152-ФЗ для турагентства: что нужно на сайте и в CRM

Коротко: Турагентству нужно определить основание обработки ПДн (для подбора тура – договор с туристом, для рассылок – согласие), разместить Политику, подать уведомление в РКН, ограничить доступ к CRM и правильно хранить данные. За утечку данных от 1 000 человек с 30 мая 2025 года штраф – от 3 до 15 млн ₽, для данных о здоровье – 10–15 млн ₽ при любом числе людей.

Туристическое агентство ежедневно работает с паспортными данными, датами рождения, номерами загранпаспортов, а иногда и с медицинскими справками или данными детей. Вся эта информация – персональные данные (ПДн), и их обработка строго регулируется 152-ФЗ «О персональных данных». Если ваш сайт собирает заявки, а CRM хранит историю бронирований, вы уже оператор ПДн. Разберём, что именно нужно сделать турагентству, чтобы соответствовать 152-ФЗ, и как правильно организовать работу с данными клиентов на сайте и в CRM.

1. Основание обработки и согласие

Для подбора и бронирования тура основание обработки – договор с туристом (п. 5 ч. 1 ст. 6 152-ФЗ), согласие для этого не обязательно. Согласие (ст. 9) нужно для рассылок, публикации отзывов, специальных категорий (медсправки).

1.1. Как оформить согласие на сайте

На сайте турагентства согласие должно быть получено до того, как человек отправит форму заявки или оставит контактные данные. Простая галочка «Я согласен на обработку персональных данных» – это минимум, но лучше сделать её активной (человек должен сам её поставить, а не быть согласным по умолчанию).

В тексте согласия обязательно укажите:

• Цель обработки: «для подбора и бронирования тура, связи с клиентом, направления коммерческих предложений». Для рекламных рассылок по e-mail, SMS и в мессенджерах нужна ещё отдельная галочка – согласие на получение рекламы (ч. 1 ст. 18 38-ФЗ «О рекламе»): согласие на обработку ПДн его не заменяет.
• Перечень данных: ФИО, телефон, email, паспортные данные (если запрашиваете), дата рождения.
• Срок действия согласия: укажите конкретный срок или событие (например, на время договора с турагентом и далее до отзыва согласия). Документ-согласие хранится 3 года после его истечения или отзыва (Перечень Росархива № 236).
• Способ отзыва: фраза «согласие может быть отозвано в любой момент путём направления письменного уведомления на адрес [email]».

1.2. Отдельное согласие на распространение данных

С 1 марта 2021 года (519-ФЗ) действует требование: если вы планируете публиковать отзывы клиентов с их фото или размещать данные в открытых источниках (например, в каталоге туров с указанием «Иван П., отдохнул в отеле X»), нужно отдельное согласие на распространение ПДн. Оно оформляется отдельно от иных согласий (ч. 1 ст. 10.1 152-ФЗ) – отдельным документом или отдельной формой, а не пунктом в общем согласии или общей галочкой; в нём человек может указать, какие именно данные разрешено публиковать и на какой срок.

1.3. Согласие для детей и законных представителей

Если турагентство работает с семьями, где есть дети до 14 лет, согласие даёт родитель. Для подростков 14–18 лет практика различается, надёжнее брать согласие и подростка, и родителя (152-ФЗ возраст не устанавливает). В письменном согласии законного представителя закон требует указать (ч. 4 ст. 9 152-ФЗ): ФИО представителя, его адрес, паспортные данные, а также реквизиты документа, подтверждающего полномочия (свидетельство о рождении ребёнка).

2. Политика обработки персональных данных: обязательный документ

Это документ, который должен быть доступен на сайте. В нём вы описываете, как именно обрабатываете данные клиентов.

2.1. Что должно быть в Политике

• Правовое основание: договор с туристом (п. 5 ч. 1 ст. 6 152-ФЗ), закон об основах туристской деятельности (132-ФЗ), налоговое законодательство; для рассылок – согласие.
• Цели обработки: бронирование, расчёт стоимости, отправка документов, маркетинговые рассылки (если есть).
• Перечень действий с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
• Сроки хранения: для данных клиентов – по целям: договор – 5 лет после истечения его срока (ст. 11 Перечня, утв. приказом Росархива № 236), учётные документы – не менее 5 лет после отчётного года (ст. 29 402-ФЗ), для возможных претензий 3 года исковой давности (ст. 196 ГК); документ-согласие – 3 года после отзыва (Перечень Росархива № 236); для документов по личному составу (если вы храните данные сотрудников) – 50 лет (если оформлены после 1.01.2003).
• Порядок уничтожения: после отзыва согласия или истечения срока хранения данные должны быть уничтожены в течение 30 дней (статья 21 152-ФЗ).

