Турагенты и туроператоры обрабатывают большой массив персональных данных клиентов: ФИО, паспортные данные, контакты, банковские реквизиты, а также специальные категории (например, сведения о состоянии здоровья для оформления страховки или визы). Это делает сферу туризма одной из наиболее уязвимых при проверках Роскомнадзора.
Основные документы, которые проверяют у турагентств:
- Политика в отношении обработки ПДн — опубликованная на сайте агентства и утверждённая руководителем.
- Положение об обработке и защите ПДн — внутренний локальный акт, регулирующий работу с данными клиентов, сотрудников и партнёров.
- Приказ о назначении ответственного за организацию обработки ПДн.
- Перечень обрабатываемых ПДн (паспортные данные, визовые анкеты, медицинские справки, телефоны, e-mail и др.).
- Согласия клиентов:
- на обработку персональных данных для заключения и исполнения договора;
- на передачу данных в авиакомпании, гостиницы, визовые центры, страховые компании;
- отдельные согласия на фото- и видеосъёмку (при участии в рекламных акциях).
- Журнал регистрации согласий.
- Журнал обращений субъектов ПДн (например, если клиент требует уточнить или удалить свои данные).
- Регламент доступа к ПДн и перечень сотрудников, имеющих доступ к базе клиентов.
- Договоры с контрагентами (авиакомпании, гостиницы, страховые компании), если им передаются ПДн.
- Документы по защите ПДн — акты об уничтожении, план реагирования на инциденты, протоколы обезличивания (если данные используются в статистике).
- Журналы инструктажей сотрудников по вопросам ПДн.
Обоснование по законодательству
- ФЗ-152, ст. 18.1 — обязывает оператора утверждать локальные акты по обработке ПДн.
- ФЗ-152, ст. 19 — оператор обязан принимать меры по обеспечению безопасности данных.
- ФЗ-152, ст. 10 — данные о здоровье относятся к специальным категориям и требуют отдельного согласия.
- Ст. 9 ФЗ-152 — согласие должно быть конкретным и информированным.
- Закон РФ «Об основах туристской деятельности» № 132-ФЗ — турагент обязан надлежащим образом оформлять документы клиентов для поездок.
Практика проверок Роскомнадзора
На практике у турагентств часто выявляют:
- отсутствие отдельного согласия на передачу данных за границу при оформлении виз;
- использование общих шаблонов согласий без указания целей и сроков;
- передачу копий паспортов подрядчикам (например, страховым компаниям) без договоров, закрепляющих обязательства по защите ПДн.
В одном случае турагентство собирало копии паспортов клиентов, но не имело ни приказа о назначении ответственного, ни положения об обработке ПДн — Роскомнадзор выдал предписание и обязал устранить нарушения. В другом случае проверка показала, что политика ПДн на сайте не соответствовала фактической деятельности агентства — документ признали формальным.
Что важно учитывать турагентствам
- Обработка данных за границу (в гостиницы или авиакомпании) требует отдельного согласия клиента.
- Договоры с подрядчиками должны содержать условия о ПДн.
- Сотрудники турагентства должны быть официально допущены к работе с базой клиентов и проходить инструктаж.
- Политика ПДн должна быть доступна на сайте и актуальна.
Рекомендации и выводы
Да, турагентства обязаны иметь полный пакет документов по ПДн. Чтобы исключить риски:
- Разработайте политику, положение и приказы по ПДн.
- Получайте отдельные согласия на обработку и передачу данных за границу.
- Ведите журналы согласий и обращений клиентов.
- Заключайте договоры с подрядчиками, закрепляя ответственность за ПДн.
Компания ICTech поможет турагентствам подготовить весь комплект документов по ФЗ-152, включая формы согласий для клиентов, договоры с контрагентами и приказы. Это обеспечит законную работу и снимет риски претензий Роскомнадзора.
