Почему сайт отеля попадает под 152-ФЗ
Сайт отеля или гостиницы работает с персональными данными гостей: имена, телефоны, адреса электронной почты, паспортные данные для онлайн-регистрации. Каждая форма бронирования, подписки на рассылку или запроса обратного звонка превращает владельца сайта в оператора персональных данных.
Под персональными данными закон понимает не только ФИО и номер телефона. IP-адрес посетителя, идентификатор браузера и cookie-файлы тоже могут относиться к персональным данным, если они позволяют выделить конкретного человека. Это значит, что установка систем аналитики и пикселей ретаргетинга требует соблюдения закона.
Риск возникает не из-за самого факта сбора данных, а из-за несоответствия между тем, что сайт реально делает, и тем, что написано в документах. Например, форма собирает согласие на обработку, но политика конфиденциальности не содержит реквизитов оператора, или аналитика запускается до того, как посетитель принял cookie-баннер.
Что чаще всего нарушается на сайте отеля
Первая проблема — трекеры и аналитика стартуют раньше согласия. Сайт показывает cookie-баннер, но счётчики уже отправили данные посетителя на сервер. Это создаёт риск обработки персональных данных без законного основания.
Вторая — данные уходят за границу без уведомления Роскомнадзора. Виджет бронирования, интеграция с зарубежной системой управления или Google Analytics могут передавать данные гостей на серверы за пределами России. Трансграничная передача требует уведомления регулятора.
Третья — политика конфиденциальности скопирована с шаблона и не соответствует реальной работе сайта. В документе перечислены одни цели обработки и получатели данных, а на практике сайт использует другие сервисы или собирает дополнительные сведения через формы.
- Отсутствует политика обработки персональных данных или она опубликована без реквизитов оператора
- Форма бронирования собирает данные, но нет чекбокса с согласием на обработку
- Cookie-баннер не даёт равнозначного отказа: кнопка «Принять» есть, а кнопки «Отклонить» нет
- Согласие на обработку оформлено как условие договора-оферты, а отдельного явного согласия нет
Как устроена обработка данных на сайте отеля на практике
Сайт отеля обрабатывает персональные данные в нескольких точках: формы обратной связи и бронирования, системы аналитики, виджеты онлайн-консультантов, интеграции с сервисами управления номерным фондом. Каждая точка требует законного основания — чаще всего это согласие посетителя.
Согласие должно быть конкретным, информированным и добровольным. Это значит, что посетитель понимает, кто и для чего обрабатывает его данные, и может отказаться без последствий. На практике многие сайты собирают согласие через предзаполненный чекбокс или через текст «отправляя форму, вы соглашаетесь», а это создаёт риск.
Проблема усиливается, если данные обрабатывают не только сам отель, но и сторонние сервисы. Например, виджет бронирования может принадлежать внешней платформе, которая выступает отдельным оператором. В таком случае политика конфиденциальности должна указывать всех операторов и получателей данных.
Как проверить сайт отеля на соответствие закону
Проверка начинается с публичных страниц: сайт открывается с чистой сессии, как его видит новый посетитель. Фиксируется, какие трекеры запускаются до любого согласия, куда отправляются сетевые запросы с данными, как выглядят формы и есть ли в них чекбоксы с согласием.
Затем проверяются документы: политика обработки персональных данных, пользовательское соглашение, текст согласия в формах. Важно, чтобы они содержали реквизиты оператора, цели обработки, перечень данных и информацию о правах субъектов. Если текст шаблонный и не соответствует реальной работе сайта, это риск.
Автоматическая проверка собирает снимки экрана, записывает сетевой обмен браузера и сопоставляет факты с требованиями закона. Результат — заключение с эпизодами, которые могут создавать риск, ссылками на нормы и рекомендациями, что исправить в первую очередь.
