Персональные данные клиентов салона красоты: что должно быть оформлено

Каждый салон красоты ежедневно собирает десятки контактов: имена, телефоны, email-адреса, историю визитов, предпочтения по услугам. Онлайн-запись, программы лояльности, рассылки с акциями — всё это работа с персональными данными. И всё это регулируется Федеральным законом № 152-ФЗ «О персональных данных».

Штрафы за нарушения растут каждый год, а проверки Роскомнадзора становятся всё чаще. Разберёмся, какие документы должен оформить каждый салон красоты, чтобы работать легально и спокойно.

Почему салону красоты нельзя игнорировать закон о персональных данных

Многие владельцы салонов считают, что закон о персональных данных — это про банки и IT-компании. Это опасное заблуждение.

Вы становитесь оператором персональных данных, если:

• записываете клиента по телефону или через форму на сайте;
• ведёте клиентскую базу в CRM-системе;
• отправляете SMS или email с напоминаниями о записи;
• храните информацию о предпочтениях и истории визитов;
• используете систему онлайн-записи на сайте или в соцсетях;
• запускаете программу лояльности с накопительными бонусами.

Фактически любой салон красоты является оператором персональных данных. А значит, обязан соблюдать требования закона в полном объёме.

Что грозит за нарушения

С 2024 года штрафы за нарушения в сфере персональных данных существенно выросли:

• Обработка без согласия — штраф до 150 000 рублей для юрлиц
• Отсутствие политики конфиденциальности на сайте — штраф до 60 000 рублей
• Неуведомление Роскомнадзора — штраф до 300 000 рублей
• Повторные нарушения — штрафы увеличиваются кратно

И это не теоретические угрозы. Роскомнадзор активно проверяет сайты с формами обратной связи и онлайн-записи. Салон красоты с сайтом, где нет ни одного документа о персональных данных, — лёгкая мишень.

Какие персональные данные собирает салон красоты

Прежде чем оформлять документы, важно понять, какие именно данные вы обрабатываете. Список обычно гораздо шире, чем кажется на первый взгляд.

Основные категории данных

Идентификационные данные:

• Фамилия, имя, отчество
• Дата рождения
• Пол

Контактные данные:

• Номер телефона
• Адрес электронной почты
• Аккаунты в мессенджерах

Данные об услугах:

• История визитов
• Предпочтения по мастерам
• Информация об аллергиях и противопоказаниях
• Фотографии работ (до/после)

Финансовые данные:

• История платежей
• Данные банковских карт (если оплата через сайт)
• Баланс бонусной программы

Технические данные (при использовании сайта):

• IP-адрес
• Файлы cookie
• Данные о поведении на сайте

Особые категории данных

Отдельного внимания заслуживает информация о здоровье. Если салон оказывает медицинские или околомедицинские услуги (косметология, инъекционные процедуры), вы можете собирать сведения о состоянии здоровья клиента. Это специальная категория персональных данных, которая требует усиленной защиты и отдельного согласия.

Полный перечень документов для салона красоты

1. Политика конфиденциальности

Политика конфиденциальности салона красоты — это основной публичный документ, который объясняет клиентам, как вы обращаетесь с их данными.

Что должна содержать политика конфиденциальности:

• Наименование и контактные данные оператора (вашего салона)
• Перечень собираемых персональных данных
• Цели обработки каждой категории данных
• Правовые основания обработки
• Способы обработки (автоматизированная, неавтоматизированная)
• Сроки хранения данных
• Порядок защиты данных
• Права субъектов персональных данных
• Порядок обращения с запросами и жалобами
• Информация о трансграничной передаче (если используете зарубежные сервисы)
• Порядок использования файлов cookie (для сайта)

Где должна быть размещена:

• На сайте салона — в обязательном порядке, с доступом в один клик с любой страницы
• В помещении салона — в уголке потребителя или на стойке рецепции
• Ссылка на политику должна быть в каждой форме сбора данных

Важно: Политика конфиденциальности — это не формальность, которую можно скопировать с чужого сайта. Документ должен точно отражать вашу практику работы с данными. Несоответствие между политикой и реальной обработкой — это самостоятельное нарушение.

2. Согласие на обработку персональных данных

Согласие клиента — это правовое основание для большинства операций с его данными. Без него вы не имеете права обрабатывать персональные данные.

