Защита персональных данных для фитнес-клуба
Фитнес-клуб знает о клиенте больше, чем кажется: контакты, абонемент, посещения, иногда справку о здоровье и биометрию для прохода через турникет. Разберём, что здесь требует закон и чего делать нельзя.
Знакомые ситуации
- •Поставили вход по лицу или отпечатку — как это оформить.
- •Берём справки о здоровье и данные о противопоказаниях.
- •В залах видеонаблюдение, а на абонементы — рассрочка через банк.
Что нужно по 152-ФЗ
Биометрия для входа
Лицо и отпечаток, по которым клуб узнаёт человека на турникете, — биометрические персональные данные: обрабатывать их можно только с согласия в письменной форме (часть 1 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ). Согласие оформляют отдельно от общего согласия на обработку, а порядок работы с такими данными закрепляют правилами.
Отказ от биометрии не лишает услуги
Предоставление биометрических данных не может быть обязательным, и клуб не вправе отказать в обслуживании тому, кто отказался (часть 3 статьи 11). Значит, у входа по лицу всегда должна оставаться альтернатива — карта, браслет или пропуск по документу.
Справки и противопоказания
Сведения о состоянии здоровья — специальная категория (статья 10). Клубу нужен факт допуска к нагрузкам, а не медицинская карта: собирают минимум, хранят ограниченный срок и не копируют лишнего.
Уведомление Роскомнадзора
Уведомить надзорный орган об обработке нужно до её начала (часть 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ); если обработка уже идёт, уведомление подают, не откладывая. Исключение осталось за обработкой исключительно без средств автоматизации — то есть за полностью бумажным учётом. В уведомлении отражают и биометрию, если клуб её использует.
Политика обработки
Политику обработки публикуют и дают к ней доступ там, где собираются данные — на сайте и в приложении, где идёт запись и покупка абонементов (часть 2 статьи 18.1 того же закона). Политика отвечает на вопрос, что и зачем вы обрабатываете, поэтому её текст пишется под ваши процессы, а не берётся с чужого сайта.
Видеонаблюдение и партнёры
О видеонаблюдении посетителей предупреждают, камеры не ставят в раздевалках и душевых, а срок хранения записей ограничивают. Если абонемент оформляется в рассрочку или клуб пользуется облачной системой записи, отношения с банком и сервисом оформляют как передачу данных или поручение на обработку (часть 3 статьи 6).
С чего начать
Уровень защищённости ИСПДн →Профиль обработки и типовые объекты преднастроятся под вашу отрасль — можно изменить позже.
С каких документов начать
Каждый собирается под вашу организацию: реквизиты по ИНН, содержание — по ответам о том, что и как вы обрабатываете. Сколько документов входит в комплект, написано на карточке.
Что должно быть в приказе о назначении ответственного за организацию обработки персональных данных (статья 22.1 152-ФЗ): кого назначают, его функции и как оформить. Структура документа.
Что должно быть в политике обработки персональных данных по части 2 статьи 18.1 152-ФЗ, как её составить под реальные процессы и где опубликовать. Структура документа и частые ошибки.
Какие реквизиты должны быть в согласии на обработку персональных данных по части 4 статьи 9 152-ФЗ, когда оно нужно, а когда основанием служит договор. Структура и требование об отдельном документе.
Как оформить правила обработки биометрических персональных данных: что считается биометрией, письменное согласие субъекта, требования к материальным носителям биометрии и отношения с единой биометрической системой.
Какие сведения указывают в уведомлении об обработке персональных данных (статья 22 152-ФЗ), кому обязательно его подавать и как это сделать бесплатно через Портал персональных данных Роскомнадзора (pd.rkn.gov.ru).
Какие графы нужны в журнале учёта согласий субъектов: дата, цель, срок действия и отметка об отзыве. Зачем нужен журнал, если бремя доказывания согласия лежит на операторе (часть 3 статьи 9 152-ФЗ).
Частые вопросы
Можно ли сделать вход в фитнес-клуб только по лицу?
Нет. Предоставление биометрических данных не может быть обязательным, и отказавшемуся нельзя отказать в обслуживании (часть 3 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ). Вход по лицу остаётся удобной возможностью, а не единственным способом пройти.
Какое согласие нужно на распознавание лица на турникете?
Согласие в письменной форме на обработку биометрических персональных данных (часть 1 статьи 11). Оно оформляется отдельно, называет цель — проход в клуб — и срок обработки; порядок работы с биометрией клуб закрепляет своими правилами.
Нужно ли хранить медицинскую справку клиента?
Клубу достаточно зафиксировать факт допуска к нагрузкам. Сведения о здоровье — специальная категория данных, поэтому их собирают в минимальном объёме и не хранят дольше, чем нужно для цели.
Подробнее в Базе знаний
Материал носит информационный характер и не заменяет индивидуальную оценку. Требования применяются с учётом целей обработки и особенностей организации.