический совет: заведите отдельный журнал инцидентов — даже в простой таблице. Если РКН запросит историю обработки данных при проверке, наличие такого журнала демонстрирует добросовестность оператора и снижает риск максимального штрафа.
Как разграничить ответственность с управляющей компанией
Если объект передан в управление УК апарт-комплекса, в договоре управления должно быть явно указано:
- кто является оператором ПДн гостей;
- на каком основании УК обрабатывает данные (поручение оператора — ст. 6 ч. 3 152-ФЗ);
- какие меры защиты данных применяет УК;
- порядок действий при утечке и кто уведомляет РКН.
Если этого нет в договоре — ответственность остаётся на владельце. Это актуально для апарт-комплексов Ялты и Алушты, где УК нередко берут заселение полностью на себя, но договоры составляются без учёта требований 152-ФЗ. Подробнее о том, как проверить договор с УК перед передачей объекта, читайте в статье «Апарт-комплекс с УК в Крыму: как выбрать и проверить договор».
Ещё один момент: если УК работает с несколькими агрегаторами бронирования одновременно — Ostrovok, Суточно.ру, Авито, — каждый из них также обрабатывает данные гостей. Уточните у УК, заключены ли с этими платформами соглашения об обработке ПДн и кто несёт ответственность за их соблюдение.
Крымская специфика: на что обратить внимание по локациям
Ялта и Алушта. Высокая концентрация апарт-комплексов с УК. Риск — УК собирает данные гостей, но договор не разграничивает ответственность. Проверьте договор управления до первого заселения.
Евпатория. Семейный курорт с высокой долей гостей с детьми. Данные несовершеннолетних обрабатываются по особым правилам: требуется согласие родителя или законного представителя (ст. 9 ч. 6 152-ФЗ). Анкета без отдельной строки для согласия родителя — уязвимость при проверке.
Судак и Новый Свет. Небольшие объекты, владельцы часто ведут учёт гостей в Excel или бумажных журналах без защиты. Хранение ПДн в незащищённом файле — нарушение требований к безопасности. Судак активно развивается как туристическое направление — подробнее об аренде в этом районе можно прочитать в статье «Апартаменты у Генуэзской крепости в Судаке: сезонность и цены 2026».
Севастополь. Отдельный субъект РФ со своим региональным управлением РКН. В 2023 году проверки охватили объекты в Балаклаве и на Фиоленте. Требования те же, что по всей России, но региональное управление работает самостоятельно и инициирует собственные рейды.
Феодосия и Коктебель. Активная зона строительства апарт-комплексов. Покупатели инвестиционных лотов часто не знают, что обязанности оператора ПДн возникают с первого заселения — ещё до того, как объект вышел на полную загрузку. Если вы рассматриваете покупку апартаментов под сдачу в этом районе, изучите апарт-комплексы Феодосии — там разобраны условия аренды и ценовой диапазон.
Минимальный чек-лист для владельца апартаментов
Документы и согласия:
- Анкета гостя с полем для подписи о согласии на обработку ПДн с указанием целей.
- Отдельное согласие на маркетинговые рассылки — если планируете их вести.
- Уведомление в РКН о статусе оператора (через pd.rkn.gov.ru).
- Для гостей с детьми — строка для согласия родителя или законного представителя.
Хранение данных:
- Бумажные анкеты — в закрытом месте, уничтожение по истечении срока хранения.
- Электронные данные — только на защищённых носителях или в сервисах с шифрованием.
- Копии паспортов — не дольше необходимого срока, без передачи третьим лицам.
- Журнал инцидентов — даже в простом формате.
Видеонаблюдение:
- Таблички о ведении съёмки в местах общего пользования.
- Упоминание видеонаблюдения в договоре или анкете гостя.
- Камеры внутри апартаментов — исключены.
Договор с УК:
- Прописан оператор ПДн гостей.
- Указан порядок действий при утечке.
- Определены меры защиты данных со стороны УК.
- Зафиксирована ответственность за МВД-регистрацию.
При утечке:
- Уведомить РКН в течение 24 часов (первичное).
- Направить расширенное уведомление в течение 72 часов.
Если объект сдаётся самостоятельно, без УК, полезно сравнить административную и операционную нагрузку между двумя моделями. Об этом подробно написано в статье «Апарт-комплекс с УК vs самостоятельная сдача в Крыму».
