Персональные данные

Персональные данные в салоне красоты и фитнес-клубе

Редактор ФТИ 7 октября 2026 10 мин чтения

Коротко

Путь данных клиента салона красоты и фитнес-клуба: запись, анкета со здоровьем, вход по отпечатку, фото «до и после», CRM и рассылки. Отдельный раздел про автосервис и автосалон.

Коротко: салон красоты и фитнес-клуб обрабатывают данные клиентов в основном по договору, и согласие на запись, абонемент и оплату не нужно. Согласие нужно для другого: анкеты со здоровьем, входа по отпечатку или лицу, фото «до и после», рекламных рассылок. Отдельно решают, куда уходят данные: CRM, мессенджеры, виджеты записи. Ниже путь данных клиента шаг за шагом и короткий раздел про автосервис и автосалон.

Разбор вашей клиентской базы и систем, политика, согласия там, где они нужны, локальные акты · состав называем до оплаты

Документы по 152-ФЗ для салона, клуба или автосервиса — 9 900 ₽, правки до «принимаю» включены

Собрать пакет под мой бизнес →

Главное

Запись и абонемент идут по договору (п. 5 ч. 1 ст. 6 закона № 152-ФЗ), согласие не требуется.
Здоровье и биометрия требуют письменного согласия, а вход по отпечатку нельзя делать единственным способом (ч. 3 ст. 11).
Фото клиента на сайте или в соцсетях — распространение, согласие оформляют отдельно (ст. 10.1).
Рекламная рассылка допускается только при предварительном согласии, доказывать его придётся вам (ч. 1 ст. 15).
CRM, сервисы записи и рассылки — обычно обработчики, с мессенджерами вопрос открытый; везде важно место хранения базы (ч. 3 ст. 6, ч. 5 ст. 18).

Путь данных клиента

Общую схему согласия клиента мы разобрали в статье о согласии клиента. Здесь смотрим на то, где в работе салона и клуба данные возникают и на каком основании их обрабатывают. Выводы про основания — наши, помечено там, где закон прямо не говорит.

Шаг	Какие данные	Основание
Запись по телефону, в мессенджере, на сайте	Имя, телефон, услуга, время	Заключение договора по инициативе клиента (п. 5 ч. 1 ст. 6)
Визит, абонемент, оплата	ФИО, контакты, дата рождения, платёж	Исполнение договора (п. 5 ч. 1 ст. 6)
Анкета, противопоказания, справка	Сведения о здоровье	Письменное согласие (п. 1 ч. 2 ст. 10)
Вход по отпечатку или лицу	Биометрия	Письменное согласие (ч. 1 ст. 11)
Фото, видео, отзывы с именем	Изображение, имя	Согласие на распространение (ст. 10.1)
Акции, напоминания, рассылки	Телефон, почта, история визитов	Предварительное согласие (ч. 1 ст. 15)
Камеры в зале и на ресепшен	Изображение людей	Законный интерес (п. 7 ч. 1 ст. 6, по нашему прочтению); см. видеонаблюдение

Объём данных всегда ограничен целью (ч. 5 ст. 5). Адрес прописки для записи на стрижку не нужен.

Здоровье: анкеты и справки

Беременность, аллергии, хронические болезни, травмы, противопоказания — сведения о состоянии здоровья, а это специальная категория (ч. 1 ст. 10). Такую обработку закон допускает в перечисленных случаях, и самый доступный для салона и клуба — письменное согласие (п. 1 ч. 2 ст. 10). Основание «медико-профилактические цели» (п. 4 ч. 2 ст. 10) имеет два условия: обработку ведёт лицо, профессионально занимающееся медицинской деятельностью, и оно обязано хранить врачебную тайну. У салона или клуба без медицинской деятельности, по нашему прочтению, этих условий нет. Если у вас есть медицинская лицензия, например на косметологию, картина другая, смотрите данные в медицинской организации.

