Персональные данные

Персональные данные в гостинице и хостеле: паспорт, миграционный учёт, бронирование

Редактор ФТИ 7 октября 2026 9 мин чтения

Коротко

Какие данные гостей собирает гостиница, на каком основании, что говорит закон о паспорте и его копии, как быть с иностранцами, детьми, агрегаторами и системой управления отелем.

Коротко: гостиница — оператор данных гостей, и для заселения, по нашему прочтению, отдельное согласие не нужно: основание дают договор и закон о миграционном учёте. В договор по правилам гостиничных услуг вносят ФИО гостя и сведения о его документе, иностранного гражданина ставят на миграционный учёт по закону № 109-ФЗ. Согласие понадобится для рассылок и программы лояльности. Паспорт иностранного гражданина забирать нельзя, а обязанности копировать паспорт в проверенных нормах мы не нашли.

Политика, согласия для брони на сайте и программы лояльности, локальные акты · правки до «принимаю», состав называем до оплаты

Документы по 152-ФЗ для гостиницы и хостела — 9 900 ₽

Собрать пакет для отеля →

Главное для гостиницы

Заселение идёт по договору. Действуют Правила, утверждённые постановлением № 1912 (с 1 марта 2026 года, постановление № 1853 утратило силу).
Основания обработки: договор (п. 5 ч. 1 ст. 6) и закон (п. 2 ч. 1 ст. 6). Отдельное согласие на заселение не нужно, по нашему прочтению.
Иностранец: документ и миграционная карта предъявляются, уведомление о прибытии подаётся в течение одного рабочего дня, документ не изымают (ст. 20 и 22 закона № 109-ФЗ).
Копия паспорта: в нормах, которые мы проверили, прямо не требуется и не запрещается, действует правило «не больше, чем нужно» (ч. 5 ст. 5).
Агрегаторы и система управления отелем — получатели и обработчики данных, их нужно прописать в договорах и политике.
Рассылки, программа лояльности, вход по лицу — отдельные основания и согласия.

Какие данные гостей собирает гостиница

Правила № 1912 распространяются на гостиницы и иные средства размещения, подлежащие классификации (п. 1); входит ли в их число ваш хостел, проверьте по Положению о классификации, мы его не открывали. Состав данных и основание по нашему прочтению:

Ситуация	Какие данные	Основание
Бронирование на сайте или по телефону	ФИО, телефон, e-mail, даты	Договор по инициативе гостя (п. 5 ч. 1 ст. 6); заявка и подтверждение брони — п. 14–15 Правил
Заселение гражданина России	Документ, удостоверяющий личность, предъявляют (п. 18 Правил); в договор вносят ФИО и сведения о документе (п. 13 «б»)	Договор; регистрация по месту пребывания — по правилам, на которые отсылает п. 25 Правил (мы их не открывали)
Заселение иностранного гражданина	Документ и миграционная карта (п. 1 «а» ч. 2 ст. 22 закона № 109-ФЗ)	Закон (п. 2 ч. 1 ст. 6)
Гости-дети	Свидетельство о рождении, документы сопровождающего, согласие родителей на заселение, если ребёнка сопровождает другое лицо (п. 20–23 Правил)	Договор и закон. Согласие на заселение — не согласие на обработку данных
Оплата и чек	E-mail или телефон	При расчётах в интернете чек направляют на контакты, которые указал покупатель (п. 5 ст. 1.2 закона № 54-ФЗ)
Рассылки, программа лояльности	E-mail, телефон, история проживаний	Рассылки — предварительное согласие (ч. 1 ст. 15); участие в программе лояльности, по нашему прочтению, может опираться на договор (п. 5 ч. 1 ст. 6)
Вход или заселение по лицу	Биометрия	Письменное согласие, кроме случаев ч. 2 ст. 11; ЕБС — только если отель сам решил её применять (п. 24 Правил)

Согласия для форм и рассылок разобраны в статьях о рассылке и рекламе и о биометрии. Данные детей — в статье о детях.

Иностранные гости и миграционный учёт

Что предъявляет гость. Документ, удостоверяющий личность, и миграционную карту, если нет освобождения (п. 1 «а» ч. 2 ст. 22 закона № 109-ФЗ).
Что делает гостиница. Фиксирует сведения при прибытии и убытии (ч. 9 ст. 22) и уведомляет орган миграционного учёта в течение одного рабочего дня, следующего за днём прибытия (п. 1 ч. 3 и ч. 3.1 ст. 20). Уведомить можно и с использованием средств связи в порядке, который устанавливает Правительство (ч. 10 ст. 22).
Документы не изымают. Принимающая сторона не вправе забирать у иностранного гражданина документ и миграционную карту (ч. 5 ст. 22).
Формы и перечень сведений устанавливает МВД (ч. 8 ст. 22); мы эти формы не открывали. Ответственность за нарушение учёта — отдельные нормы КоАП, в статье их не разбираем.

