152-ФЗ для кафе и ресторана: какие документы нужны и какие штрафы
Материал ПдПро
Кафе и ресторан собирают персональные данные незаметно для себя: имя и телефон при бронировании стола, адрес при доставке, номер для Wi-Fi, контакты в программе лояльности, отзывы, записи с камер, анкеты и медкнижки сотрудников. По 152-ФЗ заведение общепита — оператор персональных данных, а значит обязано уведомить Роскомнадзор, опубликовать политику и правильно оформить согласия. Разбираем, что действительно нужно, где владельцы перестраховываются, а где рискуют штрафом до 300 000 ₽ — и почему медкнижки поваров пугают зря.
Какие данные обрабатывает кафе
Поток шире, чем кажется:
- бронирование и заказ — имя и телефон гостя в журнале или системе бронирования;
- доставка — плюс адрес и, нередко, детали заказа;
- Wi-Fi для гостей — номер телефона при авторизации;
- программа лояльности — база для бонусных карт, SMS и email об акциях;
- отзывы — имена и контакты гостей на сайте и в соцсетях;
- видеонаблюдение — камеры в зале и на кухне;
- сотрудники — паспортные данные, анкеты и медицинские книжки.
Почти каждый поток здесь — обычные персональные данные. Исключение — медкнижки, о них в конце.
Две базовые обязанности
1. Уведомить Роскомнадзор. Уведомление об обработке персональных данных подаётся до начала обработки — то есть ещё до открытия. Если заведение работает, а в реестре операторов его нет, это штраф по ч. 10 ст. 13.11 КоАП: 100 000 – 300 000 ₽ и для ИП, и для юрлиц (ИП здесь отвечают как юрлица — примечание 1 к статье).
2. Опубликовать политику обработки ПД. Политика — публичный документ: ссылка в подвале сайта, в форме бронирования и на странице доставки. Нет политики — ч. 3 ст. 13.11: ИП 10 000 – 20 000 ₽, юрлица 30 000 – 60 000 ₽.
Согласия без перегибов
Здесь заведения чаще всего ошибаются в обе стороны: собирают согласие там, где оно не нужно, и забывают там, где обязательно.
Бронирование и доставка — без согласия. Чтобы принять бронь или доставить заказ, вы обрабатываете имя, телефон и адрес на договорном основании: это нужно для исполнения договора, стороной которого является гость (п. 5 ч. 1 ст. 6 152-ФЗ). Отдельное согласие на это не требуется — как и в салоне, и в интернет-магазине.
Рассылки и лояльность — только с согласия. А вот SMS «скидка 20% на бизнес-ланч» или email с акциями — это реклама. Распространять её по сетям электросвязи можно лишь с предварительного согласия адресата, и доказывать наличие согласия будет заведение (ст. 18 38-ФЗ «О рекламе»). Программа лояльности, где вы шлёте предложения, работает на том же согласии. И с 01.09.2025 согласие оформляется отдельным документом, а не галочкой в анкете участника (156-ФЗ, ст. 9 ч. 1). Рассылка без согласия бьёт сразу по двум законам: по 152-ФЗ это обработка данных без законного основания (ч. 1 ст. 13.11), и отдельно — штраф за рекламу по сетям электросвязи без согласия: ст. 14.3 ч. 4.1 КоАП, для юрлиц до 1 000 000 ₽. Плюс к штрафу — обязанность по существу: 152-ФЗ отдельно требует предварительное согласие именно на обработку данных в целях продвижения товаров и услуг (ст. 15 ч. 1), а если гость передумал — прекратить такую обработку немедленно по его требованию, а не в общий срок на запросы (ст. 15 ч. 2).
Wi-Fi по номеру телефона. Сбор номера при авторизации в гостевой сети — это тоже обработка персональных данных. Основание — предоставление гостю доступа к сети (оферта, п. 5 ч. 1 ст. 6); на экране авторизации дайте ссылку на политику обработки. А если на том же номере вы потом строите рекламную рассылку, добавьте отдельное согласие на рекламу — без него рассылать нельзя.
Агрегаторы доставки и сервисы бронирования
Если гость заказывает через ваш собственный сайт или приложение, данные обрабатываете вы сами на договорном основании — как при обычной брони. Со сторонними сервисами картина двоякая, и класс определяется офертой конкретного сервиса, а не типом услуги. Сервисы, работающие по вашему заданию — облачная касса, CRM, часть систем бронирования столиков, — это обработчики по поручению: закон требует договор с обязательными элементами (перечень данных и операций, цели, конфиденциальность, требования к защите — ч. 3 ст. 6 152-ФЗ); отдельное согласие гостя на само поручение не нужно, основание даёт договор на заказ (п. 5 ч. 1 ст. 6). А крупные агрегаторы вроде Яндекс Еды чаще выступают самостоятельными операторами: гость оформляет заказ у них, и цели обработки его данных определяет платформа — конструкция поручения к таким сервисам не применяется, сверяйтесь с офертой. В любом случае за данные, которые обрабатываете вы, перед гостем отвечает заведение (ч. 5 ст. 6) — «это подрядчик виноват» аргументом в споре не станет.