Практика, которую мы рекомендуем: в карточке держать вывод («допущен», «нужна консультация врача»), а не диагноз, копию справки не оставлять, если достаточно отметки о проверке. Это следует из ч. 5 ст. 5 о недопустимости избыточных данных.

Вход по отпечатку или лицу

Сведения о физиологических и биологических особенностях человека, по которым можно установить его личность и которые оператор использует именно для этого, — биометрия. Её обрабатывают только при письменном согласии, за исключением случаев ч. 2 ст. 11 (ч. 1 ст. 11). У фитнес-клуба, по нашему прочтению, этих исключений нет. При этом предоставление биометрии не может быть обязательным, а отказ человека не должен лишать его обслуживания, если по закону согласие на обработку не обязательно (ч. 3 ст. 11).

Предоставление биометрии не может быть обязательным (первая фраза ч. 3 ст. 11), поэтому вход по карте, браслету или коду нужен всегда. Вторая фраза запрещает отказывать в обслуживании из-за отказа дать биометрию, если по закону согласие для самой услуги не обязательно; абонемент оформляют по договору, и, по нашему прочтению, она к клубу применяется. Если согласия нет, а письменное требовалось, наказание по ч. 2 ст. 13.11 КоАП: организациям от 300 до 700 тыс. рублей, должностным лицам от 100 до 300 тыс. Состав согласия и образец в статье о согласии на биометрию.

Фото «до и после», сторис и отзывы

Если по снимку можно узнать человека, это его персональные данные (п. 1 ст. 3). Публикация на сайте или в соцсетях раскрывает их неопределённому кругу лиц, то есть это распространение. Согласие на распространение оформляется отдельно от иных согласий (ч. 1 ст. 10.1), молчание или бездействие согласием не считается (ч. 8 ст. 10.1), клиент вправе установить запреты и условия (ч. 9). Фото тела, кожи, процедурной зоны может говорить и о состоянии здоровья: по нашему прочтению, это дополнительный довод за согласие, оформленное отдельно.

Кроме закона о персональных данных, действует ст. 152.1 ГК РФ: обнародование и использование изображения гражданина, в том числе фотографии и видеозаписи, допускаются только с его согласия (п. 1). Если снимок распространён в интернете с нарушением, человек вправе требовать его удаления (п. 3). Отметки «согласен на фото» внутри договора не годятся: согласие оформляется отдельно от иных документов, которые подписывает субъект (ч. 1 ст. 9). Мастер или тренер, ведущий личную страницу с работами клиентов, публикует данные так же, как и салон (наша рекомендация: прописать в согласии, где именно будет публикация).

CRM, мессенджеры, виджеты записи

Онлайн-запись, CRM, программа лояльности, колл-трекинг, рассылочный сервис — все они получают данные клиентов. Если сервис обрабатывает их по вашему заданию, это поручение: по ч. 3 ст. 6 оно допускается с согласия субъекта, если иное не предусмотрено федеральным законом, и на основании договора с условиями, а ответственность перед клиентом остаётся на вас (ч. 5 ст. 6). В поручении определяют перечень данных, действия, цели, конфиденциальность и меры безопасности.

Второй вопрос — где лежит база. Запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан России с использованием баз данных за пределами России закон не допускает, за исключением случаев по пп. 2, 3, 4, 8 ч. 1 ст. 6 (ч. 5 ст. 18). Облачная CRM с серверами за границей — тот самый риск, штраф по ч. 8 ст. 13.11 для организаций от 1 до 6 млн рублей. Если данные передаются на территорию иностранного государства, нужно ещё и отдельное уведомление о трансграничной передаче до начала передачи (ч. 3 ст. 12). Подробно: уведомление о трансграничной передаче. Как общение с клиентами в зарубежном мессенджере соотносится с ч. 5 ст. 18, закон прямо не говорит; мы советуем держать клиентскую базу в российской системе, а мессенджер использовать как канал связи.

