Деятельность любого фитнес-клуба неизбежно связана с обработкой сведений о клиентах и сотрудниках. Анкетные данные, контактные телефоны, сведения о состоянии здоровья, фотографии для клубных карт всё это относится к категории персональных данных, правовой режим которых в Российской Федерации определяется Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных". Соблюдение требований https://pod-ft.ru/registratsiya-v-rkn/fitnes-klub/ этого нормативного акта является не формальностью, а обязательным условием законного ведения бизнеса.
Игнорирование установленных процедур влечёт за собой административную, а в ряде случаев и уголовную ответственность, размеры которой в последние годы существенно возросли.
Персональные данные? Содержание понятия и специфика фитнес-отрасли
Под персональными данными понимается любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Законодательство не устанавливает исчерпывающего перечня таких сведений, что позволяет относить к ним максимально широкий круг информации.
Для фитнес-клуба типичными категориями персональных данных выступают фамилия, имя, отчество клиента, его пол, дата рождения, адрес проживания, номер телефона, адрес электронной почты, паспортные данные при заключении договора, а также сведения о состоянии здоровья, которые клиент сообщает при заполнении медицинской анкеты или в ходе консультации с тренером.
Отдельного внимания заслуживают биометрические персональные данные фотографическое изображение лица, отпечатки пальцев, рисунок вен ладони, используемые в системах контроля доступа.
Специфика фитнес-индустрии заключается в том, что клуб аккумулирует значительные объёмы разнородной информации о человеке. Это не только идентификационные сведения, но и данные о физической активности, антропометрических показателях, противопоказаниях к нагрузкам, предпочтениях в тренировках. Такая совокупность позволяет составить детальный профиль клиента, что повышает риски в случае утечки или неправомерного использования.
Законодатель относит сведения о состоянии здоровья к специальным категориям персональных данных, обработка которых допускается только при наличии согласия субъекта и требует повышенных мер защиты.
Фитнес-клуб, собирающий медицинские справки для допуска к тренировкам или ведущий дневники самочувствия клиентов, автоматически становится оператором, обрабатывающим специальные категории данных, что накладывает на него дополнительные обязанности.
Оператор персональных данных. Статус и обязанности фитнес-клуба
Оператором персональных данных признаётся государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и осуществляющие обработку персональных данных, а также определяющие цели обработки, состав обрабатываемых данных и совершаемые с ними действия.
Фитнес-клуб, будь то общество с ограниченной ответственностью, индивидуальный предприниматель или сеть клубов, отвечает всем признакам оператора, если он собирает, хранит, систематизирует или иным образом использует сведения о клиентах и работниках.
Статус оператора возникает с момента начала фактической обработки данных, а не с момента государственной регистрации в качестве юридического лица или индивидуального предпринимателя. Это означает, что обязанность по соблюдению требований 152-ФЗ возникает у клуба с первого дня работы с анкетами клиентов.
Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных законом.
К таким мерам относится назначение ответственного за организацию обработки персональных данных, разработка и опубликование политики обработки, применение правовых, организационных и технических мер защиты, внутренний контроль соответствия обработки законодательству, оценка вреда, который может быть причинён субъектам в случае нарушения закона, и ознакомление работников с положениями законодательства.
Оператор несёт ответственность за соответствие обработки и обеспечение безопасности персональных данных требованиям законодательства независимо от того, привлекает ли он для обработки третьих лиц.
Передача данных на аутсорсинг например, бухгалтерской компании, колл-центру, IT-подрядчику, обслуживающему CRM-систему, не снимает с клуба обязанностей оператора. В таких случаях требуется заключение договора поручения на обработку персональных данных, в котором должны быть определены перечень действий с данными, цели обработки и обязанность обеспечивать конфиденциальность и безопасность.
Фитнес-клуб как оператор обязан также обеспечить, чтобы третьи лица, получившие доступ к данным, соблюдали принципы и правила обработки, установленные законом.
Субъект персональных данных. Права клиентов и работников фитнес-клуба
Субъектом персональных данных выступает физическое лицо, к которому относятся соответствующие сведения. В контексте фитнес-клуба субъектами являются клиенты, работники, соискатели, посетители сайта, оставившие заявку на пробную тренировку, а также лица, чьи изображения попадают в систему видеонаблюдения.
