# Персональные данные в салоне красоты и фитнес-клубе

> Источник: https://ftex.pro/blog/personalnye-dannye-v-salone-krasoty-i-fitnes-klube/  
> Опубликовано: 07.10.2026  
> Раздел: Персональные данные  
> Описание: Что делать салону красоты и фитнес-клубу с данными клиентов: когда нужно согласие, как быть с биометрией, фото «до и после» и CRM. Раздел про автосервис.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: салон красоты и фитнес-клуб обрабатывают данные клиентов в основном по договору, и согласие на запись, абонемент и оплату не нужно.** Согласие нужно для другого: анкеты со здоровьем, входа по отпечатку или лицу, фото «до и после», рекламных рассылок. Отдельно решают, куда уходят данные: CRM, мессенджеры, виджеты записи. Ниже путь данных клиента шаг за шагом и короткий раздел про автосервис и автосалон.

 

Разбор вашей клиентской базы и систем, политика, согласия там, где они нужны, локальные акты · состав называем до оплаты

 

Документы по 152-ФЗ для салона, клуба или автосервиса — 9 900 ₽, правки до «принимаю» включены

 

[Собрать пакет под мой бизнес →](https://ftex.pro/dokumenty-po-152-fz/)

 

**Главное**

 

- **Запись и абонемент идут по договору** (п. 5 ч. 1 ст. 6 закона № 152-ФЗ), согласие не требуется.
- **Здоровье и биометрия** требуют письменного согласия, а вход по отпечатку нельзя делать единственным способом (ч. 3 ст. 11).
- **Фото клиента на сайте или в соцсетях** — распространение, согласие оформляют отдельно (ст. 10.1).
- **Рекламная рассылка** допускается только при предварительном согласии, доказывать его придётся вам (ч. 1 ст. 15).
- **CRM, сервисы записи и рассылки** — обычно обработчики, с мессенджерами вопрос открытый; везде важно место хранения базы (ч. 3 ст. 6, ч. 5 ст. 18).

 

## Путь данных клиента

 

Общую схему согласия клиента мы разобрали в статье [о согласии клиента](https://ftex.pro/blog/soglasie-klienta-na-obrabotku-pdn/). Здесь смотрим на то, где в работе салона и клуба данные возникают и на каком основании их обрабатывают. Выводы про основания — наши, помечено там, где закон прямо не говорит.

 

| Шаг | Какие данные | Основание |
|---|---|---|
| Запись по телефону, в мессенджере, на сайте | Имя, телефон, услуга, время | Заключение договора по инициативе клиента (п. 5 ч. 1 ст. 6) |
| Визит, абонемент, оплата | ФИО, контакты, дата рождения, платёж | Исполнение договора (п. 5 ч. 1 ст. 6) |
| Анкета, противопоказания, справка | Сведения о здоровье | Письменное согласие (п. 1 ч. 2 ст. 10) |
| Вход по отпечатку или лицу | Биометрия | Письменное согласие (ч. 1 ст. 11) |
| Фото, видео, отзывы с именем | Изображение, имя | Согласие на распространение (ст. 10.1) |
| Акции, напоминания, рассылки | Телефон, почта, история визитов | Предварительное согласие (ч. 1 ст. 15) |
| Камеры в зале и на ресепшен | Изображение людей | Законный интерес (п. 7 ч. 1 ст. 6, по нашему прочтению); см. [видеонаблюдение](https://ftex.pro/blog/videonablyudenie-i-personalnye-dannye/) |

 

Объём данных всегда ограничен целью (ч. 5 ст. 5). Адрес прописки для записи на стрижку не нужен.

 

## Здоровье: анкеты и справки

 

Беременность, аллергии, хронические болезни, травмы, противопоказания — сведения о состоянии здоровья, а это специальная категория (ч. 1 ст. 10). Такую обработку закон допускает в перечисленных случаях, и самый доступный для салона и клуба — письменное согласие (п. 1 ч. 2 ст. 10). Основание «медико-профилактические цели» (п. 4 ч. 2 ст. 10) имеет два условия: обработку ведёт лицо, профессионально занимающееся медицинской деятельностью, и оно обязано хранить врачебную тайну. У салона или клуба без медицинской деятельности, по нашему прочтению, этих условий нет. Если у вас есть медицинская лицензия, например на косметологию, картина другая, смотрите [данные в медицинской организации](https://ftex.pro/blog/personalnye-dannye-v-medicinskoj-organizacii/).