Рассылки и лояльность

Продвижение услуг путём прямых контактов с помощью средств связи допускается только при предварительном согласии клиента. Если оператор не докажет, что согласие получено, обработка считается идущей без него (ч. 1 ст. 15). По требованию клиента рекламу прекращают немедленно (ч. 2 ст. 15). Программа лояльности и «кешбэк» — отдельная цель: данные для неё не должны быть избыточными. Образец и порядок — в статье о согласии на рассылку и рекламу.

Автосервис и автосалон

Что за данные. Заказ-наряд связывает человека с машиной: ФИО, телефон, марка, VIN, госномер, пробег, история ремонтов. Сам по себе номер или VIN описывает автомобиль, но в карточке клиента они относятся к определяемому человеку; по нашему прочтению, это его персональные данные (п. 1 ст. 3). Основание для клиента автосервиса — договор (п. 5 ч. 1 ст. 6). Правила оказания услуг по ремонту и порядок оформления заказ-наряда мы в статье не разбираем.

Кредит и страхование через партнёров. Автосалон часто принимает анкету и передаёт её банку или страховой. Если партнёр обрабатывает данные по вашему заданию, это поручение (ч. 3 ст. 6, с согласием клиента, если иное не предусмотрено законом). Если салон принимает анкету как агент банка, оператором, по нашему прочтению, выступает банк, а салон обрабатывает данные по его поручению. Если банк оценивает заявку для себя, он действует как отдельный оператор, а не по поручению (по нашему прочтению). В законе прямо не сказано, что салон вправе отправить анкету такому партнёру без согласия. Наша рекомендация: получить отдельное согласие клиента, где названы партнёр, цель и данные, и закрепить роли в договоре с партнёром.

Фото с ключами и звонки после покупки. Фото клиента с новой машиной на сайте и в соцсетях — распространение, нужно отдельное согласие (ст. 10.1, ст. 152.1 ГК). Рекламные звонки и сообщения — по ч. 1 ст. 15.

Хранение, запросы, ответственность

Хранить данные можно столько, сколько требуют цели, если срок не установлен законом или договором (ч. 7 ст. 5). Когда цель достигнута, данные прекращают обрабатывать и уничтожают в течение 30 дней, если иное не предусмотрено договором или оператор не вправе обрабатывать без согласия (ч. 4 ст. 21). Уничтожение подтверждают по требованиям Роскомнадзора (ч. 7 ст. 21), см. акт уничтожения ПДн. Срок для разных категорий (абонементы, анкеты, фото) мы рекомендуем закрепить в документе и не хранить «на всякий случай».

Клиент вправе узнать, какие данные о нём хранятся, и отозвать согласие; сведения предоставляют в течение десяти рабочих дней (ч. 3 ст. 14, ч. 1 ст. 20), а обработку по отзыву прекращают и данные уничтожают не позднее 30 дней (ч. 5 ст. 21). Штраф за обработку в случаях, не предусмотренных законом, — ч. 1 ст. 13.11: организациям от 150 до 300 тыс. рублей. ИП в частях 1 и 2 отвечает как должностное лицо (ст. 2.4 КоАП). Не опубликована политика — ч. 3: организациям от 30 до 60 тыс. Всю картину даёт статья о штрафах за персональные данные. Какие документы нужны оператору с клиентской базой, показывает хаб документов по персональным данным.

Как мы помогаем

Пакет документов по 152-ФЗ стоит 9 900 ₽, цена фиксированная. Юрист разбирает, какие данные клиентов вы собираете, зачем, где храните и в какие системы они уходят, и пишет политику, согласия там, где они нужны, положение, перечни, инструкции. Правки включены до вашего «принимаю». Состав называем после разбора, до оплаты. Систему входа по отпечатку, CRM и договор с банком или страховой мы не настраиваем и не оформляем: на разборе проверим, чтобы они не расходились с политикой и согласиями. Если у вас есть сайт с онлайн-записью, форму и политику проверит аудит сайта на 152-ФЗ: 4 900 ₽, отчёт за 3 рабочих дня. Уведомление в Роскомнадзор под ключ — 4 900 ₽.