Основание обработки здесь закон, а не согласие. Когда согласие иностранного гражданина всё-таки нужно, смотрите статью об иностранных гражданах.

Копия паспорта: что говорит закон

Заселение возможно при условии предъявления документа (п. 18 и 22 Правил); п. 19 Правил допускает и иные способы подтверждения (например, водительское удостоверение), действующую редакцию проверьте. Обязанности снимать копию в нормах, которые мы проверили, нет. Запрета тоже не нашли. Остаются общие правила: содержание и объём данных соответствуют целям и не избыточны (ч. 5 ст. 5), а исполнитель не вправе отказать в услуге из-за отказа дать данные, кроме требуемых законом или связанных с исполнением договора (п. 4 ст. 16 закона о защите прав потребителей). Если копия нужна, например для юрлица-заказчика, наша рекомендация такая: хранить вместе с договором, ограничить доступ и не пересылать по личным мессенджерам сотрудников.

Бронирование: сайт, агрегаторы и система управления отелем

Сайт. Форма брони — заключение договора по инициативе гостя. Политика открывается со страниц сбора (ч. 2 ст. 18.1), чекбокс рассылки оформляют отдельно (ч. 1 ст. 9). Подробнее: данные на сайте и согласие в форме.
Агрегатор. Гость оставил данные на чужой площадке, а вы получили их не от него. По ч. 3 ст. 18 оператор обязан сообщить субъекту сведения о себе, но не обязан, если данные получены в связи с исполнением договора, стороной которого субъект является (п. 2 ч. 4). Кроме того, получать данные от другого лица допускается при подтверждении основания по пп. 2–11 ч. 1 ст. 6 (ч. 8 ст. 9). Как это подтверждать, закон прямо не говорит; по нашему прочтению, подтверждением служит сама бронь. Агрегатор, по нашему прочтению, остаётся самостоятельным оператором для своих целей.
Система управления отелем, облачная касса, сервис рассылок — обычно обработчики: поручение допускается с согласия субъекта, если иное не предусмотрено федеральным законом, и на основании договора с условиями ч. 3 ст. 6, а базы граждан России должны быть на территории России (ч. 5 ст. 18). Зарубежный сервис — повод проверить трансграничную передачу.
Уровень защищённости. Данные гостей — «иные категории». При угрозах 3-го типа и менее 100 000 гостей, не являющихся работниками, это 4-й уровень (п. 12 «б» ПП № 1119), при большем числе — 3-й (п. 11 «д»). Тип угроз определяет оператор.

Хранение, камеры и запросы гостей

Хранение. Не дольше, чем нужно для целей, если срок не задан законом или договором (ч. 7 ст. 5). Первичные учётные документы (например, чек) хранят по правилам архивного дела, но не менее пяти лет после отчётного года (ч. 1 ст. 29 закона № 402-ФЗ). Срока хранения уведомлений и учётных карточек по миграционному учёту у гостиницы мы в проверенных нормах не нашли. Когда цель достигнута, данные уничтожают в срок до 30 дней, если закон или договор не устанавливают иное (ч. 4 ст. 21), и оформляют акт уничтожения. Бумажные карточки гостей хранят отдельно от несовместимых по целям бумаг (п. 14 ПП № 687).

Камеры в холле и коридорах — отдельная тема: видеонаблюдение и персональные данные. Запросы гостей о том, какие данные хранятся, оператор исполняет в течение десяти рабочих дней, срок продлевают не более чем на пять (ч. 3 ст. 14): как ответить. Общую логику для клиентов любой отрасли показывает статья о данных клиентов.

Ответственность: суммы по тексту КоАП

Суммы для организаций. ИП отвечает как юридическое лицо в частях 8–18 (прим. 1 к ст. 13.11), по ч. 2 как должностное лицо. Срок давности один год (ст. 4.5).

Нарушение	Норма	Организация
Обработка без письменного согласия там, где оно нужно, или с нарушением состава согласия	Ч. 2 ст. 13.11	300–700 тыс. ₽
Не опубликована политика	Ч. 3 ст. 13.11	30–60 тыс. ₽ (ИП 10–20 тыс. ₽)
Хранение баз граждан России за рубежом	Ч. 8 ст. 13.11	1–6 млн ₽
Не подано уведомление в Роскомнадзор	Ч. 10 ст. 13.11	100–300 тыс. ₽
Утечка данных от 1 000 до 10 000 человек	Ч. 12 ст. 13.11	3–5 млн ₽

Все суммы и повторные нарушения — в статье о штрафах за персональные данные; если случился инцидент, действуют сроки 24 и 72 часа: что делать.