Виды согласий, которые нужны салону:

Общее согласие на обработку ПДн:

• Для записи на услуги
• Для ведения клиентской базы
• Для связи с клиентом

Согласие на рекламные рассылки:

• Отдельное от основного согласия
• Клиент должен иметь возможность отказаться в любой момент
• Нельзя делать обязательным условием оказания услуг

Согласие на обработку специальных категорий:

• Данные о здоровье (для косметологических услуг)
• Должно быть письменным

Согласие на использование фотографий:

• Для публикации работ в портфолио
• Для социальных сетей салона
• Должно быть отдельным и конкретным

Требования к форме согласия:

Согласие должно быть конкретным, информированным, сознательным и однозначным. В нём должны быть указаны:

• ФИО клиента
• Наименование оператора
• Цели обработки
• Перечень данных
• Перечень действий с данными
• Срок действия согласия
• Порядок отзыва

3. Уведомление Роскомнадзора

Перед началом обработки персональных данных оператор обязан уведомить Роскомнадзор о своём намерении.

Что указывается в уведомлении:

• Сведения об операторе
• Цели обработки
• Категории субъектов и данных
• Правовые основания
• Перечень действий с данными
• Описание мер безопасности
• Сведения о трансграничной передаче
• Дата начала обработки
• Срок или условие прекращения обработки

Уведомление подаётся через портал Роскомнадзора в электронном виде. После подачи салон вносится в Реестр операторов персональных данных.

4. Приказ о назначении ответственного за обработку ПДн

В салоне должен быть назначен сотрудник, ответственный за организацию обработки персональных данных.

Что входит в его обязанности:

• Контроль соблюдения законодательства
• Информирование сотрудников о требованиях закона
• Приём и обработка обращений субъектов ПДн
• Контроль за устранением нарушений
• Взаимодействие с Роскомнадзором

5. Положение об обработке персональных данных

Это внутренний документ, который детально описывает все процессы работы с данными в салоне.

Структура положения:

• Общие положения и термины
• Принципы и условия обработки
• Порядок сбора данных
• Порядок хранения и защиты
• Порядок передачи третьим лицам
• Порядок уничтожения
• Реагирование на инциденты
• Права и обязанности сотрудников

6. Согласие сотрудников

Не только клиенты — ваши сотрудники тоже субъекты персональных данных. Для обработки их данных также нужны правовые основания и надлежащее оформление.

7. Документы для сайта с онлайн-записью

Если у салона красоты есть сайт с формой онлайн-записи, список обязательных документов расширяется.

Обязательные элементы:

• Политика конфиденциальности — доступна со всех страниц
• Пользовательское соглашение — условия использования сайта
• Политика в отношении файлов cookie — если используются cookie
• Чекбокс согласия — под каждой формой сбора данных, незаполненный по умолчанию
• Ссылка на политику — рядом с каждым чекбоксом
• Отдельный чекбокс для рассылок — если собираете согласие на маркетинг

Критически важно: Чекбокс согласия не должен быть предзаполненным. Клиент должен сам поставить галочку. Предзаполненный чекбокс не считается надлежащим согласием.

Типичные ошибки салонов красоты

Ошибка 1: «У нас маленький салон, нас не проверят»

Роскомнадзор проводит как плановые, так и внеплановые проверки по жалобам. Один недовольный клиент — и к вам придут с проверкой. Размер бизнеса не имеет значения.

Ошибка 2: Скопированная политика конфиденциальности

Политика конфиденциальности другого бизнеса не подходит вашему салону. Она описывает чужие процессы, чужие данные, чужие цели. При проверке это сразу вскроется.

Ошибка 3: Одно согласие на всё

Нельзя одним чекбоксом получить согласие и на обработку данных для записи, и на рекламные рассылки, и на публикацию фотографий. Каждая цель — отдельное согласие.

Ошибка 4: Нет процедуры удаления данных

Клиент имеет право потребовать удаления своих данных. Если у вас нет процедуры — вы нарушаете закон. Нужно заранее прописать, как вы будете обрабатывать такие запросы.

Ошибка 5: Использование зарубежных сервисов без оценки

Если ваша CRM или система онлайн-записи хранит данные за рубежом, вы осуществляете трансграничную передачу персональных данных. Это требует дополнительных мер и отражения в документах.

Ошибка 6: Отсутствие обучения персонала

Администраторы и мастера, которые работают с клиентскими данными, должны быть ознакомлены под подпись с правилами обработки персональных данных. Устные инструкции не считаются.

Как Bejure.ru решает все сложности с документацией

Оформление полного комплекта документов по персональным данным — задача, которая требует юридических знаний, времени и внимания к деталям. Для владельца салона красоты, который занят развитием бизнеса, это серьёзная нагрузка.

