Защита персональных данных для турагентства
Турагентство собирает самое чувствительное — паспорта туристов и их детей, даты поездки, иногда сведения о здоровье для страховки — и почти всегда передаёт эти данные дальше: туроператору, перевозчику, страховщику, принимающей стороне за рубежом. Каждая передача требует своего оформления.
Знакомые ситуации
- •Передаём паспортные данные туроператору и авиаперевозчику.
- •Данные уходят за границу — принимающей стороне и отелю.
- •Оформляем поездки с детьми и берём справки для страховки.
Что нужно по 152-ФЗ
Трансграничная передача
Если данные туристов уходят за пределы России — принимающей стороне, отелю, зарубежной системе бронирования, — это трансграничная передача (статья 12 Федерального закона от 27.07.2006 № 152-ФЗ). До её начала оператор обязан уведомить Роскомнадзор о намерении её осуществлять, причём отдельным уведомлением — не тем, что подаётся по статье 22 (часть 3 статьи 12; правило действует с 01.03.2023, введено Федеральным законом от 14.07.2022 № 266-ФЗ).
Страны с адекватной защитой и все остальные
Роскомнадзор ведёт перечень государств, обеспечивающих адекватную защиту прав субъектов (часть 2 статьи 12). С 26.07.2026 (Федеральный закон от 26.07.2026 № 265-ФЗ) в него включают государства, чьё регулирование и меры защиты соответствуют Конвенции Совета Европы: участие в Конвенции само по себе страну в перечень не помещает, и смотреть надо действующую редакцию перечня. Передача в страну из перечня и вне его оформляется по-разному: во втором случае оператор дополнительно оценивает условия обработки на стороне получателя, а надзорный орган вправе передачу ограничить.
Кто оператор, а кто обработчик
С туроператором, перевозчиком, страховщиком и визовым центром определяют роли: действует ли контрагент по заданию агентства (поручение на обработку, часть 3 статьи 6) или как самостоятельный оператор. От ответа зависит, что писать в договоре и кто отвечает перед туристом.
Данные детей и сведения о здоровье
За ребёнка согласие даёт законный представитель. Сведения о здоровье, которые нужны для страховки или спецпитания, — специальная категория (статья 10): их собирают в минимальном объёме, с согласия и не хранят дольше, чем нужно.
Уведомление Роскомнадзора
Уведомить надзорный орган об обработке нужно до её начала (часть 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ); если обработка уже идёт, уведомление подают, не откладывая. Исключение осталось за обработкой исключительно без средств автоматизации — то есть за полностью бумажным учётом. Уведомление об обработке и уведомление о трансграничной передаче — два разных документа: нужны оба.
Политика обработки
Политику обработки публикуют и дают к ней доступ там, где собираются данные — на сайте и в форме заявки на подбор тура (часть 2 статьи 18.1 того же закона). Политика отвечает на вопрос, что и зачем вы обрабатываете, поэтому её текст пишется под ваши процессы, а не берётся с чужого сайта.
Объём данных
Копии паспортов и свидетельств о рождении не хранят «на всякий случай» после поездки: данные должны соответствовать цели и не быть избыточными (часть 5 статьи 5 того же закона).
С чего начать
Нужно ли уведомлять Роскомнадзор →Профиль обработки и типовые объекты преднастроятся под вашу отрасль — можно изменить позже.
С каких документов начать
Каждый собирается под вашу организацию: реквизиты по ИНН, содержание — по ответам о том, что и как вы обрабатываете. Сколько документов входит в комплект, написано на карточке.
Что должно быть в приказе о назначении ответственного за организацию обработки персональных данных (статья 22.1 152-ФЗ): кого назначают, его функции и как оформить. Структура документа.
Что должно быть в политике обработки персональных данных по части 2 статьи 18.1 152-ФЗ, как её составить под реальные процессы и где опубликовать. Структура документа и частые ошибки.
Какие реквизиты должны быть в согласии на обработку персональных данных по части 4 статьи 9 152-ФЗ, когда оно нужно, а когда основанием служит договор. Структура и требование об отдельном документе.
Уведомление о намерении осуществлять трансграничную передачу персональных данных: какие сведения включить, когда его подают и чем трансграничная передача отличается от использования иностранных сервисов и облаков.
Какие условия должны быть в поручении на обработку персональных данных (договоре с обработчиком) по части 3 статьи 6 152-ФЗ: перечень данных, цели, конфиденциальность, меры защиты, уведомление об инцидентах.
Какие сведения указывают в уведомлении об обработке персональных данных (статья 22 152-ФЗ), кому обязательно его подавать и как это сделать бесплатно через Портал персональных данных Роскомнадзора (pd.rkn.gov.ru).
Частые вопросы
Нужно ли турагентству отдельное уведомление о трансграничной передаче?
Да, если данные туристов передаются за пределы России. Уведомление о намерении осуществлять трансграничную передачу подаётся до начала передачи и отдельно от уведомления об обработке по статье 22 (часть 3 статьи 12 Федерального закона от 27.07.2006 № 152-ФЗ).
Как оформить передачу паспортных данных туроператору?
Сначала определить роль туроператора: если он обрабатывает данные по заданию агентства, оформляется поручение на обработку с перечнем данных, действий и требований к безопасности (часть 3 статьи 6); если он самостоятельный оператор, в документах агентства фиксируют состав передаваемых данных и основание передачи, а туриста информируют о ней.
Подробнее в Базе знаний
Материал носит информационный характер и не заменяет индивидуальную оценку. Требования применяются с учётом целей обработки и особенностей организации.