 

Практика, которую мы рекомендуем: в карточке держать вывод («допущен», «нужна консультация врача»), а не диагноз, копию справки не оставлять, если достаточно отметки о проверке. Это следует из ч. 5 ст. 5 о недопустимости избыточных данных.

 

## Вход по отпечатку или лицу

 

Сведения о физиологических и биологических особенностях человека, по которым можно установить его личность и которые оператор использует именно для этого, — биометрия. Её обрабатывают только при письменном согласии, за исключением случаев ч. 2 ст. 11 (ч. 1 ст. 11). У фитнес-клуба, по нашему прочтению, этих исключений нет. При этом предоставление биометрии не может быть обязательным, а отказ человека не должен лишать его обслуживания, если по закону согласие на обработку не обязательно (ч. 3 ст. 11).

 

Предоставление биометрии не может быть обязательным (первая фраза ч. 3 ст. 11), поэтому вход по карте, браслету или коду нужен всегда. Вторая фраза запрещает отказывать в обслуживании из-за отказа дать биометрию, если по закону согласие для самой услуги не обязательно; абонемент оформляют по договору, и, по нашему прочтению, она к клубу применяется. Если согласия нет, а письменное требовалось, наказание по ч. 2 ст. 13.11 КоАП: организациям от 300 до 700 тыс. рублей, должностным лицам от 100 до 300 тыс. Состав согласия и образец в статье [о согласии на биометрию](https://ftex.pro/blog/soglasie-na-obrabotku-biometricheskih-pdn/).

 

## Фото «до и после», сторис и отзывы

 

Если по снимку можно узнать человека, это его персональные данные (п. 1 ст. 3). Публикация на сайте или в соцсетях раскрывает их неопределённому кругу лиц, то есть это распространение. Согласие на распространение оформляется отдельно от иных согласий (ч. 1 ст. 10.1), молчание или бездействие согласием не считается (ч. 8 ст. 10.1), клиент вправе установить запреты и условия (ч. 9). Фото тела, кожи, процедурной зоны может говорить и о состоянии здоровья: по нашему прочтению, это дополнительный довод за согласие, оформленное отдельно.

 

Кроме закона о персональных данных, действует ст. 152.1 ГК РФ: обнародование и использование изображения гражданина, в том числе фотографии и видеозаписи, допускаются только с его согласия (п. 1). Если снимок распространён в интернете с нарушением, человек вправе требовать его удаления (п. 3). Отметки «согласен на фото» внутри договора не годятся: согласие оформляется отдельно от иных документов, которые подписывает субъект (ч. 1 ст. 9). Мастер или тренер, ведущий личную страницу с работами клиентов, публикует данные так же, как и салон (наша рекомендация: прописать в согласии, где именно будет публикация).

 

## CRM, мессенджеры, виджеты записи

 

Онлайн-запись, CRM, программа лояльности, колл-трекинг, рассылочный сервис — все они получают данные клиентов. Если сервис обрабатывает их по вашему заданию, это поручение: по ч. 3 ст. 6 оно допускается с согласия субъекта, если иное не предусмотрено федеральным законом, и на основании договора с условиями, а ответственность перед клиентом остаётся на вас (ч. 5 ст. 6). В поручении определяют перечень данных, действия, цели, конфиденциальность и меры безопасности.

 

Второй вопрос — где лежит база. Запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан России с использованием баз данных за пределами России закон не допускает, за исключением случаев по пп. 2, 3, 4, 8 ч. 1 ст. 6 (ч. 5 ст. 18). Облачная CRM с серверами за границей — тот самый риск, штраф по ч. 8 ст. 13.11 для организаций от 1 до 6 млн рублей. Если данные передаются на территорию иностранного государства, нужно ещё и отдельное уведомление о трансграничной передаче до начала передачи (ч. 3 ст. 12). Подробно: [уведомление о трансграничной передаче](https://ftex.pro/blog/uvedomlenie-o-transgranichnoj-peredache/). Как общение с клиентами в зарубежном мессенджере соотносится с ч. 5 ст. 18, закон прямо не говорит; мы советуем держать клиентскую базу в российской системе, а мессенджер использовать как канал связи.