Одним договором и по одной цене · правки включены

Пакет «Старт»: уведомление, документы и документы для сайта — 14 900 ₽ вместо 18 700 ₽

Посмотреть услуги ФТИ →

Ещё по теме: персональные данные клиентов, хаб «Персональные данные работников» с картой всей серии, данные детей (если клуб принимает детей).

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Нужно ли согласие клиента салона красоты на обработку персональных данных?

На запись и оплату нет: основание даёт договор (п. 5 ч. 1 ст. 6 закона № 152-ФЗ). Согласие нужно для сведений о здоровье, биометрии, публикации фото и рекламных рассылок. С 1 сентября 2025 года его оформляют отдельно от иных документов (ч. 1 ст. 9).

Можно ли хранить анкету клиента с противопоказаниями?

Это сведения о здоровье, специальная категория (ст. 10). Нужно письменное согласие (п. 1 ч. 2 ст. 10) и осторожность с объёмом: наша рекомендация хранить вывод о допуске, а не диагноз. Основание п. 4 ч. 2 ст. 10 требует медицинской деятельности и врачебной тайны, у салона без лицензии, по нашему прочтению, его нет.

Нужно ли письменное согласие на вход в фитнес-клуб по отпечатку пальца?

Да. Биометрию, которую используют для установления личности, обрабатывают только с согласием в письменной форме (ч. 1 ст. 11). Предоставление биометрии не может быть обязательным (ч. 3 ст. 11), поэтому вход по карте или коду нужен всегда.

Можно ли выкладывать фото клиентов «до и после»?

Только с отдельным согласием. Публикация в интернете — распространение (ст. 10.1), молчание согласием не считается (ч. 8 ст. 10.1). Кроме того, ст. 152.1 ГК допускает обнародование изображения гражданина с его согласия.

Можно ли пользоваться облачной CRM с серверами за рубежом?

Запись, хранение и извлечение данных граждан России с использованием баз за пределами России не допускаются, кроме случаев по пп. 2, 3, 4, 8 ч. 1 ст. 6 (ч. 5 ст. 18). Штраф по ч. 8 ст. 13.11 для организаций от 1 до 6 млн рублей. Проверьте, где физически расположена база вашей системы.

Нужно ли согласие на рассылку напоминаний о записи?

Напоминание о конкретной записи относится к исполнению договора. Рекламные предложения и акции — продвижение по ч. 1 ст. 15, там нужно предварительное согласие. По нашему прочтению, смешивать эти цели в одном сообщении не стоит.

Можно ли передать анкету клиента банку при покупке автомобиля в кредит?

В законе прямо не сказано, что автосалон вправе сделать это без согласия. Если банк оценивает заявку для себя, по нашему прочтению, он отдельный оператор, а не обработчик. Мы рекомендуем отдельное согласие клиента, где названы банк, цель и данные.

Является ли госномер или VIN персональными данными?

Сам по себе номер описывает автомобиль. Но в карточке клиента он связан с владельцем, а закон защищает информацию о прямо или косвенно определяемом человеке (п. 1 ст. 3). По нашему прочтению, в базе клиентов это персональные данные.

Какой штраф за обработку данных клиентов без согласия, когда оно нужно?

Если закон требовал письменное согласие (здоровье, биометрия), а его нет, это ч. 2 ст. 13.11 КоАП: организациям от 300 до 700 тыс. рублей, должностным лицам от 100 до 300 тыс. У ИП в частях 1 и 2 своей строки нет, он отвечает как должностное лицо (ст. 2.4 КоАП).

Сколько стоит подготовить документы по персональным данным для салона или клуба?

Пакет «Документы по 152-ФЗ» в ФТИ стоит 9 900 ₽, цена фиксированная, правки до «принимаю» включены. Состав называем после разбора, до оплаты. Уведомление в Роскомнадзор под ключ — 4 900 ₽, аудит сайта с онлайн-записью — 4 900 ₽.