2.2. Где разместить Политику

Закон требует опубликовать Политику на страницах сайта, через которые собираются данные (ч. 2 ст. 18.1 152-ФЗ). Удобнее всего – ссылка в подвале сайта (футере) и рядом с каждой формой. Лучше сделать отдельную страницу, а не прятать в PDF, который нужно скачивать.

3. CRM и базы данных клиентов: требования к хранению

В CRM собраны почти все данные клиентов турагентства. Данные клиентов хранятся годами, а доступ к ним имеют несколько менеджеров.

3.1. Уровень защищённости персональных данных (УЗ)

Постановление Правительства РФ № 1119 устанавливает четыре уровня защищённости (УЗ). Для турагентства без медданных и с базой менее 100 000 клиентов при угрозах 3-го типа – УЗ-4, больше 100 000 – УЗ-3 (пп. 11, 12 ПП № 1119). Уровень определяется по ПП № 1119, а состав мер для уровня задаёт приказ ФСТЭК № 21; для турагентства это обычно означает:

• Назначение ответственного за обработку ПДн.
• Утверждение перечня лиц, имеющих доступ к данным.
• Использование антивирусов и средств защиты информации.
• Регулярное резервное копирование.

3.2. Хранение согласий и документов

Согласие на обработку ПДн как документ должно храниться 3 года с момента истечения срока его действия или отзыва (приказ Росархива № 236). Если клиент отозвал согласие, уничтожьте его данные в течение 30 дней (кроме тех, что нужно хранить по договору или закону), но сам документ-согласие (подтверждение, что оно было) храните 3 года – это нужно для доказательства законности обработки в прошлом.

3.3. Доступ к CRM: логи и контроль

Включите в CRM журнал входов, выгрузок и изменений данных клиентов. Если произойдёт утечка, журнал поможет установить, кто и когда работал с данными. Также ограничьте доступ: менеджеру нужны только данные тех клиентов, с которыми он работает, а не вся база.

4. Передача данных третьим лицам: туроператоры, отели, страховые

Турагентство редко работает с данными клиентов изолированно. Вы передаёте их туроператору, в отель, страховой компании. Это тоже обработка ПДн, и она должна быть законной.

4.1. Согласие на передачу

Если вы берёте согласие на обработку ПДн, укажите в нём, кому могут передаваться данные (туроператорам, перевозчикам, страховщикам). При этом передача данных туроператору, перевозчику или страховщику для исполнения договора с туристом допускается и без отдельного согласия (п. 5 ч. 1 ст. 6 152-ФЗ) – но получателей всё равно стоит перечислить в Политике, а для рекламных целей согласие нужно обязательно.

4.2. Передача данных за границу

Если туроператор или отель находятся за пределами России (например, в Турции, Египте, Таиланде), передача данных считается трансграничной. О любой такой передаче нужно заранее уведомить Роскомнадзор (это обязательно с 1 марта 2023 года). Перечень стран с адекватной защитой – приказ РКН от 16.09.2026 № 253. Проверьте по нему каждую страну, куда передаёте данные туристов. В перечне, например, Турция, Таиланд, Вьетнам, Тунис, Греция, Кипр, страны ЕС, Беларусь, Казахстан и Китай; для таких стран передавать данные можно после направления уведомления (ч. 10 ст. 12). Для стран вне перечня, например Египта, ОАЭ или США, передача возможна не раньше чем через 10 рабочих дней после уведомления, если РКН не запретил (ч. 9, 11 ст. 12). Если вы передаёте данные только российскому туроператору, а за границу их отправляет он, трансграничную передачу проводит туроператор. Если вы сами отправляете данные зарубежному отелю или партнёру, уведомление подаёте вы. В договоре с туроператором стоит закрепить, кто за что отвечает.

5. Сайт: формы, cookie и авторизация

Сайт турагентства собирает данные через формы, счётчики и кнопки входа, и у каждого из них свои требования.