 

## Рассылки и лояльность

 

Продвижение услуг путём прямых контактов с помощью средств связи допускается только при предварительном согласии клиента. Если оператор не докажет, что согласие получено, обработка считается идущей без него (ч. 1 ст. 15). По требованию клиента рекламу прекращают немедленно (ч. 2 ст. 15). Программа лояльности и «кешбэк» — отдельная цель: данные для неё не должны быть избыточными. Образец и порядок — в статье [о согласии на рассылку и рекламу](https://ftex.pro/blog/soglasie-na-rassylku-i-reklamu/).

 

## Автосервис и автосалон

 

**Что за данные.** Заказ-наряд связывает человека с машиной: ФИО, телефон, марка, VIN, госномер, пробег, история ремонтов. Сам по себе номер или VIN описывает автомобиль, но в карточке клиента они относятся к определяемому человеку; по нашему прочтению, это его персональные данные (п. 1 ст. 3). Основание для клиента автосервиса — договор (п. 5 ч. 1 ст. 6). Правила оказания услуг по ремонту и порядок оформления заказ-наряда мы в статье не разбираем.

 

**Кредит и страхование через партнёров.** Автосалон часто принимает анкету и передаёт её банку или страховой. Если партнёр обрабатывает данные по вашему заданию, это поручение (ч. 3 ст. 6, с согласием клиента, если иное не предусмотрено законом). Если салон принимает анкету как агент банка, оператором, по нашему прочтению, выступает банк, а салон обрабатывает данные по его поручению. Если банк оценивает заявку для себя, он действует как отдельный оператор, а не по поручению (по нашему прочтению). В законе прямо не сказано, что салон вправе отправить анкету такому партнёру без согласия. Наша рекомендация: получить отдельное согласие клиента, где названы партнёр, цель и данные, и закрепить роли в договоре с партнёром.

 

**Фото с ключами и звонки после покупки.** Фото клиента с новой машиной на сайте и в соцсетях — распространение, нужно отдельное согласие (ст. 10.1, ст. 152.1 ГК). Рекламные звонки и сообщения — по ч. 1 ст. 15.

 

## Хранение, запросы, ответственность

 

Хранить данные можно столько, сколько требуют цели, если срок не установлен законом или договором (ч. 7 ст. 5). Когда цель достигнута, данные прекращают обрабатывать и уничтожают в течение 30 дней, если иное не предусмотрено договором или оператор не вправе обрабатывать без согласия (ч. 4 ст. 21). Уничтожение подтверждают по требованиям Роскомнадзора (ч. 7 ст. 21), см. [акт уничтожения ПДн](https://ftex.pro/blog/akt-unichtozheniya-personalnyh-dannyh/). Срок для разных категорий (абонементы, анкеты, фото) мы рекомендуем закрепить в документе и не хранить «на всякий случай».

 

Клиент вправе узнать, какие данные о нём хранятся, и отозвать согласие; сведения предоставляют в течение десяти рабочих дней (ч. 3 ст. 14, ч. 1 ст. 20), а обработку по отзыву прекращают и данные уничтожают не позднее 30 дней (ч. 5 ст. 21). Штраф за обработку в случаях, не предусмотренных законом, — ч. 1 ст. 13.11: организациям от 150 до 300 тыс. рублей. ИП в частях 1 и 2 отвечает как должностное лицо (ст. 2.4 КоАП). Не опубликована политика — ч. 3: организациям от 30 до 60 тыс. Всю картину даёт статья [о штрафах за персональные данные](https://ftex.pro/blog/shtrafy-za-personalnye-dannye/). Какие документы нужны оператору с клиентской базой, показывает хаб [документов по персональным данным](https://ftex.pro/blog/dokumenty-po-personalnym-dannym/).