Закон наделяет субъекта широким набором прав, реализация которых обеспечивается оператором. Субъект вправе получать информацию, касающуюся обработки его персональных данных, включая сведения о правовых основаниях, целях, способах, сроках обработки, лицах, которым данные могут быть переданы. Он может требовать уточнения, блокирования или уничтожения данных, если они являются неполными, устаревшими, неточными или незаконно полученными.
Особое значение имеет право субъекта на отзыв согласия на обработку персональных данных.
Клиент фитнес-клуба может в любой момент направить оператору письменное заявление об отзыве согласия, и клуб обязан прекратить обработку и уничтожить данные в срок, не превышающий тридцати дней с даты поступления отзыва, если иное не предусмотрено договором или законом. Исключение составляют случаи, когда обработка продолжается на ином законном основании например, для исполнения договора, стороной которого является субъект.
Практическая сложность для фитнес-клубов заключается в том, что отзыв согласия на обработку биометрических данных, используемых для доступа в клуб, фактически означает невозможность предоставления услуг по клубной карте с биометрической идентификацией. Клуб должен быть готов предложить клиенту альтернативный способ доступа либо прекратить обслуживание в части, требующей обработки биометрии.
Обработка персональных данных. Действия и принципы
Обработка персональных данных охватывает любой набор действий, совершаемых с использованием средств автоматизации или без таковых. К таким действиям относятся сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, предоставление, доступ, блокирование, удаление и уничтожение данных.
- Фитнес-клуб осуществляет обработку на всех этапах взаимодействия с клиентом: при первичном обращении, заключении договора, ведении клиентской базы, пропуске через систему контроля доступа, проведении тренировок, расчётах за услуги, направлении уведомлений и рекламных материалов.
- Закон устанавливает принципы обработки, которые оператор обязан соблюдать. Обработка должна вестись на законной и справедливой основе, ограничиваться достижением конкретных, заранее определённых и законных целей. Не допускается обработка данных, избыточных по отношению к заявленным целям, а также их использование для целей, несовместимых с теми, ради которых они были собраны. Оператор обязан обеспечить точность и достаточность данных, а также их актуальность по отношению к целям обработки.
- Хранение данных должно осуществляться не дольше, чем этого требуют цели их обработки, если иной срок не установлен законом или договором.
- Для фитнес-клуба это означает, что после прекращения действия клубной карты и истечения сроков, необходимых для расчётов и разрешения возможных споров, персональные данные клиента подлежат уничтожению или обезличиванию.
Федеральный закон 152-ФЗ? Структура и основные требования
Федеральный закон № 152-ФЗ является основным нормативным актом, регулирующим отношения, связанные с обработкой персональных данных. Закон состоит из нескольких глав, которые последовательно раскрывают общие положения, принципы и условия обработки, права субъекта, обязанности оператора, государственный контроль и надзор, а также ответственность за нарушение требований.
Для фитнес-клуба наиболее значимыми являются положения главы 2, устанавливающей условия обработки персональных данных, и главы 4, определяющей обязанности оператора.
Закон претерпел ряд изменений, существенно ужесточивших требования к операторам. С 30 мая 2025 года обязанность по уведомлению Роскомнадзора о начале обработки персональных данных распространена на все категории операторов, включая те, которые ранее могли не подавать уведомление в силу малого объёма обрабатываемых данных или особенностей деятельности.
Изменились требования к согласию на обработку: с 1 сентября 2025 года согласие должно оформляться отдельно от договоров и анкет, а простая отметка в форме более не признаётся надлежащим подтверждением волеизъявления субъекта. Ужесточена ответственность за утечки данных: оператор обязан уведомить Роскомнадзор об инциденте в течение двадцати четырёх часов с момента обнаружения.
Для фитнес-клубов, использующих системы видеонаблюдения, биометрические турникеты и онлайн-запись, соблюдение обновлённых требований становится критически важным.
Роскомнадзор. Функции уполномоченного органа
Роскомнадзор Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций выступает уполномоченным органом по защите прав субъектов персональных данных.
В его компетенцию входит ведение реестра операторов, осуществляющих обработку персональных данных, организация приёма и рассмотрения уведомлений, осуществление государственного контроля и надзора за соответствием обработки требованиям законодательства, а также привлечение к административной ответственности за нарушения. Роскомнадзор ведёт реестр операторов, сведения из которого, за исключением информации о средствах обеспечения безопасности, являются общедоступными.
