Какие данные на сайте отеля попадают под 152-ФЗ
Закон о персональных данных регулирует любую информацию, которая относится к конкретному человеку. На сайте отеля это ФИО, номер телефона, адрес электронной почты, данные паспорта для бронирования, IP-адрес посетителя и cookie-идентификаторы.
Если форма бронирования запрашивает имя и телефон, сайт становится оператором персональных данных и обязан получить согласие гостя, опубликовать политику обработки и обеспечить защиту информации. Это требование не зависит от размера отеля — закон действует для всех.
Важно понимать, что сбор данных начинается не в момент отправки формы, а когда посетитель открывает страницу: аналитические системы и онлайн-чаты могут фиксировать действия пользователя ещё до того, как он ввёл хотя бы одну букву. Если согласие не получено, такой сценарий создаёт правовой риск.
Что проверить на сайте отеля по 152-ФЗ
Первое — веб-формы. Проверьте, есть ли рядом с кнопкой отправки чекбокс согласия на обработку персональных данных, активна ли ссылка на политику конфиденциальности и содержит ли политика сведения об операторе, целях обработки и правах субъекта.
Второе — cookie-баннер. Если на сайте используется аналитика или реклама, баннер должен появляться до запуска трекеров, содержать равнозначную возможность отказа и настройку категорий файлов. Проверьте в инструментах разработчика браузера, какие запросы уходят до клика на баннере.
Третье — иностранные сервисы. Если данные посетителя передаются на серверы за пределами России (например, через виджеты бронирования, онлайн-чаты или аналитику), это может требовать уведомления Роскомнадзора и специальных оснований для трансграничной передачи. Фиксируйте, какие домены получают запросы от браузера.
Как работает автоматическая проверка сайта отеля
Проверка открывает сайт с чистой сессии — так, как это делает новый посетитель, без истории и авторизации. Фиксируются все публичные страницы: главная, форма бронирования, политика конфиденциальности, пользовательское соглашение.
Система записывает, какие трекеры и cookie-файлы стартуют до получения согласия, какие сетевые запросы уходят к внешним сервисам и какие данные запрашиваются в формах. Каждый факт сопровождается снимком экрана, временной меткой и дословной цитатой из документа.
В результате вы получаете отчёт в PDF: резюме с уровнем риска, перечень эпизодов с признаками нарушений, правовая квалификация по каждому эпизоду со ссылкой на нормы закона и рекомендации, что исправить в первую очередь. Если эпизодов не найдено, отчёт подтверждает, что на осмотренных публичных страницах признаков нарушений нет.
Что делать, если проверка нашла риски
Отчёт показывает серьёзность каждого эпизода и выстраивает очерёдность исправлений. Начните с высокоприоритетных: например, если трекеры стартуют раньше согласия, настройте систему управления cookie так, чтобы аналитика запускалась только после клика на баннере.
Если форма бронирования не содержит чекбокса согласия, добавьте его рядом с кнопкой отправки и убедитесь, что текст согласия содержит ссылку на политику конфиденциальности. Политика должна быть опубликована на сайте и включать сведения об операторе, целях обработки, сроках хранения и правах субъекта.
Для сценариев с иностранными сервисами проверьте, можно ли заменить зарубежную аналитику на российскую или настроить передачу данных так, чтобы она соответствовала требованиям закона. Если передача необходима, оцените необходимость уведомления в Роскомнадзор и проконсультируйтесь с юристом о том, как зафиксировать основания в политике.
- Настройте cookie-баннер с равнозначным отказом и запуском трекеров только после согласия
- Добавьте чекбокс согласия в каждую форму сбора персональных данных
- Опубликуйте политику конфиденциальности с реквизитами оператора и целями обработки
- Проверьте, какие внешние сервисы получают данные посетителей, и оцените риски трансграничной передачи
- Проверьте, требуется ли уведомление в Роскомнадзор для вашего сценария обработки
Чек-лист: проверьте сайт отеля по 152-ФЗ
- 01Форма бронирования содержит чекбокс согласия. Рядом с кнопкой отправки должен быть чекбокс с текстом согласия на обработку персональных данных и активная ссылка на политику конфиденциальности.
- 02Cookie-баннер появляется до запуска трекеров. Откройте сайт в режиме инкогнито и проверьте в инструментах разработчика, какие запросы уходят до клика на баннере. Аналитика и реклама должны стартовать только после согласия.
- 03Политика конфиденциальности опубликована и содержит реквизиты оператора. Политика должна быть доступна по ссылке с каждой формы, содержать ИНН и ОГРН организации, цели обработки, сроки хранения и права субъекта.
- 04Проверены внешние сервисы и трансграничная передача. Зафиксируйте, какие иностранные домены получают данные посетителя: аналитика, виджеты бронирования, онлайн-чаты. Оцените, требуется ли уведомление Роскомнадзора.
- 05Оценена необходимость уведомления в Роскомнадзор. Оцените, требуется ли уведомление в Роскомнадзор для вашего сценария обработки. При необходимости проконсультируйтесь с юристом.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Частые вопросы
Нужно ли уведомлять Роскомнадзор, если сайт отеля собирает только имя и телефон для бронирования?
Обработка персональных данных граждан РФ может создавать риск штрафа за непредставление уведомления. Конкретные условия зависят от сценария обработки и передачи данных третьим лицам — для точной оценки проконсультируйтесь с юристом.
Можно ли использовать Google Analytics на сайте отеля в России?
Можно, но это создаёт риск: данные посетителей передаются на серверы в США, что может квалифицироваться как трансграничная передача. Может потребоваться уведомление Роскомнадзора и согласие посетителя. Альтернатива — Яндекс Метрика с серверами в России.
Что будет, если форма бронирования не содержит чекбокса согласия?
Это может квалифицироваться как обработка персональных данных без законных оснований или без письменного согласия, когда оно обязательно. Санкции зависят от квалификации нарушения и указаны в отчёте со ссылкой на нормы.
Как проверить, какие cookie запускаются на сайте до согласия?
Откройте сайт в режиме инкогнито, нажмите F12 (инструменты разработчика), перейдите на вкладку Network и перезагрузите страницу. Все запросы, которые ушли до клика на баннере, — это потенциальный риск.
Достаточно ли ссылки на политику конфиденциальности в подвале сайта?
Нет. Согласие на обработку должно быть активным: чекбокс рядом с формой, который посетитель отмечает сознательно. Ссылка на политику должна быть в тексте согласия, а не только в подвале.
Что делать, если отчёт не нашёл нарушений — значит ли это, что сайт полностью соответствует закону?
Отчёт подтверждает, что на осмотренных публичных страницах признаков нарушений не обнаружено. Закрытые разделы, серверная часть и внутренние процессы не проверяются — для полной уверенности нужна консультация юриста.
Сколько времени занимает проверка сайта отеля по 152-ФЗ?
Автоматическая проверка выполняется за несколько минут, отчёт в PDF формируется сразу после завершения. Если вы выбрали тариф с планом действий или сопровождением юриста, сроки зависят от сложности правок.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.