Персональные данные клиентов салона красоты: согласия, уведомление в РКН, фото и штрафы

Любой салон — оператор персональных данных. Имя и телефон клиента в журнале записи, история визитов, формула окрашивания, отметка об аллергии, фото работы в соцсетях — всё это персональные данные. Закон № 152-ФЗ «О персональных данных» применяется к салону на 2 кресла так же, как к сети: масштаб влияет на объём, но не на сами обязанности.

С 30 мая 2025 года в КоАП вступили в силу поправки, которые существенно увеличили штрафы за нарушения, а ИП стали отвечать наравне с юрлицами по ряду составов. Пора навести порядок.

Какие данные салон обрабатывает

Обязанность 1. Уведомление в Роскомнадзор

До начала обработки персональных данных оператор обязан подать уведомление в Роскомнадзор. Это касается юрлиц и ИП; исключения из этого правила узкие, и салон, ведущий клиентскую базу, обычно под них не подпадает.

Подать уведомление можно на сайте Роскомнадзора, через Госуслуги или по почте. В уведомлении указываются цели обработки, категории данных, меры защиты, место хранения (базы данных должны находиться в России) и другие сведения. Если сведения меняются, подаётся уведомление об изменениях.

За неподачу уведомления штрафы после поправок 2025 года стали ощутимыми. Проверьте, есть ли ваш салон в реестре операторов на сайте Роскомнадзора.

Обязанность 2. Политика обработки персональных данных

Документ, в котором салон описывает, какие данные собирает, зачем, как хранит, кому передаёт и как клиент может отозвать согласие. Политика должна быть опубликована — на сайте салона, а если сайта нет, — доступна в салоне. Ссылка на политику — во всех формах, где клиент оставляет данные: онлайн-запись, сайт, анкеты.

Обязанность 3. Согласия

Не на всё нужно отдельное согласие: для исполнения договора с клиентом (записи на услугу) законное основание обработки — сам договор. Но для ряда целей согласие обязательно:

• рекламные сообщения — отдельное согласие на получение рекламы (это требование и закона о рекламе);
• данные о здоровье — письменное согласие (аллергии, противопоказания в анкете клиента);
• публикация фото и видео клиента в соцсетях, на сайте, картах — согласие на распространение, оформленное отдельно от других согласий;
• передача данных третьим лицам — партнёрам, если это не нужно для оказания услуги.

О рассылках подробно — в статье о рассылках и 152-ФЗ.

Фото «до/после»

Самая частая серая зона в салонах. Мастер фотографирует работу и выкладывает в соцсети. Если на фото узнаваемое лицо — это персональные данные, и для публикации нужно согласие клиента на распространение. Если только руки или ногти без идентифицирующих деталей — риск ниже, но спросить разрешения всё равно правильно.

Практичный порядок:

1. В анкете клиента — отдельный пункт «Разрешаю публиковать фото моих работ без лица / с лицом».
2. Отметка в карте клиента, чтобы мастер видел её до съёмки.
3. По требованию клиента — удаление фото в разумный срок.

Данные о здоровье

Аллергии, противопоказания, беременность — это специальная категория персональных данных. Салону они действительно нужны для безопасности услуги, но обрабатывать их можно только с письменного согласия и с повышенной защитой:

• доступ только у тех, кому они нужны для работы (мастер, администратор при записи);
• никаких скриншотов карт клиентов в общих чатах;
• никакой передачи в нейросети и сторонние сервисы — см. статью ИИ в салоне.

Где хранятся данные

• Базы данных должны находиться в России (требование локализации). Это касается и CRM, и онлайн-записи, и облачных таблиц.
• Тетрадь администратора и Excel на личном ноутбуке — тоже обработка персональных данных, причём плохо защищённая.
• Переписка в мессенджерах — данные клиентов в чатах на личных телефонах сотрудников. Используйте рабочие аккаунты, а при увольнении сотрудника — закрывайте доступ.
• Резервные копии — тоже персональные данные, тоже в России.

Утечки

Утечка данных — это не только хакеры. Чаще это:

• уволенный администратор забрал базу клиентов;
• мастер в аренде ушёл с выгрузкой клиентов салона;
• таблица с клиентами открыта «по ссылке» всем;
• общий пароль от CRM на стикере у кассы.

При утечке оператор обязан уведомить Роскомнадзор в установленные сроки (первичное уведомление — в течение 24 часов, результаты расследования — в течение 72 часов). Штрафы за утечки после 2025 года зависят от объёма данных и для юрлиц исчисляются миллионами рублей, а при повторных нарушениях возможны оборотные штрафы.

Права доступа: простые меры

• Персональные логины в CRM для каждого сотрудника, без общих паролей.
• Роли: мастер видит своих клиентов и записи, администратор — запись и контакты, выгрузка базы — только у владельца.
• Отключение доступа при увольнении — в тот же день.
• Журнал действий, если система его ведёт.
• Запрет на выгрузку базы на личные устройства.