Камеры, фото и отзывы
Видеонаблюдение в зале и на кухне — тоже обработка персональных данных: в кадр попадают и гости, и сотрудники. Ставить камеры закон не запрещает, но гостей нужно предупредить о съёмке заметной табличкой на входе и в зале, оформить положение о видеонаблюдении и не хранить записи дольше, чем нужно для заявленной цели — по общему правилу данные хранят не дольше, чем этого требуют цели обработки (ст. 5 ч. 7 152-ФЗ).
Публикация фото гостя или отзыва с его именем в соцсетях и на сайте — уже распространение персональных данных. Для него нужно согласие на распространение, оформленное отдельным документом (ст. 10.1 152-ФЗ). Устного «гость не против» недостаточно: без бумаги любое «уберите меня со страницы» превращается в претензию, где доказательств у заведения нет.
Медкнижки сотрудников: спецкатегория, которая пугает зря
Медицинская книжка повара и официанта содержит сведения о состоянии здоровья, а это специальная категория персональных данных — самая чувствительная. Отсюда частый страх: «значит, с каждого сотрудника нужно письменное согласие на обработку данных о здоровье». На деле — нет.
Закон разрешает обрабатывать специальные категории данных без отдельного согласия, если обработка идёт в соответствии с трудовым законодательством (ст. 10 ч. 2 п. 2.3 152-ФЗ). Медкнижки для работников общепита обязательны по санитарным нормам, вы ведёте их как работодатель — значит основание уже есть. Отдельное согласие на обработку данных о здоровье для этого не нужно. Что нужно — общий кадровый блок документов: положение об обработке ПД работников, согласия на обработку в целях, не покрытых трудовыми отношениями, обязательства о неразглашении. И, конечно, хранить медкнижки так, чтобы к ним не было доступа у посторонних.
Если база гостей утекла
Слив базы бронирований или доставки — не повод тянуть время. С момента обнаружения инцидента у заведения 24 часа на первичное уведомление Роскомнадзора (что произошло, предполагаемый вред, принятые меры) и ещё 72 часа на результаты внутреннего расследования (ч. 3.1 ст. 21 152-ФЗ, приказ РКН № 187). Уведомление подаётся через портал персональных данных РКН.
Штрафы: краткая сводка
Суммы приведены в редакции 420-ФЗ (действует с 2025 года).
| Нарушение | ИП | Юрлицо |
|---|---|---|
| Нет уведомления в РКН (ч. 10) | 100 000 – 300 000 ₽ | 100 000 – 300 000 ₽ |
| Нет политики на сайте (ч. 3) | 10 000 – 20 000 ₽ | 30 000 – 60 000 ₽ |
| Обработка без законного основания, напр. реклама без согласия (ч. 1) | 50 000 – 100 000 ₽* | 150 000 – 300 000 ₽ |
* По ч. 10 ИП приравнены к юрлицам (примечание 1 к ст. 13.11 — распространяется на части 1.1 и 8–18). По ч. 1 такого приравнивания нет: ИП по общему правилу отвечает как должностное лицо — 50 000 – 100 000 ₽ (примечание к ст. 2.4 КоАП). Все составы — в полной таблице штрафов.
Частые вопросы
Мы принимаем брони по телефону и записываем в тетрадь. 152-ФЗ нас касается? Да. Закон регулирует и неавтоматизированную обработку: тетрадь с именами и телефонами гостей — уже обработка персональных данных, а кафе — оператор.
Нужно ли согласие гостя, чтобы принять заказ на доставку? Нет. Имя, телефон и адрес для доставки обрабатываются на договорном основании (п. 5 ч. 1 ст. 6). Согласие понадобится, только если вы захотите потом присылать этому гостю рекламу.
Можно ли фотографировать гостей для соцсетей заведения? Публикация фото, на котором узнаётся человек, — это распространение персональных данных. Для него нужно согласие на распространение, оформленное отдельным документом (ст. 10.1 152-ФЗ). Без него любое «уберите меня со страницы» превращается в претензию.
С чего начать, если ничего из этого нет? По убыванию риска: уведомление в РКН, политика на сайт, согласия для рассылок и лояльности, поручения сервисам, кадровый блок. Конструктор с профилем «Кафе» соберёт пакет под ваше заведение за 10 минут.
Чек-лист документов кафе
- уведомление в Роскомнадзор (подано, заведение в реестре операторов);
- политика обработки персональных данных (на сайте, в форме брони и доставки);
- согласие на обработку ПД — для рассылок и программы лояльности (отдельным документом);
- согласие на распространение — для фото гостей в соцсетях;
- для каждого сервиса (агрегатор, бронирование, касса, CRM) определён класс по его оферте — обработчик по поручению (нужен договор по ч. 3 ст. 6) или самостоятельный оператор (раскрытие в политике);
- положение о видеонаблюдении и табличка в зале;
- кадровый блок: положение об обработке ПД работников, согласия, обязательства о неразглашении; безопасное хранение медкнижек.
Полный состав пакета по 152-ФЗ — в перечне документов.
Итог
Кафе не нужно «согласие на всё» — нужно правильное основание под каждый поток: договор для брони и доставки, отдельное согласие для рассылок и лояльности, поручение для агрегаторов и сервисов, кадровый блок для сотрудников. Медкнижки поваров, вопреки страхам, оформляются по трудовому законодательству без отдельного согласия на данные о здоровье. Проверьте свой набор через бесплатную проверку в конструкторе с профилем «Кафе» — увидите список документов и открытые риски именно вашего заведения: 2 990 ₽ против штрафов от 30 000 ₽ за одну только политику.