Сколько хранить данные гостя: цель важнее привычки сохранять всё

«Хранить всё» — привычка, которая дорого стоит

Данные гостей копятся в отеле годами: кто-то останавливался, кому-то писали письма, кого-то снимали камеры. Когда хранилище почти ничего не стоит, проще ничего не удалять. Но российское законодательство исходит из другого принципа: персональные данные нельзя хранить в форме, позволяющей определить субъекта, дольше, чем этого требуют цели обработки, если только срок не установлен федеральным законом, договором или иным основанием (ч. 7 ст. 5 закона № 152-ФЗ).

Привычка сохранять всё превращает отель в держателя неактуальных и рискованных массивов. Старые записи устаревают, расширяют объём ответов на запросы гостей и делают любую утечку более болезненной для репутации и для штрафов. Закон не задаёт одного срока для всех данных: срок определяется целью обработки. Как только цель достигнута, данные подлежат уничтожению или обезличиванию, если дальнейшая обработка не нужна.

• Не храните запись «на всякий случай» — для этого нет законного основания.
• Определите цель обработки до того, как решите, сколько хранить данные.
• Минимального срока хранения закон не устанавливает — ориентиром служит достижение цели.
• Помните: устаревшие данные повышают и стоимость защиты, и масштаб последствий при утечке.

Какие данные о госте есть у отеля

Отель собирает не только имя и номер брони. Паспортные данные, контакты для связи, сведения о банковской карте, предпочтения, история визитов, логи сети Wi-Fi и записи камер — всё это персональные данные с разными целями и правовыми основаниями. Данные об аллергиях и состоянии здоровья относятся к специальным категориям и требуют особой осторожности и минимального объёма сбора.

Часть сведений обрабатывается без согласия, потому что это обязанность по закону, — например, передача данных в МВД для регистрации граждан и миграционного учёта иностранных гостей. Для маркетинговых рассылок, программ лояльности и любых «дополнительных» сведений нужно отдельное согласие гостя. От того, на каком основании обрабатываются данные, напрямую зависит, как долго их можно хранить.

• Данные для регистрации и передачи в МВД — законное основание без согласия (пп. 2 ч. 1 ст. 6, ПП № 1853).
• Карты, реквизиты брони и контакты для исполнения договора — основание «договор».
• Маркетинг, лояльность, отзывы и «лишние» сведения — только по отдельному согласию.
• Аллергии и состояние здоровья — специальная категория, минимизируйте сбор и хранение.

Сроки: где закон, а где практика

При достижении цели обработки оператор обязан прекратить обработку и уничтожить персональные данные в срок не более 30 дней, если иное не предусмотрено (ч. 4 ст. 21 закона № 152-ФЗ). Часть сроков задана нормативными актами: первичные учётные и бухгалтерские документы, содержащие персональные данные, хранятся не менее пяти лет (приказ Росархива от 20.12.2019 № 236, ст. 23 Налогового кодекса), а согласие на обработку персональных данных — три года после истечения срока действия согласия или его отзыва.

Отраслевая практика в России дополнительно различает оперативные данные гостя и записи безопасности. Регистрационную карту и данные миграционного учёта иностранных гостей обычно хранят не менее года после выезда. Записи видеонаблюдения держат, как правило, от 5 до 30 суток, а дольше — только при обоснованной необходимости, например для разбирательства инцидента. Эти ориентиры стоит сверять с актуальными требованиями вашего региона и конкретного ведомства.

• Бухгалтерия и налоги: минимум пять лет (приказ Росархива № 236, НК РФ).
• Согласие на обработку: три года после отзыва или окончания срока действия.
• Регистрационная карта и миграционный учёт иностранцев: ориентировочно не менее года после выезда.
• Видеонаблюдение: 5–30 суток, дольше — только по обоснованной необходимости.
• После истечения срока документы выделяют к уничтожению по акту.

Как определить срок по каждой цели

Начните с описи всех мест, где живут данные гостя: система управления отелем, каналы бронирования, сервисы рассылок, база лояльности, сеть Wi-Fi, камеры и платёжный провайдер. Для каждого блока укажите, какие данные собираются, на каком основании и зачем они нужны. Только после такой карты можно назначать разумные сроки хранения, а не общий «на всякий случай».

Для каждой цели установите срок: активный период, пока цель действует; этап архивации для законных или претензионных нужд, если он действительно нужен; и момент уничтожения. Данные удаляют, как только исчезает основание, если закон не требует хранить дольше. Сделайте регламент гибким для досрочного удаления по запросу гостя или при отзыве согласия.

• Опишите каждый источник данных и его назначение.
• Разделите активное хранение, промежуточный архив и момент удаления.
• Применяйте правило «раньше из двух»: достигнутая цель или истёкший срок.
• Удаляйте раньше срока при отзыве согласия или запросе гостя.

Внедрение: регламент, автоматизация и акт об уничтожении

Регламент уничтожения, который никто не исполняет, почти бесполезен. Автоматизируйте, что возможно: настройте систему управления отелем и маркетинговые платформы так, чтобы записи помечались или удалялись по истечении срока, и проводите периодические ревизии всего, что хранится по усмотрению. Чем меньше ручных шагов, тем меньше риск случайно оставить старые профили.

Уничтожение подтверждается документально. Для данных на материальных носителях действуют требования, утверждённые приказом Роскомнадзора от 28.10.2022 № 179. Решите, что удалять, а что обезличивать, если нужна агрегированная статистика без идентификации. Удаление должно затрагивать и резервные копии, и архивы, а не только рабочую базу.

• Настройте автоматическую пометку и удаление записей по истечении срока.
• Проводите регулярную ревизию данных, хранимых по усмотрению.
• Оформляйте акт об уничтожении в установленном порядке.
• Учитывайте резервные копии и архивы при удалении.
• Обезличивайте там, где нужна только статистика.

Ограничения и когда нужен юрист

Это общие практические рекомендации, а не юридическая консультация. Сроки хранения пересекаются с миграционным, налоговым и архивным правом, и для международных сетей дополнительно действуют требования о трансграничной передаче данных (ст. 12 закона № 152-ФЗ) и о первичном хранении баз в России.

Если идёт проверка, судебный спор или поступил запрос из ведомства, уничтожение релевантных записей обычно приостанавливается до выяснения обстоятельств. Для сложных случаев — несколько юрисдикций, специальные категории данных, инциденты утечки — разумно привлечь юриста по защите персональных данных, прежде чем менять регламенты.