Штрафы: порядок цифр

После поправок, вступивших в силу 30 мая 2025 года:

Точные суммы зависят от состава и смотрите их в актуальной редакции ст. 13.11 КоАП РФ. ИП по ряду составов отвечают как юрлица.

Запросы клиентов о своих данных

Клиент вправе узнать, какие его данные обрабатывает салон, потребовать их уточнения или удаления и отозвать согласие. Как это выглядит на практике:

• Запрос «удалите мои данные». Удалите или обезличьте данные, которые больше не нужны для целей обработки. Учтите: часть данных (например, об оплатах) салон может быть обязан хранить по другим законам — эти сроки указываются в политике.
• Отзыв согласия на рекламу. Прекратите рекламные сообщения сразу. Сервисные сообщения о записи остаются возможными, пока клиент пользуется услугами.
• Запрос сведений. Ответьте в установленный законом срок: какие данные, зачем, кому передаются.

Назначьте ответственного за такие запросы — обычно это владелец или управляющий — и опишите порядок в политике.

Сотрудники и мастера

Персональные данные сотрудников и мастеров — паспортные данные, медкнижки, сведения для договоров — обрабатываются по тем же правилам. Мастер в аренде или самозанятый тоже передаёт салону свои данные для договора. Храните документы в закрытом доступе и не пересылайте сканы паспортов в общих чатах.

Чек-лист для салона

• Уведомление в Роскомнадзор подано, салон есть в реестре операторов.
• Политика обработки ПДн опубликована, ссылка есть в онлайн-записи и на сайте.
• Согласия разделены по целям: обслуживание, реклама, фото, данные о здоровье.
• В анкете клиента — отдельные пункты о фото и данных о здоровье.
• CRM и все копии данных хранятся в России.
• У каждого сотрудника персональный доступ с ролями.
• Доступ отключается в день увольнения.
• Базу клиентов нельзя выгрузить без ведома владельца.
• Есть порядок действий при утечке.

Порядок действий: с чего начать на этой неделе

1. Проверьте реестр операторов на сайте Роскомнадзора: есть ли там ваш салон. Если нет — подготовьте и подайте уведомление.
2. Найдите или напишите политику обработки персональных данных и опубликуйте её на сайте и в онлайн-записи.
3. Пересмотрите формы: онлайн-запись, анкета клиента, сайт. Разделите согласия по целям: обслуживание, реклама, фото, здоровье.
4. Проверьте, где хранятся данные: CRM, таблицы, мессенджеры, ноутбуки. Всё ли в России, у кого есть доступ.
5. Раздайте персональные доступы и уберите общие пароли.
6. Опишите, что делать при утечке: кто отвечает, кого уведомлять и в какие сроки.

Большая часть пунктов делается за несколько часов. Самое трудоёмкое — документы, и здесь стоит один раз потратиться на юриста, а не копировать чужую политику, которая не соответствует вашей реальной обработке.

Системы записи и CRM: на что смотреть

Выбирая систему для записи и клиентской базы, проверьте: где хранятся данные (на серверах в России), есть ли персональные логины и роли сотрудников, можно ли ограничить выгрузку базы, отмечаются ли согласия клиентов в карте, есть ли у поставщика документы о защите данных. Это не формальность: при утечке отвечает салон как оператор.

Итог

Салон обрабатывает персональные данные каждый день, и требования к этому выросли: уведомление в Роскомнадзор, политика, отдельные согласия по целям, хранение в России, защита данных о здоровье, порядок при утечке. Большая часть этого — не юридическая сложность, а дисциплина: разделить согласия, раздать персональные доступы, не публиковать фото без разрешения.

Клиентская база Homade хранит карты клиентов в одной системе с персональными доступами сотрудников — вместо тетрадей, таблиц и скриншотов в чатах.

Вопросы и ответы

Нужно ли маленькому салону подавать уведомление в Роскомнадзор?

Как правило, да. Салон, который ведёт базу клиентов, является оператором персональных данных и до начала обработки должен подать уведомление. Исключения узкие.

Можно ли публиковать фото работ клиентов?

С согласия клиента на распространение. Если на фото узнаваемое лицо — согласие обязательно. Удобно добавить отдельный пункт в анкету клиента.

Нужно ли согласие, чтобы записать клиента?

Для записи и оказания услуги основанием служит договор с клиентом. Отдельное согласие нужно для рекламы, публикации фото, данных о здоровье и передачи данных третьим лицам.

Можно ли хранить базу клиентов в зарубежном облачном сервисе?

Нет. Базы данных с персональными данными граждан России должны находиться на территории России.

Что делать, если администратор ушёл с базой клиентов?

Это утечка. Нужно уведомить Роскомнадзор в установленные сроки, провести внутреннее расследование и закрыть причину: персональные доступы, роли, запрет выгрузки.