Как мы помогаем гостинице и хостелу

ФТИ — учебный центр, персональными данными мы занимаемся для себя каждый день; услуги ведёт юрист, работаем дистанционно. Договор оказания гостиничных услуг и правила проживания мы не пишем: на разборе проверим, чтобы они не спорили с политикой и согласиями.

Документы по 152-ФЗ — 9 900 ₽. Разбор: сайт и бронь, система управления отелем, агрегаторы, камеры. Политика, согласия, локальные акты по вашей ситуации, правки до «принимаю». Состав называем до оплаты.
Аудит сайта на 152-ФЗ — 4 900 ₽: форма брони, согласия, политика, счётчики. Отчёт за 3 рабочих дня.
Уведомление в Роскомнадзор под ключ — 4 900 ₽; уведомление о трансграничной передаче — 6 900 ₽, если сервис бронирования за границей.
Модель угроз — от 12 900 ₽, только документы; сопровождение — 1 990 ₽ в месяц или 19 900 ₽ в год.

Одним договором и по одной цене · консультация бесплатная, скажем честно, что нужно, а что нет

Пакет «Старт»: уведомление, документы и документы для сайта — 14 900 ₽ вместо 18 700 ₽

Посмотреть услуги ФТИ →

Данные работников отеля — в хабе о персональных данных работников.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Является ли гостиница оператором персональных данных?

Да. Гостиница определяет цели и состав данных гостей и организует их обработку (п. 2 ст. 3 закона № 152-ФЗ). Значит, нужны уведомление в Роскомнадзор (ст. 22), политика (ч. 2 ст. 18.1) и согласия там, где нет другого основания.

Нужно ли согласие гостя на обработку данных при заселении?

По нашему прочтению, нет. Основание — договор (п. 5 ч. 1 ст. 6), а для иностранных граждан ещё и закон о миграционном учёте (п. 2 ч. 1 ст. 6). Отдельное согласие нужно для рассылок, программы лояльности и биометрии.

Можно ли требовать у гостя паспорт?

Заселение осуществляют при условии предъявления документа, удостоверяющего личность (п. 18 и 22 Правил № 1912), а в договор вносят ФИО и сведения о документе (п. 13 «б»). Предъявить документ нужно, но это не то же самое, что отдать его на хранение.

Можно ли делать копию паспорта гостя?

Обязанности копировать паспорт в проверенных нормах нет, прямого запрета тоже. Действует принцип достаточности данных (ч. 5 ст. 5). Если копия нужна, наша рекомендация: хранить вместе с договором и ограничить доступ.

Можно ли забрать паспорт иностранного гостя на время проживания?

Нет. Принимающая сторона не вправе изымать у иностранного гражданина документ, удостоверяющий личность, и миграционную карту (ч. 5 ст. 22 закона № 109-ФЗ).

В какой срок гостиница уведомляет о прибытии иностранного гражданина?

Если иностранный гражданин находится в гостинице, уведомление подают в течение одного рабочего дня, следующего за днём прибытия (п. 1 ч. 3 и ч. 3.1 ст. 20 закона № 109-ФЗ). Формы и перечень сведений устанавливает МВД.

Что с данными детей-гостей?

Для заселения несовершеннолетних нужны документы и, когда ребёнка сопровождает другое лицо, согласие родителей на заселение (п. 20–23 Правил № 1912). Это не согласие на обработку данных: основания обработки определяют по ст. 6, а согласие законного представителя нужно там, где оно требуется по закону.

Нужно ли согласие, если гость забронировал номер через агрегатор?

Для самой брони, по нашему прочтению, нет: данные получены в связи с исполнением договора (п. 2 ч. 4 ст. 18), а получение от другого лица допускается при подтверждении основания (ч. 8 ст. 9). Для рассылок гостям нужно отдельное согласие.

Где можно хранить данные гостей?

Базы данных граждан России должны находиться на территории России (ч. 5 ст. 18). Если система бронирования или облако за границей, проверьте трансграничную передачу и это правило. С облачным сервисом по ч. 3 ст. 6 нужен договор, а поручение допускается с согласия субъекта, если иное не предусмотрено федеральным законом.

Поможете оформить документы по персональным данным для отеля и сколько это стоит?

Да. Документы по 152-ФЗ — 9 900 ₽: политика, согласия, локальные акты, правки до «принимаю», состав называем до оплаты. Аудит сайта — 4 900 ₽, уведомление в Роскомнадзор — 4 900 ₽. Договор оказания гостиничных услуг мы не пишем.