Платформа Bejure.ru решает все сложности с документацией — быстро, профессионально и без необходимости разбираться в юридических тонкостях самостоятельно.

Что предлагает Bejure.ru:

Готовые комплекты документов для салонов красоты:

• Политика конфиденциальности, адаптированная под специфику бьюти-индустрии
• Формы согласий на обработку ПДн для клиентов и сотрудников
• Положение об обработке персональных данных
• Приказы и внутренние регламенты
• Документы для сайта с онлайн-записью

Актуальность и соответствие закону:

• Все документы разработаны квалифицированными юристами
• Регулярное обновление в соответствии с изменениями законодательства
• Учёт последних разъяснений Роскомнадзора и судебной практики

Простота использования:

• Понятный интерфейс без юридического жаргона
• Пошаговое заполнение данных о вашем салоне
• Готовый результат за минимальное время

Экономия:

• Стоимость значительно ниже, чем услуги юриста
• Полный комплект документов в одном месте
• Не нужно платить за каждую консультацию отдельно

С Bejure.ru вы получаете профессиональную документацию, которая защищает ваш бизнес от штрафов и претензий, не отвлекаясь от основной работы — заботы о клиентах.

Пошаговый план: как привести салон в соответствие с законом

Шаг 1: Проведите аудит Определите, какие данные вы собираете, где храните, кому передаёте и зачем. Составьте полную карту потоков данных.

Шаг 2: Подготовьте документы Оформите весь комплект: политику, согласия, положение, приказы. Используйте Bejure.ru для быстрого и корректного оформления.

Шаг 3: Уведомите Роскомнадзор Подайте уведомление через портал. Дождитесь включения в реестр операторов.

Шаг 4: Разместите документы Политику — на сайт и в салон. Чекбоксы — на все формы. Согласия — на стойку рецепции.

Шаг 5: Обучите персонал Проведите инструктаж для всех сотрудников. Подпишите обязательства о неразглашении.

Шаг 6: Настройте процессы Определите процедуры реагирования на запросы клиентов, инциденты и проверки.

Шаг 7: Контролируйте и обновляйте Регулярно проверяйте соблюдение требований и обновляйте документы при изменениях в законодательстве или бизнес-процессах.

FAQ: Часто задаваемые вопросы

1. Нужна ли политика конфиденциальности, если у салона красоты нет сайта?

Да, нужна. Политика конфиденциальности — это документ, описывающий принципы обработки персональных данных вашим салоном в целом, а не только на сайте. Если вы ведёте клиентскую базу, записываете клиентов по телефону, храните контакты в CRM — вы оператор персональных данных. Политика должна быть доступна клиентам в помещении салона. Наличие сайта лишь добавляет требование о размещении политики в интернете.

2. Можно ли хранить данные клиентов в обычной тетради или таблице Excel?

Можно, но с соблюдением требований безопасности. Бумажная тетрадь должна храниться в запирающемся шкафу с ограниченным доступом. Файл Excel должен быть защищён паролем, а компьютер — иметь антивирус и ограниченный доступ. Однако независимо от способа хранения все документы по персональным данным (политика, согласия, положение) должны быть оформлены в полном объёме. Способ хранения не освобождает от обязанности по документальному оформлению.

3. Что делать, если клиент требует удалить все свои данные из базы салона?

Вы обязаны удовлетворить такой запрос. По закону клиент имеет право отозвать своё согласие и потребовать прекращения обработки и уничтожения данных. После получения запроса у вас есть 30 дней на его выполнение. Необходимо удалить данные из всех систем: CRM, рассылок, архивов, бэкапов. Исключение — данные, которые вы обязаны хранить по другим законам (например, данные из кассовых документов для налогового учёта). Процедуру обработки таких запросов стоит прописать заранее.

4. Нужно ли получать отдельное согласие для онлайн-записи на сайте салона красоты?

Да, обязательно. При онлайн-записи клиент вводит персональные данные через форму на сайте. Перед отправкой формы он должен дать согласие на обработку этих данных — поставить галочку в чекбоксе, который не должен быть предзаполнен. Рядом с чекбоксом должна быть ссылка на политику конфиденциальности. Если вы одновременно предлагаете подписку на рассылку — это должен быть отдельный чекбокс. Документы для онлайн-записи салона красоты можно быстро подготовить на платформе Bejure.ru.

5. Распространяется ли закон о персональных данных на салон, если он работает как ИП?

