Персональные данные в турагентстве: паспорта туристов, передача за границу и роли участников

Турагентство обрабатывает данные, которые в других отраслях встречаются редко: паспорт целиком, включая серию, номер и дату выдачи, сведения о детях, иногда информацию о состоянии здоровья для медицинской страховки. И почти всё это передаётся дальше по цепочке. Разберём, что из этого следует.

Главная особенность: данные уходят за границу

Как только сведения о туристе передаются иностранному отелю, принимающей стороне или зарубежной системе бронирования, это трансграничная передача (статья 12 Федерального закона от 27.07.2006 № 152-ФЗ). До её начала оператор обязан уведомить Роскомнадзор о намерении её осуществлять, причём отдельным уведомлением — не тем, которое подаётся об обработке по статье 22 (часть 3 статьи 12). Правило действует с 1 марта 2023 года и введено Федеральным законом от 14.07.2022 № 266-ФЗ.

Второй слой — куда именно уходят данные. Роскомнадзор ведёт перечень государств, обеспечивающих адекватную защиту прав субъектов (часть 2 статьи 12). Передача в страну из перечня и передача в страну вне его оформляются по-разному: во втором случае оператор дополнительно оценивает, как с данными обойдутся на той стороне, а надзорный орган вправе передачу ограничить.

Кто здесь оператор, а кто обработчик

Это второй вопрос, на котором спотыкаются. В цепочке «турист — агентство — туроператор — перевозчик, страховщик, визовый центр» роли распределяются по одному признаку: кто определяет цели обработки. Если контрагент действует по заданию агентства, оформляется поручение на обработку с перечнем данных, действий и требованиями к безопасности (часть 3 статьи 6). Если он решает сам, зачем ему данные, — он самостоятельный оператор, и в документах агентства фиксируется состав передаваемых сведений и основание передачи, а турист об этой передаче информируется.

Ответ здесь не универсальный: он следует из договора между агентством и туроператором. Но он должен быть один и тот же в договоре, в политике обработки и в согласии, которое подписывает турист.

Дети и сведения о здоровье

За ребёнка согласие даёт законный представитель, и подписывает его тот, кто им является, а не «взрослый, который оплатил тур». Сведения о состоянии здоровья, которые нужны для страховки или спецпитания, относятся к специальным категориям (статья 10 того же закона): их собирают в минимальном объёме, с согласия и не хранят дольше, чем нужно для поездки.

Сложности, с которыми сталкиваются

• Сканы в мессенджерах. Турист присылает фотографию паспорта в чат, менеджер пересылает её туроператору. Данные оказываются в трёх местах, ни одно из которых не описано в документах агентства и не контролируется им.
• Работа с частными агентами. Менеджер, работающий из дома со своего компьютера, — это отдельное место обработки и отдельный риск: база уезжает вместе с ним.
• Хранение после поездки. Копии паспортов и свидетельств о рождении лежат в папках годами, потому что «вдруг поедут снова». Основания для этого нет, а объём утечки такие архивы увеличивают кратно.
• Смена туроператора. Агентство меняет партнёра, а условия обработки в договоре остаются от прежнего — либо их нет вовсе.

Характерные ошибки

• Подано только одно уведомление. Агентство уведомило Роскомнадзор об обработке и считает вопрос закрытым, хотя данные уходят за границу и нужно второе уведомление — о намерении осуществлять трансграничную передачу.
• Согласие на всё сразу. Один бланк, в котором перемешаны обработка, передача туроператору, реклама и публикация отзыва. Отозвать что-то одно турист не может, а значит, согласие оспоримо.
• Роли не определены. В договоре с туроператором о персональных данных нет ни строки, и на вопрос «кто отвечает перед туристом» ответа нет ни у кого.
• Паспорт ребёнка запрашивают у сопровождающего. Согласие подписывает не законный представитель, и обработка данных ребёнка остаётся без основания.
• Политика обработки без слова о загранице. В ней нет ни трансграничной передачи, ни перечня получателей — то есть нет главного, чем отличается турагентство.

С чего начать

Сначала выпишите маршрут данных: от кого получены, кому переданы, в какую страну ушли. Дальше — два уведомления в Роскомнадзор (об обработке и о трансграничной передаче), политика обработки с перечнем получателей, отдельные согласия вместо одного общего и договорные условия с туроператором. Требования и перечень документов отрасли собраны на странице защиты персональных данных в турагентстве.