Обработка персональных данных клиентов салона красоты: что важно знать в 2025 году

1. Какие персональные данные собирает салон 
2. Что изменилось в законе 152-ФЗ в 2025 году
3. Что нужно сделать для соблюдения закона
4. Как подать уведомление об обработке данных
5. Как защитить данные клиентов и сотрудников
6. Алгоритм действий при утечке
7. Распространенные ошибки 
8. Часто задаваемые вопросы

Как и многие другие компании из сферы услуг, салоны красоты регулярно обрабатывают большие объемы информации о клиентах, включая различные конфиденциальные сведения. Чтобы бизнес соответствовал требованиям законодательства, важно понимать, какие именно данные можно считать «персональными» и как обезопасить себя от риска утечек. Публикуем подробный гайд для владельцев салонов красоты по защите персональных данных (ПДн) в 2025 году.

Какие персональные данные собирает салон 

Сведения о клиентах

• ФИО, номер телефона и адрес электронной почты. Базовый набор сведений, который чаще всего понимается под «персональными данными». Несмотря на кажущуюся простоту сбора, именно эта информация чаще всего становится целью злоумышленников при утечках.

• Фото и видео из серии «до/после». Подобные визуальные материалы обычно используются для продвижения услуг салона в интернете, однако для размещения такого контента необходимо получить от клиента отдельное, четко сформулированное согласие на публикацию сведений о себе.

• Медицинские сведения. Информация о состоянии здоровья клиента, например наличии у него аллергии или медицинских противопоказаний к определенным процедурам, относится к категории специальных персональных данных и требует получения письменного согласия на их сбор и обработку.

• Биометрические данные. Это могут быть кадры с изображением лиц в системе видеонаблюдения и любые другие сведения, содержащие информацию об уникальных физиологических характеристиках человека и также требующие получения от клиентов отдельного согласия на сбор и обработку.

Сведения о сотрудниках

• Паспортные данные, ИНН и СНИЛС. Сбор и обработка информации, необходимой для официального трудоустройства работников и начисления им заработной платы, а также уплаты налогов и взносов требует получения отдельного согласия в случае передачи этих сведений третьему лицу, например банку.

• Медкнижки, дипломы и сертификаты. Данные об образовании, квалификации и состоянии здоровья сотрудников, подтверждающие их право на осуществление деятельности в сфере бьюти-услуг, также относятся к персональным данным, что обязывает салон обеспечить их корректный учет и хранение.

Что изменилось в законе 152-ФЗ в 2025 году

В 2025 году законодательная база в области персональных данных претерпела ряд трансформаций. Ключевые нововведения касаются требований к обезличиванию информации, увеличения размеров взысканий за нарушения и введения новых правил для оформления согласия на обработку ПДн.

Обезличивание персональных данных

Согласно обновленным нормативам, с 1 сентября 2025 года для проведения маркетинговых исследований или анализа эффективности косметических методик необходимо использовать такие способы обработки информации, которые сделают невозможной обратную идентификацию конкретного человека (т. е. установление его личности).

Оформление отдельного согласия

Согласие на обработку личной информации больше не может быть скрытым пунктом в договоре на оказание услуг. С 1 марта 2025 года каждое предприятие будет обязано предоставлять клиентам на подпись отдельный документ с указанием цели сбора данных, а также способов их обработки и сроков хранения.

Ужесточение ответственности 

Принятие закона № 420-ФЗ существенно увеличило размер штрафов за нарушения правил в области ПДн. Например, утечка сведений о здоровье карается взысканием от 10 млн до 15 млн руб. (для юрлиц и ИП), а за противоправное использование компьютерной информации, содержащей личные сведения, предусмотрена уголовная ответственность.

Что нужно сделать для соблюдения закона

Чтобы деятельность салона соответствовала актуальным требованиям законодательства, необходимо провести ревизию внутренних процессов и внедрить комплексную систему управления персональными данными. Ниже представлены ключевые шаги, которые следует предпринять руководителю.

Первым делом нужно зарегистрироваться в качестве оператора персональных данных. Любой предприниматель или организация, собирающие и использующие информацию о клиентах, должны быть внесены в специальный Реестр Роскомнадзора. Эту процедуру можно пройти онлайн на официальном сайте ведомства. Далее следует уведомить Роскомнадзор о начале обработки ПДн, тем самым проинформировав государство о своих намерениях.