Полностью распространяется. Закон № 152-ФЗ не делает различий между ООО, ИП или самозанятыми. Любое лицо, организующее и осуществляющее обработку персональных данных, является оператором и обязано соблюдать все требования: оформлять документы, получать согласия, уведомлять Роскомнадзор, обеспечивать защиту данных. Штрафы для ИП чуть ниже, чем для юрлиц, но всё равно существенны — до 100 000 рублей за отдельные нарушения.

6. Как часто нужно обновлять политику конфиденциальности салона красоты?

Политику необходимо обновлять при любых изменениях в процессах обработки данных: если вы начали использовать новую CRM-систему, подключили онлайн-запись, запустили программу лояльности, стали собирать новые категории данных или сменили хостинг-провайдера. Также обновление требуется при изменениях в законодательстве. Рекомендуется проводить ревизию документов не реже одного раза в год даже при отсутствии видимых изменений. Платформа Bejure.ru помогает поддерживать документы в актуальном состоянии.

7. Можно ли публиковать фотографии работ мастеров (до/после) в социальных сетях без согласия клиента?

Нет, нельзя. Фотография, на которой можно идентифицировать клиента, является персональными данными (биометрическими, если позволяет определить личность). Для публикации необходимо получить отдельное письменное согласие клиента, в котором указано, где именно будут размещены фотографии, с какой целью и на какой срок. Даже если лицо клиента не видно, но видны другие идентифицирующие признаки (татуировки, украшения), согласие всё равно необходимо. Клиент вправе отозвать согласие в любой момент, и тогда фотографии придётся удалить.

Заключение

Защита персональных данных в салоне красоты — это не бюрократическая формальность, а реальная необходимость для безопасности бизнеса. Штрафы растут, проверки учащаются, а клиенты всё чаще обращают внимание на то, как компании обращаются с их данными.

Полный комплект правильно оформленных документов — это ваша страховка от штрафов, судебных исков и репутационных потерь. А платформа Bejure.ru делает оформление этих документов простым, быстрым и доступным, позволяя вам сосредоточиться на главном — на качественном обслуживании клиентов.

(я подсчитал текущий объём — около 2 300 слов, значит нужно дописать раздел примерно на 700–750 слов, чтобы в сумме выйти на 3 000)

Особенности работы с персональными данными при использовании CRM-систем и сервисов онлайн-записи

Современный салон красоты практически невозможно представить без цифровых инструментов. CRM-системы, агрегаторы онлайн-записи, мессенджер-боты, сервисы email- и SMS-рассылок — все они ежедневно обрабатывают персональные данные ваших клиентов. Именно на стыке технологий и закона возникает больше всего вопросов, которые владельцы салонов нередко упускают из виду.

Кто является оператором, а кто — обработчиком

Когда салон подключает стороннюю CRM или виджет онлайн-записи, между участниками возникает юридическая связка: оператор — лицо, обрабатывающее данные по поручению оператора. Салон красоты в этой схеме всегда остаётся оператором, потому что именно он определяет цели и объём обработки. Разработчик CRM или сервис онлайн-записи выступает обработчиком — он выполняет технические функции по вашему поручению.

Это разграничение критически важно, потому что закон возлагает основную ответственность перед клиентом именно на оператора. Даже если утечка данных произошла на стороне CRM-провайдера, перед Роскомнадзором и клиентом отвечать будете вы.

Поручение на обработку персональных данных

Для легальной передачи данных в сторонний сервис необходимо поручение на обработку — отдельный документ или раздел в договоре с поставщиком, в котором чётко прописаны:

• Перечень передаваемых данных — какие именно поля клиентской карточки попадают в систему (ФИО, телефон, email, история визитов и т. д.)
• Цели обработки — ведение записи, отправка уведомлений, аналитика, маркетинговые рассылки
• Действия, которые обработчик вправе совершать — хранение, систематизация, передача push-уведомлений, резервное копирование
• Обязанности по защите данных — шифрование, разграничение доступа, журналирование действий
• Порядок удаления данных при прекращении сотрудничества
• Ответственность обработчика за нарушение условий

Если в вашем договоре с CRM-провайдером таких пунктов нет, фактическая передача данных происходит без правового основания — а это прямое нарушение статьи 6 Закона № 152-ФЗ. Обязательно проверьте действующие договоры и при необходимости заключите дополнительные соглашения.

Где физически хранятся данные

Согласно требованиям закона, при сборе персональных данных граждан Российской Федерации оператор обязан обеспечить запись, систематизацию, накопление и хранение с использованием баз данных, находящихся на территории России. Это правило распространяется и на облачные CRM-системы.

