152-ФЗ для салона красоты и фитнес-клуба: база клиентов и рассылки
Салон красоты и фитнес-клуб годами копят базу клиентов в CRM или приложении для записи, это телефоны, даты рождения и история посещений. Потом базу используют для SMS и писем об акциях. Здесь чаще всего путают запись по договору и согласие на рекламную рассылку.
Какие данные собирает салон и фитнес-клуб
- При первой записи ФИО, телефон, иногда email Через сайт, мессенджер, телефонный звонок или сторонний сервис записи (YCLIENTS, Dikidi и аналоги).
- В процессе обслуживания История посещений и предпочтения Предпочтения по процедурам и тренировкам, дата рождения для поздравлений, иногда данные карты лояльности.
- Особый случай Биометрический контроль доступа Если фитнес-клуб пропускает клиентов по отпечатку пальца или лицу, это биометрические персональные данные (ст. 11 152-ФЗ). Для них нужно согласие в письменной форме и более строгие меры защиты.
Услугу и рассылку путают чаще всего
Данные для оказания услуг (запись на процедуру, история посещений, абонемент) обрабатывают по договору, отдельное согласие для этого не нужно. Для рекламных SMS и email нужно согласие клиента. Это два разных основания обработки. Человек может оставаться вашим клиентом и при этом отказаться от рекламных рассылок. Отказ от одного не должен автоматически означать отказ от другого, и наоборот.
Клиент один раз записался на процедуру через форму на сайте с общим согласием «на обработку персональных данных», и потом месяцами получает рекламные SMS. Отдельного согласия на рекламную рассылку он не давал, а общая формулировка рекламные цели не покрывает.
Отдельный случай составляют сведения о здоровье в карте клиента, например противопоказания, аллергии и травмы. Это специальная категория (ст. 10 152-ФЗ), и на нее нужно согласие в письменной форме. Без него грозит штраф по ч. 2 ст. 13.11 КоАП, до 300 000 ₽ для ИП и до 700 000 ₽ для организаций.
Если вы работаете сами, без салона или клуба, читайте разборы для мастера маникюра и фитнес-тренера.
Кто отвечает при стороннем сервисе записи
Использование YCLIENTS, Dikidi, Altegio или аналогичного сервиса не освобождает салон или клуб от обязанностей оператора персональных данных. Сервис в этом случае обрабатывает данные по поручению оператора (ч. 3 ст. 6 152-ФЗ). Это нужно отразить в политике конфиденциальности и указать, что данные клиентов хранятся и обрабатываются также в инфраструктуре сервиса записи.
Чеклист для салона красоты и фитнес-клуба
- Политика конфиденциальности с указанием стороннего сервиса записи как обработчика по поручению.
- У формы записи строка со ссылкой на политику, для рекламных рассылок отдельная галочка согласия, не отмеченная заранее.
- Цель «поздравление с днем рождения» в политике, если дату рождения используют для рассылок.
- Письменное согласие на биометрические данные, если используется биометрический контроль доступа.
- Письменное согласие на сведения о здоровье (противопоказания, аллергии, травмы), если они есть в карте клиента.
- Уведомление в Роскомнадзор до начала обработки (ч. 1 ст. 22 152-ФЗ), оно нужно салону, клубу и самозанятому мастеру.
Проверьте сайт салона или клуба бесплатно
Аудит проверяет формы записи, согласие на рассылку и cookie-баннер снаружи, как их видит проверяющий. Первые находки видны сразу.
Проверить сайт бесплатноЧасто задаваемые вопросы
Да. Запись и оказание услуг идут по договору и согласия не требуют (п. 5 ч. 1 ст. 6 152-ФЗ), а рекламные SMS и письма можно отправлять только с предварительного согласия клиента (ч. 1 ст. 15 152-ФЗ, ч. 1 ст. 18 закона «О рекламе»). Клиент может ходить к вам и при этом отказаться от рассылки.
Да. Сторонний сервис записи не освобождает вас от обязанностей оператора персональных данных. Сервис обрабатывает данные по вашему поручению, и это нужно отразить в политике конфиденциальности.
Для даты рождения нужно отдельно указать цель обработки, например «поздравление с днем рождения, информирование об акциях», в политике конфиденциальности и в согласии.