 

## Как мы помогаем

 

[Пакет документов по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) стоит 9 900 ₽, цена фиксированная. Юрист разбирает, какие данные клиентов вы собираете, зачем, где храните и в какие системы они уходят, и пишет политику, согласия там, где они нужны, положение, перечни, инструкции. Правки включены до вашего «принимаю». Состав называем после разбора, до оплаты. Систему входа по отпечатку, CRM и договор с банком или страховой мы не настраиваем и не оформляем: на разборе проверим, чтобы они не расходились с политикой и согласиями. Если у вас есть сайт с онлайн-записью, форму и политику проверит [аудит сайта на 152-ФЗ](https://ftex.pro/audit-sajta-152-fz/): 4 900 ₽, отчёт за 3 рабочих дня. [Уведомление в Роскомнадзор под ключ](https://ftex.pro/uvedomlenie-v-roskomnadzor/) — 4 900 ₽.

 

Одним договором и по одной цене · правки включены

 

Пакет «Старт»: уведомление, документы и документы для сайта — 14 900 ₽ вместо 18 700 ₽

 

[Посмотреть услуги ФТИ →](https://ftex.pro/uslugi/)

 

Ещё по теме: [персональные данные клиентов](https://ftex.pro/blog/personalnye-dannye-klientov/), [хаб «Персональные данные работников» с картой всей серии](https://ftex.pro/blog/personalnye-dannye-rabotnikov/), [данные детей](https://ftex.pro/blog/personalnye-dannye-detej/) (если клуб принимает детей).

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Закон № 152-ФЗ, ст. 3 (основные понятия)](https://www.consultant.ru/document/cons_doc_LAW_61801/4f41fe599ce341751e4e34dc50a4b676674c1416/)
- [Закон № 152-ФЗ, ст. 5 (принципы обработки)](https://www.consultant.ru/document/cons_doc_LAW_61801/96fbc469f91f57235cc842a85e0516a99f23dc85/)
- [Закон № 152-ФЗ, ст. 6 (условия обработки, поручение)](https://www.consultant.ru/document/cons_doc_LAW_61801/315f051396c88f1e4f827ba3f2ae313d999a1873/)
- [Закон № 152-ФЗ, ст. 9 (согласие)](https://www.consultant.ru/document/cons_doc_LAW_61801/6c94959bc017ac80140621762d2ac59f6006b08c/)
- [Закон № 152-ФЗ, ст. 10 (специальные категории данных)](https://www.consultant.ru/document/cons_doc_LAW_61801/26edb2934b899bf9c74c3a8f7e574651c6565e6d/)
- [Закон № 152-ФЗ, ст. 10.1 (данные, разрешённые субъектом для распространения)](https://www.consultant.ru/document/cons_doc_LAW_61801/591acc70f577873c1ee54765eda110b7a0271eaf/)
- [Закон № 152-ФЗ, ст. 11 (биометрические данные)](https://www.consultant.ru/document/cons_doc_LAW_61801/7336c78762a98b5f4f698b8c3800dca1111acc16/)
- [Закон № 152-ФЗ, ст. 12 (трансграничная передача)](https://www.consultant.ru/document/cons_doc_LAW_61801/e4ebbe1780de623c7cf32a59ca82a7bb523a25dd/)
- [Закон № 152-ФЗ, ст. 15 (продвижение товаров и услуг)](https://www.consultant.ru/document/cons_doc_LAW_61801/5656527e0713bf229a6932ac7084dec50d0ebe1f/)
- [Закон № 152-ФЗ, ст. 18 (обязанности при сборе, локализация баз)](https://www.consultant.ru/document/cons_doc_LAW_61801/cbf4e15b7c330f9372e876cdf2bc928bad7950ef/)
- [Закон № 152-ФЗ, ст. 21 (устранение нарушений, уничтожение)](https://www.consultant.ru/document/cons_doc_LAW_61801/d3fe43a7c415353b17faab255bc0de92bea127da/)
- [Гражданский кодекс РФ, ст. 152.1 (охрана изображения гражданина)](https://www.consultant.ru/document/cons_doc_LAW_5142/14c6c3902cffa17ab26d330b2fd4fae28e5cd059/)
- [КоАП РФ, ст. 13.11 (нарушение законодательства о персональных данных)](https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/)
- [КоАП РФ, ст. 2.4 (должностные лица, примечание об ИП)](https://www.consultant.ru/document/cons_doc_LAW_34661/de33c73dc4e364406642dc44f280f59154201a2e/)