При выборе CRM-системы для салона красоты, удостоверьтесь, что серверы компании расположены в РФ, чтобы обеспечить хранение всех данных на территории России. Кроме того, необходимо назначить лицо, ответственное за обработку ПДн. Им может стать управляющий или любой другой компетентный работник, который будет контролировать соблюдение закона и выступать контактным лицом для регулятора.

Наконец, необходимо подготовить полный комплект регламентирующих документов. Сюда входят: 

• политика обработки ПДн, которая должна быть доступна для ознакомления как в письменном виде, так и на сайте салона;
• отдельные бланки согласий на обработку общих данных, сведений о здоровье и использование фото/видео клиентов в рекламных целях;
• договоры с подрядчиками (маркетологами, фотографами, IT-специалистами), которым доверен доступ к персональным данным.

Как подать уведомление об обработке данных

Процесс информирования Роскомнадзора о намерении обрабатывать ПДн является обязательным для большинства организаций. Подача уведомления эквивалентна официальному заявлению о том, что салон работает с личной информацией клиентов и обязуется соблюдать законодательство в этой сфере.

Как заполнить уведомление

Электронный бланк на сайте Роскомнадзора включает несколько ключевых разделов:

Общие сведения об операторе, где указываются полное наименование юридического лица или ФИО индивидуального предпринимателя, а также ИНН, ОГРН/ОГРНИП, юридический и фактический адреса.

Цели обработки ПДн, например: «запись на процедуры онлайн», «информирование о специальных предложениях», «ведение кадрового учета сотрудников» и другое.

Категории ПДн, где нужно перечислить типы обрабатываемых данных: ФИО, номера телефонов, email, сведения о здоровье, фото- и видеоизображения, паспортные данные сотрудников и т. д.

Меры безопасности, где описываются правовые, организационные и технические меры защиты, например, «разработка Политика обработки ПДн», «использование CRM с парольной защитой».

Наименование информационной системы, где указывается название программы, в которой ведется учет клиентов, например, «программное обеспечение 1С:Салон красоты».

Как отправить уведомление

Готовый документ можно направить в территориальное управление Роскомнадзора несколькими способами:

• распечатать заполненную на сайте форму, подписать ее и отправить заказным письмом с уведомлением о вручении;
• заполнить электронную форму на сайте Роскомнадзора и подписать ее усиленной квалифицированной электронной подписью (УКЭП);
• воспользоваться соответствующей услугой на портале Госуслуг, что также потребует наличия подтвержденной учетной записи и электронной подписи.

Что будет, если не подать уведомление 

Законодательство предусматривает сравнительно небольшой размер штрафа за первичное непредоставление сведений в Роскомнадзор. Однако отсутствие салона в реестре операторов при повторной проверке уже будет квалифицировано как отягчающее обстоятельство. Если в уведомлении допущена ошибка, следует как можно скорее отправить в ведомство письмо о необходимости внесения изменений. 

Как защитить данные клиентов и сотрудников

Обеспечение безопасности ПДн — комплексная задача, требующая применения как технических, так и организационных мер, которые позволяют максимально снизить риск утечек.

Технические меры

CRM с доступом по паролю. У каждого сотрудника должен быть свой уникальный логин для входа в систему, а также сложный пароль, который необходимо менять раз в 1-2 месяца.

Шифрование, резервное копирование. Убедитесь, что каналы передачи информации (например, при записи через сайт) защищены протоколами шифрования, а сами данные имеют резервные копии базы данных на облачных серверах.

Контроль доступа. Современные CRM позволяют вести логи действий пользователей, чтобы отслеживать, кто из сотрудников просматривал те или иные сведения и какие изменения были внесены.

Организационные меры

Инструктаж персонала. Регулярно проводите обучение для всех сотрудников, имеющих доступ к личным данным, чтобы персонал четко понимал, какие действия разрешены и какая ответственность предусмотрена за нарушения.

Разграничение прав доступа. Внедрите принцип «минимально необходимых привилегий», предоставив работникам только ту информацию, которая необходима им для выполнения повседневных задач. 

Работа с подрядчиками. Привлекая сторонних специалистов, заключайте договор поручения на обработку ПДн, где будут прописаны обязанности подрядчика по обеспечению конфиденциальности данных.