Перед подключением любого сервиса уточните:

• Расположение серверов — Россия или зарубежная юрисдикция
• Наличие зеркала базы данных на территории РФ
• Возможность экспорта и полного удаления данных

Если CRM хранит данные исключительно на зарубежных серверах, вы нарушаете требование о локализации. Даже если основной сервер находится в России, но резервные копии автоматически реплицируются за рубеж, это квалифицируется как трансграничная передача и требует дополнительных правовых оснований, оценки уровня защиты данных в стране-получателе и отражения в политике конфиденциальности.

Интеграции и передача данных между сервисами

Типичная цифровая экосистема салона красоты выглядит так: виджет онлайн-записи на сайте → CRM-система → сервис SMS-уведомлений → платформа email-рассылок → система аналитики. На каждом этапе персональные данные передаются от одного сервиса к другому.

Каждая такая передача должна быть:

1. Отражена в политике конфиденциальности — клиент должен знать, каким категориям третьих лиц передаются его данные
2. Покрыта согласием клиента — в тексте согласия должна быть указана возможность передачи данных третьим лицам с конкретизацией целей
3. Оформлена договорным поручением с каждым обработчиком
4. Обеспечена техническими мерами защиты — шифрование каналов передачи, API-ключи, контроль доступа

Проведите инвентаризацию всех сервисов, которые получают клиентские данные из вашей CRM. Составьте карту потоков данных — визуальную схему, показывающую, откуда данные приходят, где хранятся и куда передаются. Эта карта поможет не только при оформлении документов, но и при прохождении проверки Роскомнадзора.

Разграничение доступа внутри CRM

Не каждый сотрудник салона должен видеть всю клиентскую базу. Закон требует, чтобы доступ к персональным данным был ограничен кругом лиц, которым он необходим для выполнения служебных обязанностей.

Рекомендуемая модель доступа:

Большинство современных CRM позволяют настроить роли и права доступа. Потратьте время на корректную настройку — это не только требование закона, но и защита от внутренних утечек. Когда мастер увольняется, его учётная запись должна быть деактивирована в тот же день, а не через неделю, когда «руки дойдут».

Резервные копии и сроки хранения

Отдельная зона риска — резервные копии клиентской базы. Даже если вы удалили данные клиента из CRM по его запросу, они могут сохраняться в бэкапах. Формально это означает, что обработка не прекращена.

Пропишите во внутреннем положении:

• Периодичность создания резервных копий
• Срок хранения каждой копии
• Процедуру удаления данных конкретного клиента из бэкапов или срок автоматической ротации копий, после которого данные будут гарантированно уничтожены
• Ответственного за контроль процесса

Клиенту, направившему запрос на удаление, необходимо сообщить о реальных сроках полного уничтожения данных, включая резервные копии. Прозрачность в этом вопросе защитит вас от повторных жалоб.

Что делать при утечке данных из CRM

С 2023 года оператор обязан уведомить Роскомнадзор об инцидентах, связанных с незаконной или случайной передачей персональных данных. Уведомление подаётся в течение 24 часов с момента обнаружения инцидента, а результаты внутреннего расследования — в течение 72 часов.

Для салона красоты это означает, что нужно иметь заранее подготовленный план реагирования на инциденты:

1. Кто фиксирует факт инцидента
2. Кто принимает решение об уведомлении Роскомнадзора
3. Шаблон уведомления
4. Порядок информирования пострадавших клиентов
5. Технические меры по устранению последствий

Держать такой план «в голове» — не вариант. Он должен быть оформлен письменно и доступен ответственному сотруднику в любой момент.

Рекомендации по выбору CRM и сервисов онлайн-записи

При выборе цифровых инструментов для салона красоты оценивайте не только функциональность и стоимость, но и соответствие требованиям закона о персональных данных:

• Серверы на территории России — обязательно
• Возможность настройки ролей и прав доступа — обязательно
• Шифрование данных при хранении и передаче — крайне желательно
• Возможность полного экспорта и удаления данных — обязательно
• Готовность подписать поручение на обработку ПДн — обязательно
• Наличие у провайдера собственной политики безопасности — крайне желательно
• Журналирование действий пользователей — крайне желательно

Если текущий провайдер не может обеспечить эти условия, это серьёзный повод задуматься о смене сервиса — до того, как этот повод появится у Роскомнадзора.

Совет: Полный комплект документов, включая поручения на обработку данных третьим лицам и регламент реагирования на инциденты, можно подготовить на платформе Bejure.ru. Документы учитывают специфику бьюти-индустрии и актуальные требования законодательства, что избавляет от необходимости разбираться в юридических нюансах самостоятельно.