5.1. Формы заявок и обратной связи

Каждая форма (подбор тура, заказ звонка, обратный звонок) должна содержать:

• Чекбокс согласия на обработку ПДн (активный, не предустановленный).
• Ссылку на Политику обработки ПДн.
• Минимальный набор полей: не запрашивайте паспортные данные, если они не нужны на этом этапе.

5.2. Cookie-баннер

Cookie могут быть персональными данными, если их можно связать с человеком (ст. 3 152-ФЗ). За сбор cookie без законного основания организации грозит штраф 150–300 тысяч рублей, ИП – 50–100 тысяч (ч. 1 ст. 13.11 КоАП). Прямой нормы, запрещающей запускать счётчики и cookie до согласия, в законе нет; это позиция Роскомнадзора (ч. 1 ст. 6 и ст. 9 152-ФЗ). Надёжнее не запускать их до согласия посетителя. Единой нормы про формат баннера в 152-ФЗ тоже нет. Согласие – это активное действие посетителя: кнопка «Принять» или галочка, а не продолжение просмотра сайта. Это касается любых счётчиков аналитики и рекламы, в том числе ретаргетинга и рекламных пикселей.

5.3. Авторизация через иностранные сервисы

С 1 декабря 2023 года российские сайты обязаны авторизовать пользователей только российскими способами (номер мобильного телефона, Госуслуги, ЕБС, иная российская информационная система); с 7 июля 2026 года за нарушение штрафуют по статье 13.55 КоАП РФ: для организации – до 700 000 ₽. Если на сайте турагентства есть кнопка «Войти через Google» или «Войти через Facebook», её нужно убрать.

6. Уведомление Роскомнадзора: когда и как подавать

Турагентство обязано уведомить РКН о начале обработки ПДн. Исключения для тех, кто обрабатывает данные только сотрудников, с 1 сентября 2022 года больше нет.

6.1. Как подать уведомление

Уведомление подаётся через портал pd.rkn.gov.ru или Госуслуги. Форма утверждена приказом РКН от 28.10.2022 № 180. Роскомнадзор в течение 30 дней вносит сведения в реестр (ч. 4 ст. 22). В уведомлении нужно указать:

• Цели обработки ПДн.
• Категории данных (ФИО, паспорт, телефон, email).
• Правовое основание (договор с туристом, п. 5 ч. 1 ст. 6 152-ФЗ; для рассылок – согласие).
• Способы обработки (автоматизированная, неавтоматизированная).
• Меры по обеспечению безопасности.

6.2. Что будет, если не уведомить

Штраф по части 10 статьи 13.11 КоАП РФ – за обработку без уведомления, если оно обязательно: от 100 до 300 тысяч рублей для организации и ИП.

7. Ответственность за утечку данных: новые штрафы и уголовные риски

Если база клиентов турагентства с паспортами и телефонами попала в сеть, штраф зависит от числа людей и вида данных.

7.1. Штрафы за утечку (420-ФЗ)

С 30 мая 2025 года действуют новые штрафы:

• За утечку данных от 1 000 человек – организации от 3 до 15 млн ₽ в зависимости от числа людей (ч. 12–14 ст. 13.11 КоАП); утечка медсправок (специальная категория) – 10–15 млн ₽ при любом числе людей (ч. 16); биометрия – 15–20 млн ₽ (ч. 17); за неуведомление РКН об утечке – отдельный штраф 1–3 млн ₽ (ч. 11).
• Оборотный штраф (часть 15 статьи 13.11 КоАП, повторная утечка) – 1–3% годовой выручки, но не менее 20 млн и не более 500 млн ₽.

7.2. Уголовная ответственность

С 11 декабря 2024 года действует новая статья 272.1 УК РФ – незаконное использование, передача, сбор, хранение компьютерной информации с ПДн, полученной незаконным путём. Наказание: штраф до 300 000 ₽, принудительные работы или лишение свободы до 4 лет (часть 1). Это статья для тех, кто незаконно получил данные, а не для турагентства, у которого их украли. Сотрудник, нарушивший правила эксплуатации систем хранения, отвечает по ст. 274 УК, только если нарушение повлекло уничтожение, блокирование, модификацию или копирование информации и причинило крупный ущерб (свыше 1 млн ₽).