Порядок действий при утечке 

Выявить и локализовать проблему

Сразу после обнаружения инцидента нужно оценить его масштаб и понять, какие именно данные и какого количества клиентов или сотрудников оказались скомпрометированы. Затем следует немедленно принять меры для прекращения утечки, например, сменить пароли, заблокировать доступ в систему или временно отключить затронутый сервис.

Сообщить об инциденте в Роскомнадзор 

Закон обязывает уведомить Роскомнадзор о факте инцидента в течение 24 часов с момента его обнаружения. Это — так называемое «первичное уведомление». В течение 72 часов необходимо направить второе уведомление с подробными результатами внутреннего расследования: причинами утечки, оценкой вреда и принятыми мерами.

Уведомить пострадавших клиентов или сотрудников

Прозрачность критически важна для сохранения доверия. Задача руководства салона — проинформировать об инциденте субъектов, чьи данные стали мишенью злоумышленников. В сообщении стоит указать, какая именно информация подверглась утечке и какие меры предосторожности следует предпринять.

Обновить меры безопасности

По итогам расследования необходимо проанализировать причины, которые стали причиной инцидента, и внести изменения в систему защиты, чтобы исключить повторение подобных ситуаций в будущем. Это может включать в себя обновление программного обеспечения, изменение внутренних регламентов или обучение персонала.

Распространенные ошибки 

Размещение фото клиентов без предварительного согласия

Чтобы публиковать фотографии клиентов из серии «до/после», недостаточно устной договоренности или отметки в анкете. Необходимо иметь подписанный документ, разрешающий публикацию изображения конкретного человека в конкретных целях (например, в портфолио на сайте и в соцсетях).

Неуведомление Роскомнадзора об обработке данных

Небольшие студии или начинающие предприниматели иногда полагают, что их деятельность «слишком мала» для внимания регулятора, и пренебрегают обязанностью подавать уведомление об обработке ПДн в Роскомнадзор. Это прямое нарушение закона, которое легко выявляется при любой, даже незначительной жалобе клиента.

Использование CRM с серверами за границей

В погоне за удобством и дешевизной некоторые салоны выбирают программное обеспечение компаний, чьи облачные серверы расположены за пределами Российской Федерации. Это является грубым нарушением требования закона 152-ФЗ о локализации баз данных, за которое предусмотрены миллионные штрафы.

Часто задаваемые вопросы (FAQ)

Можно ли использовать WhatsApp для рассылок?

Использование WhatsApp* (принадлежит компании Meta, признанной экстремистской и запрещенной в РФ) для рассылок сопряжено с определенными трудностями. Во-первых, это иностранный мессенджер, что нарушает требование о локализации данных. Во-вторых, для рассылки необходимо отдельное согласие клиента на получение рекламных материалов через конкретный канал связи.

Распространяются ли требования закона 152-ФЗ на мастеров, которые работают как ИП без сотрудников?

Даже если мастер работает как индивидуальный предприниматель на дому, он существляет сбор ФИО и телефона своих клиентов, что автоматически наделяет его статусом оператора персональных данных. Поэтому для него актуальны все требования закона 152-ФЗ, включая подачу уведомления в Роскомнадзор, разработку документов и получение согласий.

Где взять шаблоны документов, связанных с обработкой ПДн?

В интернете можно найти множество типовых шаблонов Политики обработки ПДн и различного рода согласий для клиентов. Однако они не всегда учитывают специфику бьюти-сферы (например, обработку данных о здоровье). Наиболее безопасный вариант — заказать разработку пакета документов у юристов, которые адаптируют их под конкретные требования.

Как узнать, зарегистрирован ли салон в качестве оператора ПДн?

Это можно проверить самостоятельно, зайдя на официальный сайт Роскомнадзора в раздел «Реестр операторов, осуществляющих обработку персональных данных» и воспользовавшись поиском по ИНН или наименованию организации. Если вашей организации нет в списке, необходимо как можно скорее подать соответствующее уведомление.

---

Соблюдение законодательства о персональных данных — это не лишняя бюрократическая нагрузка, а насущная необходимость. Потратив время и ресурсы на приведение процессов, связанных с обработкой информации, в соответствие с законом, вы обезопасите себя от многомиллионных штрафов, а также значительно укрепите репутацию салона. Доверие клиентов — самый ценный актив, который напрямую влияет на успешность и процветание бизнеса.