Что проверить при покупке апартаментов под сдачу
Если вы только выбираете объект для инвестиций и планируете сдавать его посуточно — вопрос защиты ПДн стоит поднять ещё на этапе переговоров с застройщиком или УК:
- Есть ли у апарт-комплекса утверждённая политика обработки персональных данных?
- Кто будет оператором ПДн гостей по договору управления?
- Как УК хранит и защищает данные?
- Предусмотрен ли порядок уведомления владельца при инциденте?
- Заключены ли соглашения об обработке ПДн с агрегаторами бронирования?
Отсутствие ответов на эти вопросы — не повод отказываться от объекта, но повод детально проработать договор до подписания. Посмотреть актуальные объекты апартаментов от застройщиков в Крыму можно в каталоге BEREGA.
Требования 152-ФЗ продолжают ужесточаться. Владельцу апартаментов проще выстроить процессы правильно с самого начала, чем разбираться со штрафами и проверками в разгар курортного сезона.
Новостройки Крыма в каталоге BEREGA
Ниже — объекты из каталога BEREGA с актуальными ценами, шахматкой и условиями покупки. Точные параметры лота уточняйте перед бронированием.
Новостройки Крыма в каталоге BEREGA
Частые вопросы
Нужно ли согласие гостя на обработку персональных данных при сдаче квартиры посуточно?
Да, обязательно. Согласие должно быть оформлено письменно или через квалифицированную электронную подпись. Устное согласие или сообщение в мессенджере юридической силы не имеют — это прямо следует из ст. 9 152-ФЗ и подтверждено судебной практикой. На практике достаточно анкеты гостя с подписью при заселении или формы согласия на сайте/в сервисе бронирования с галочкой и сохранённым логом.
Обязан ли я регистрироваться в РКН как оператор персональных данных, если сдаю одну квартиру у моря?
Обязанность уведомить РКН возникает при систематическом сборе данных — то есть при регулярной сдаче, даже одного объекта. Разовая сдача знакомым формально под это не подпадает, но как только вы принимаете гостей через Ostrovok, Суточно.ру или Яндекс Путешествия и собираете анкеты — вы оператор. Уведомление подаётся через портал pd.rkn.gov.ru бесплатно.
Можно ли передавать паспортные данные гостей управляющей компании?
Можно, но только если это прописано в договоре с УК и гость дал на это отдельное согласие. Если в договоре управления не указано, кто является оператором персональных данных, ответственность по умолчанию остаётся на владельце объекта. Передача данных третьим лицам — турагентам, экскурсоводам, подрядчикам — без согласия гостя является нарушением и служит основанием для проверки РКН.
Как правильно хранить анкеты гостей — бумажные и электронные?
Бумажные анкеты — в закрытом месте с ограниченным доступом, уничтожать по истечении срока хранения (как правило, не более 3 лет, если иное не установлено договором или законом). Электронные — на защищённых носителях или в сервисах с шифрованием. Хранить данные в Excel-таблице на общем диске без пароля — нарушение требований к безопасности ПДн. Копии паспортов гостей хранить дольше необходимого срока также запрещено.
Что будет владельцу апартаментов, если данные гостей утекли?
С 1 сентября 2023 года штрафы существенно выросли: для физлиц — до 300 000 ₽, для юрлиц — до 15 млн ₽ при повторном нарушении. Помимо штрафа, владелец обязан уведомить РКН об утечке в течение 24 часов (первичное уведомление) и 72 часов (расширенное). Если утечка произошла по вине УК, но договор не разграничивал ответственность — претензии всё равно могут быть предъявлены владельцу как первичному оператору.
Нужно ли уведомлять гостей о видеонаблюдении в апарт-комплексе?
Да. Видеонаблюдение в местах общего пользования законно только при двух условиях: гости уведомлены о съёмке (табличка, запись в договоре или анкете) и цель съёмки определена в соответствии со ст. 6 152-ФЗ. Камера без уведомления — нарушение одновременно 152-ФЗ и ст. 137 УК РФ. Для физлица штраф по ст. 13.11 КоАП РФ составляет до 10 000 ₽, для ИП — до 20 000 ₽.
Нужно ли отдельное согласие на маркетинговые рассылки гостям?
Да, отдельное. Согласие на обработку данных при заселении не охватывает рекламные коммуникации. Если вы рассылаете гостям акции или предложения без явного согласия на маркетинг — это нарушение одновременно 152-ФЗ и Федерального закона «О рекламе», что означает два отдельных основания для штрафа.
Ссылка скопирована