## Частые вопросы

### Нужно ли согласие клиента салона красоты на обработку персональных данных?

На запись и оплату нет: основание даёт договор (п. 5 ч. 1 ст. 6 закона № 152-ФЗ). Согласие нужно для сведений о здоровье, биометрии, публикации фото и рекламных рассылок. С 1 сентября 2025 года его оформляют отдельно от иных документов (ч. 1 ст. 9).

### Можно ли хранить анкету клиента с противопоказаниями?

Это сведения о здоровье, специальная категория (ст. 10). Нужно письменное согласие (п. 1 ч. 2 ст. 10) и осторожность с объёмом: наша рекомендация хранить вывод о допуске, а не диагноз. Основание п. 4 ч. 2 ст. 10 требует медицинской деятельности и врачебной тайны, у салона без лицензии, по нашему прочтению, его нет.

### Нужно ли письменное согласие на вход в фитнес-клуб по отпечатку пальца?

Да. Биометрию, которую используют для установления личности, обрабатывают только с согласием в письменной форме (ч. 1 ст. 11). Предоставление биометрии не может быть обязательным (ч. 3 ст. 11), поэтому вход по карте или коду нужен всегда.

### Можно ли выкладывать фото клиентов «до и после»?

Только с отдельным согласием. Публикация в интернете — распространение (ст. 10.1), молчание согласием не считается (ч. 8 ст. 10.1). Кроме того, ст. 152.1 ГК допускает обнародование изображения гражданина с его согласия.

### Можно ли пользоваться облачной CRM с серверами за рубежом?

Запись, хранение и извлечение данных граждан России с использованием баз за пределами России не допускаются, кроме случаев по пп. 2, 3, 4, 8 ч. 1 ст. 6 (ч. 5 ст. 18). Штраф по ч. 8 ст. 13.11 для организаций от 1 до 6 млн рублей. Проверьте, где физически расположена база вашей системы.

### Нужно ли согласие на рассылку напоминаний о записи?

Напоминание о конкретной записи относится к исполнению договора. Рекламные предложения и акции — продвижение по ч. 1 ст. 15, там нужно предварительное согласие. По нашему прочтению, смешивать эти цели в одном сообщении не стоит.

### Можно ли передать анкету клиента банку при покупке автомобиля в кредит?

В законе прямо не сказано, что автосалон вправе сделать это без согласия. Если банк оценивает заявку для себя, по нашему прочтению, он отдельный оператор, а не обработчик. Мы рекомендуем отдельное согласие клиента, где названы банк, цель и данные.

### Является ли госномер или VIN персональными данными?

Сам по себе номер описывает автомобиль. Но в карточке клиента он связан с владельцем, а закон защищает информацию о прямо или косвенно определяемом человеке (п. 1 ст. 3). По нашему прочтению, в базе клиентов это персональные данные.

### Какой штраф за обработку данных клиентов без согласия, когда оно нужно?

Если закон требовал письменное согласие (здоровье, биометрия), а его нет, это ч. 2 ст. 13.11 КоАП: организациям от 300 до 700 тыс. рублей, должностным лицам от 100 до 300 тыс. У ИП в частях 1 и 2 своей строки нет, он отвечает как должностное лицо (ст. 2.4 КоАП).

### Сколько стоит подготовить документы по персональным данным для салона или клуба?

Пакет «Документы по 152-ФЗ» в ФТИ стоит 9 900 ₽, цена фиксированная, правки до «принимаю» включены. Состав называем после разбора, до оплаты. Уведомление в Роскомнадзор под ключ — 4 900 ₽, аудит сайта с онлайн-записью — 4 900 ₽.