Что делать, если нашлись риски
Если проверка выявила эпизоды с признаками нарушений, первый шаг — оценить серьёзность. Отчёт указывает серьёзность каждого эпизода и связывает его с нормой закона, а план действий даёт очерёдность исправлений. Это позволяет понять, что исправлять в первую очередь: например, запуск трекеров до согласия или отсутствие политики конфиденциальности.
Исправление зависит от ситуации. Если проблема в cookie-баннере — нужно настроить его так, чтобы трекеры запускались только после явного согласия. Если данные уходят за границу — проверить, требуется ли уведомление Роскомнадзора. Если политика не соответствует практике — переписать документ под реальную работу сайта.
Проверка не заменяет консультацию юриста, но даёт фактуру для принятия решений. Если эпизодов не найдено, это означает, что на осмотренных публичных страницах признаков нарушений нет. Закрытые разделы сайта, серверная часть и внутренние процессы обработки данных остаются за пределами проверки.
Проверьте сайт отеля на соответствие 152-ФЗ
- 01Политика конфиденциальности опубликована и содержит реквизиты. На сайте есть ссылка на политику обработки персональных данных, документ содержит ИНН, ОГРН, юридический адрес оператора и контакты для обращений субъектов данных.
- 02Формы бронирования собирают явное согласие. Рядом с кнопкой отправки формы стоит чекбокс с текстом согласия на обработку персональных данных, чекбокс не отмечен по умолчанию.
- 03Cookie-баннер даёт равнозначный отказ. Баннер содержит кнопки «Принять» и «Отклонить» или «Настроить», посетитель может отказаться от необязательных cookie без потери доступа к сайту.
- 04Аналитика не запускается до согласия. Откройте сайт в режиме инкогнито и проверьте инструментами разработчика: счётчики и трекеры не отправляют данные до взаимодействия с баннером.
- 05Политика описывает реальные сервисы и цели. В документе перечислены те системы аналитики, виджеты и интеграции, которые реально установлены на сайте, и указаны конкретные цели обработки.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли уведомлять Роскомнадзор, если на сайте отеля стоит форма бронирования?
Вопрос об обязательности уведомления зависит от конкретных обстоятельств обработки и наличия исключений. Проверка покажет, есть ли на сайте признаки обработки данных, и отчёт укажет, требуется ли уведомление в вашей ситуации.
Считаются ли IP-адреса и cookie персональными данными?
IP-адрес и cookie могут относиться к персональным данным, если они позволяют идентифицировать конкретного посетителя. Для систем аналитики и рекламных сетей это обычно так, поэтому требуется согласие на их использование.
Что будет, если данные гостей уходят за границу через виджет бронирования?
Трансграничная передача персональных данных требует уведомления Роскомнадзора. Если передача идёт без уведомления, это может создать риск штрафа. Проверка покажет, какие сервисы получают данные и куда.
Можно ли скопировать политику конфиденциальности с другого сайта отеля?
Политика должна соответствовать тому, что ваш сайт реально делает: какие данные собирает, для чего, кому передаёт. Копирование шаблона создаёт риск несоответствия между документом и практикой, а это создаёт риск претензий по 152-ФЗ.
Как узнать, запускается ли аналитика до согласия посетителя?
Откройте сайт с чистой сессии (режим инкогнито) и проверьте сетевые запросы в инструментах разработчика браузера. Если счётчики отправляют данные до взаимодействия с баннером, это технический признак запуска до согласия.
Что делать, если проверка нашла риски на сайте отеля?
Отчёт указывает серьёзность каждого эпизода и рекомендации по исправлению, а очерёдность исправлений даёт план действий. Ориентируйтесь на серьёзность эпизодов, отмеченную в отчёте: например, настройте cookie-баннер, исправьте формы, обновите политику конфиденциальности. Для сложных случаев подключите юриста.
Проверяет ли система, как отель хранит данные гостей на сервере?
Нет, проверка охватывает только публичные страницы сайта: формы, баннеры, документы и сетевой обмен браузера. Серверная часть, базы данных и внутренние процессы обработки не проверяются.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.