7.3. Порядок действий при утечке

Если утечка произошла, вы обязаны:

• В течение 24 часов уведомить РКН о факте утечки (первичное уведомление).
• В течение 72 часов предоставить детальное уведомление с результатами внутреннего расследования (приказ РКН от 14.11.2022 № 187).

8. Специальные категории данных: здоровье и дети

Турагентство может сталкиваться с данными, которые требуют особой защиты.

8.1. Медицинские данные

Если вы запрашиваете медицинские справки (например, для поездки в санаторий или для страховки), это специальная категория ПДн (статья 10 152-ФЗ). Для их обработки нужно согласие в письменной форме, кроме случаев, перечисленных в ч. 2 ст. 10.

8.2. Данные детей

За ребёнка до 14 лет согласие даёт родитель (законный представитель); для подростков 14–18 лет практика различается, надёжнее брать согласие и подростка, и родителя. В письменном согласии представителя укажите реквизиты документа, подтверждающего полномочия представителя (свидетельство о рождении).

9. Документы для сотрудников: отдельный блок

Турагентство – это ещё и работодатель. Данные сотрудников (трудовые договоры, личные дела) обрабатываются по тем же правилам, но с некоторыми особенностями.

9.1. Сроки хранения

Документы по личному составу (приказы о приёме, увольнении, личные карточки) хранятся:

• 50 лет – если оформлены после 1 января 2003 года.
• 75 лет – если оформлены раньше (статья 22.1 125-ФЗ «Об архивном деле»).

9.2. Уведомление МВД для иностранных работников

Если турагентство нанимает иностранных граждан, работодатель обязан уведомить МВД о заключении или расторжении трудового договора в течение 3 рабочих дней (пункт 8 статьи 13 115-ФЗ). Сам работник по патенту уведомляет МВД о начале работы самостоятельно в течение 2 месяцев с даты выдачи патента (п. 7 ст. 13.3 115-ФЗ).

10. Что делать прямо сейчас: чек-лист для турагентства

Чтобы привести сайт и CRM в соответствие с 152-ФЗ, выполните следующие шаги:

1. Проверьте согласие на сайте (для рассылок и других целей, не нужных для договора): рекомендуем активный чекбокс, текст с целями и перечнем данных, ссылка на Политику.
2. Разместите Политику обработки ПДн: в подвале сайта и перед формами.
3. Настройте cookie-баннер (рекомендуем): счётчики и рекламные пиксели – только после активного согласия.
4. Подайте уведомление в РКН: через pd.rkn.gov.ru или Госуслуги, до начала обработки.
5. Ограничьте доступ к CRM: логирование, разграничение прав, резервное копирование.
6. Проверьте договоры с туроператорами: пункт об ответственности за трансграничную передачу.
7. Удалите авторизацию через иностранные сервисы: кнопки «Войти через Google/Apple/Facebook».
8. Назначьте ответственного за обработку ПДн: внутри компании.
9. Проверьте сроки хранения: удалите данные клиентов, когда истёк срок, который требуют закон и договор (учётные документы – не менее 5 лет, ст. 29 402-ФЗ).
10. Проверьте согласия на распространение: если публикуете отзывы с фото.

Что запомнить

152-ФЗ для турагентства – это набор конкретных требований к сайту, CRM и внутренним процессам. Основание обработки (договор или согласие), Политика, уведомление РКН, контроль доступа к данным и правильное хранение – минимальный набор. Начните с аудита текущего состояния: проверьте, есть ли на сайте все необходимые документы, как собираются данные и кто имеет к ним доступ.

Частые вопросы

На что опираемся

• 152-ФЗ «О персональных данных» – ст. 9 (согласие на обработку)
• 152-ФЗ «О персональных данных» – ст. 21 (уничтожение данных)
• Постановление Правительства РФ № 1119 (определение уровня защищённости)
• Приказ ФСТЭК № 21 (состав мер защиты)
• Приказ РКН от 16.09.2026 № 253 (перечень стран с адекватной защитой)
• 152-ФЗ «О персональных данных» – ст. 6 (основания обработки), ст. 12 (трансграничная передача)
• КоАП РФ – ст. 13.11 (штрафы за нарушения)
• УК РФ – ст. 272.1 (незаконное использование персональных данных)

Что сделать дальше

1. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
2. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.