Реестр операторов ПДн: Реестр операторов, осуществляющих обработку персональных данных (статья 22 Федерального закона от 27.07.2006…
уведомительный порядок действует бессрочно; уведомление подаётся до начала обработки персональных данных, подпадающей под требование
Касается гостиниц как операторов, обрабатывающих паспортные и иные персональные данные гостей (в том числе при онлайн-бронировании, программах лояльности, видеонаблюдении с распознаванием); требует подачи уведомления в Роскомнадзор и включения в реестр операторов.
Что требует
- До начала обработки персональных данных гостей (сбор паспортных данных при заселении, ведение базы бронирований, программы лояльности, видеонаблюдение с идентификацией) подать уведомление об обработке персональных данных в территориальный орган Роскомнадзора.
- Указать в уведомлении цели обработки, категории обрабатываемых данных, перечень действий с ними, сроки обработки, сведения о трансграничной передаче данных (если данные передаются, например, зарубежным системам бронирования).
- Назначить приказом ответственного за организацию обработки персональных данных в гостинице.
- Разработать и утвердить локальные документы: политику обработки персональных данных, согласия гостей на обработку, порядок реагирования на запросы субъектов данных.
- Обеспечивать техническую и организационную защиту персональных данных (ограничение доступа, шифрование баз данных бронирования, контроль доступа к архивам с копиями документов гостей).
- При изменении целей или состава обрабатываемых данных — актуализировать сведения в реестре операторов.
Кого касается
Всех гостиниц, обрабатывающих персональные данные гостей и сотрудников: при заселении, бронировании через сайт или агрегаторов, ведении журналов миграционного учёта, работе систем видеонаблюдения с идентификацией личности. Отдельные узкие исключения (обработка исключительно в связи с трудовыми отношениями с работниками без иных целей) от подачи уведомления не освобождают гостиницу как оператора данных гостей.
Как подключиться
- Определить фактический состав обрабатываемых персональных данных гостей и сотрудников и цели обработки.
- Заполнить и подать уведомление об обработке персональных данных через личный кабинет на сайте Роскомнадзора (rkn.gov.ru) или в бумажном виде в территориальный орган.
- Дождаться включения сведений в реестр операторов персональных данных (публичный реестр ведёт Роскомнадзор).
- Разработать внутренние документы (политику обработки ПДн, формы согласий, регламент реагирования на обращения гостей).
- Провести инструктаж персонала ресепшена и бухгалтерии по правилам работы с документами гостей.
Ответственность
За нарушения в области персональных данных применяется статья 13.11 КоАП РФ (в редакции с расширенным перечнем составов с 2021 года): в зависимости от конкретного нарушения (обработка без правовых оснований, отсутствие согласия, нарушение требований к трансграничной передаче, неисполнение требования об уточнении/блокировании/уничтожении данных) штрафы для юридических лиц варьируются от десятков тысяч до 18 млн руб. при повторных грубых нарушениях, связанных с утечками. Конкретную часть статьи, применимую именно к неподаче уведомления в реестр, необходимо уточнять по действующей редакции статьи на момент проверки.
Частые ошибки
- Считают, что раз гостиница — субъект малого бизнеса, уведомление подавать не нужно — это не так, освобождение касается узкого перечня целей обработки, а не размера бизнеса.
- Не обновляют уведомление при смене PMS-системы, если меняется состав обрабатываемых данных (например, при подключении биометрического распознавания на входе).
- Хранят копии паспортов гостей в открытом доступе (на общем сетевом диске) без ограничения прав доступа, что является нарушением требований к защите персональных данных.
- Не имеют оформленных согласий гостей на обработку данных для маркетинговых рассылок, используя контактные данные из бронирования для рекламы без отдельного согласия.
Частые вопросы
Какие гостиницы должны подавать уведомление в реестр по ФЗ № 152-ФЗ?
По Федеральному закону № 152-ФЗ уведомление подают все гостиницы, обрабатывающие персональные данные гостей: при заселении, бронировании, видеонаблюдении с идентификацией, в программах лояльности. Подать его нужно до начала обработки. Карточка отдельно предупреждает: узкие исключения, например обработка исключительно в связи с трудовыми отношениями с работниками, от подачи уведомления по данным гостей гостиницу не освобождают, как не освобождает и статус малого бизнеса.
Что указывать в уведомлении в реестр по ФЗ № 152-ФЗ?
По ФЗ № 152-ФЗ в уведомлении о персональных данных нужно указать: цели обработки, категории обрабатываемых данных, перечень действий с ними, сроки обработки, сведения о трансграничной передаче данных если они передаются зарубежным системам. Также требуется назначить приказом ответственного за организацию обработки персональных данных в гостинице.
Какие локальные документы требуются по ФЗ № 152-ФЗ?
По ФЗ № 152-ФЗ гостиница должна разработать и утвердить: политику обработки персональных данных, формы согласий гостей на обработку, порядок реагирования на запросы субъектов данных. Требуется обеспечивать техническую и организационную защиту данных: ограничение доступа, шифрование баз данных, контроль доступа к архивам с копиями документов гостей.
Когда обновлять сведения в реестре по ФЗ № 152-ФЗ?
По ФЗ № 152-ФЗ сведения в реестре операторов персональных данных нужно актуализировать при изменении целей или состава обрабатываемых данных. Например, при смене PMS-системы, подключении биометрического распознавания на входе или расширении программ обработки данных требуется обновить уведомление.
Какие штрафы за нарушения ФЗ № 152-ФЗ?
По статье 13.11 КоАП РФ штрафы за нарушения в области персональных данных в соответствии с ФЗ № 152-ФЗ варьируются для юридических лиц от десятков тысяч до 18 миллионов рублей при повторных грубых нарушениях, связанных с утечками. Конкретная часть статьи и размер зависит от вида нарушения.