Чек-лист подготовки к проверке Роскомнадзора по персональным данным
Отель обрабатывает паспортные данные, контакты и иногда платёжные сведения гостей — чек-лист проверяет согласия, политику обработки персональных данных и уведомление в реестр операторов перед визитом Роскомнадзора.
Лист для смены 10 пунктов
Распечатайте страницу, чтобы получить бумажный лист.
Сверьте, что фактическая обработка данных гостей совпадает с тем, что заявлено в уведомлении Роскомнадзору и в политике на сайте.
Когда применять
Перед плановой проверкой Роскомнадзора, при запуске новой формы сбора данных гостей (онлайн-регистрация, рассылки), а также раз в год как самоконтроль.
Правовые основания обработки
- [ ] уведомление об обработке персональных данных подано в Роскомнадзор и данные в нём актуальны
- [ ] политика обработки персональных данных утверждена, опубликована на сайте и доступна на стойке
- [ ] согласие на обработку персональных данных получено от гостя при заселении
- [ ] отдельное согласие получено на обработку данных для маркетинговых рассылок, если они ведутся
Хранение и защита данных
- [ ] доступ к базе данных гостей в PMS ограничен по ролям сотрудников
- [ ] бумажные анкеты и копии документов гостей хранятся в запираемом месте, недоступном посторонним
- [ ] сроки хранения персональных данных определены внутренним регламентом и соблюдаются на практике
- [ ] при передаче данных третьим лицам заключены договоры с условием о защите персональных данных
Работа с обращениями
- [ ] назначено ответственное лицо за организацию обработки персональных данных
- [ ] порядок ответа на запросы гостей об удалении или предоставлении их данных определён и применялся хотя бы раз
Нормативы под этим листом
Федеральный закон №152-ФЗ «О персональных данных»; КоАП РФ ст. 13.11 (нарушение законодательства о персональных данных).
Что смотрит инспектор
Факт и содержание уведомления в реестре операторов, политику обработки персональных данных, формы согласий, документы о назначении ответственного, условия хранения бумажных носителей.
Частые ошибки
- Уведомление в Роскомнадзор не обновлено при расширении перечня обрабатываемых данных.
- Согласие гостя собирается формально, без факта подписи.
- Политика обработки персональных данных не опубликована на сайте.
- Копии паспортов гостей лежат в незапираемом ящике на стойке.
Частые вопросы
Какие документы по персональным данным смотрит инспектор в отеле?
Проверяющего интересует факт и содержание уведомления в реестре операторов, политика обработки персональных данных, формы согласий, документы о назначении ответственного и условия хранения бумажных носителей. Главный совет листа состоит в другом: сверить, что фактическая обработка данных гостей совпадает с тем, что заявлено в уведомлении и в политике на сайте.
Сколько согласий брать с гостя, если отель ведёт рассылки?
Согласие на обработку персональных данных получают от гостя при заселении, а на обработку данных для маркетинговых рассылок берут отдельное согласие, если рассылки ведутся. Лист отмечает и типичную ошибку: согласие собирают формально, без факта подписи. Политика обработки при этом должна быть утверждена, опубликована на сайте и доступна на стойке.
Как хранить копии паспортов и анкеты гостей?
Бумажные анкеты и копии документов гостей держат в запираемом месте, недоступном посторонним; копии паспортов в незапираемом ящике на стойке лист прямо называет ошибкой. Доступ к базе данных гостей в PMS ограничивают по ролям сотрудников. Сроки хранения определяют внутренним регламентом и соблюдают на практике, а не только на бумаге.
Кто в отеле отвечает за обработку персональных данных гостей?
Должно быть назначено ответственное лицо за организацию обработки персональных данных, и документ о его назначении входит в число проверяемых. Конкретную должность чек-лист не называет, это решение самого отеля. На том же ответственном порядок ответа на запросы гостей об удалении или предоставлении их данных: он должен быть определён и хотя бы раз применён на практике.
Когда нужно обновлять уведомление в Роскомнадзор?
Лист требует, чтобы уведомление было подано, а данные в нём оставались актуальными; необновление при расширении перечня обрабатываемых данных отнесено к частым ошибкам. Отдельный повод пройти по листу - запуск новой формы сбора данных гостей, например онлайн-регистрации или рассылки. Кроме того, такую проверку проводят раз в год как самоконтроль.