Взаимодействие фитнес-клуба с Роскомнадзором начинается с подачи уведомления о намерении осуществлять обработку персональных данных. После поступления уведомления уполномоченный орган в течение тридцати дней вносит сведения в реестр операторов.
При предоставлении неполных или недостоверных сведений Роскомнадзор вправе требовать их уточнения до внесения в реестр. На оператора не могут возлагаться расходы, связанные с рассмотрением уведомления и внесением сведений в реестр. Роскомнадзор также рассматривает обращения субъектов персональных данных, проводит проверки по фактам нарушений и применяет меры административного воздействия.
Уведомление об обработке персональных данных: порядок подачи и содержание
Уведомление об обработке персональных данных это официальное сообщение оператора в адрес Роскомнадзора о своём намерении осуществлять обработку персональных данных. Обязанность подачи уведомления закреплена в статье 22 Федерального закона № 152-ФЗ. Форма уведомления и порядок её заполнения утверждены приказом Роскомнадзора от 28.10.2022 № 180.
Уведомление может быть подано в бумажном виде по почте либо в электронной форме через портал персональных данных Роскомнадзора с использованием усиленной квалифицированной электронной подписи. Заполнить электронную форму можно также через личный кабинет на портале государственных услуг.
Содержание уведомления включает ряд обязательных сведений.
- Указываются полное и сокращённое наименование оператора, его адрес, индивидуальный номер налогоплательщика.
- Приводятся сведения о целях обработки персональных данных, категориях субъектов, данные которых обрабатываются, и перечень обрабатываемых персональных данных.
- Описываются правовые основания обработки, способы обработки, сведения о лицах, которым может быть поручена обработка, о мерах по обеспечению безопасности, о наличии или отсутствии трансграничной передачи данных.
- Указывается дата начала обработки и срок или условие прекращения обработки.
Для фитнес-клуба критически важно отразить все цели обработки: ведение кадрового учёта, бухгалтерский учёт, исполнение договоров с клиентами, обеспечение пропускного режима, видеонаблюдение, маркетинговые рассылки, обработка медицинских сведений для допуска к тренировкам. Пропуск хотя бы одной цели создаёт риск признания обработки по этой цели незаконной.
Последствия неподачи уведомления и ошибки при заполнении
Невыполнение обязанности по подаче уведомления в Роскомнадзор влечёт административную ответственность по части 10 статьи 13.11 Кодекса Российской Федерации об административных правонарушениях. Штраф для юридических лиц и индивидуальных предпринимателей составляет от ста тысяч до трёхсот тысяч рублей, для должностных лиц от тридцати тысяч до пятидесяти тысяч рублей. С 2025 года штрафы за неуведомление существенно возросли, и практика привлечения к ответственности стала более последовательной.
Проверки могут инициироваться как по жалобам субъектов персональных данных, так и в рамках планового надзора.
Типичные ошибки при заполнении уведомления связаны с неполным указанием целей обработки.
Фитнес-клубы нередко ограничиваются формулировками "ведение кадрового учёта" и "бухгалтерский учёт", забывая отразить обработку данных клиентов при оказании услуг, использование систем видеонаблюдения, обработку биометрических данных для контроля доступа, передачу сведений в CRM-системы и сервисы рассылок. Другая распространённая ошибка указание неполного перечня обрабатываемых данных. Например, клуб может указать ФИО и телефон, но не отразить адрес электронной почты, дату рождения, паспортные данные, сведения о здоровье. Некорректное определение категорий субъектов также приводит к необходимости внесения изменений в реестровую запись.
При изменении сведений, содержащихся в уведомлении, оператор обязан уведомить Роскомнадзор в течение десяти рабочих дней с даты возникновения таких изменений.
ФСТЭК России и информационная система персональных данных
Федеральная служба по техническому и экспортному контролю (ФСТЭК России) устанавливает требования к обеспечению безопасности персональных данных при их обработке в информационных системах.
Информационная система персональных данных (ИСПДн) это совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств. Для фитнес-клуба типичной ИСПДн является автоматизированное рабочее место администратора с установленной CRM-системой, сервер клубной базы данных, система контроля доступа с биометрической идентификацией, система видеонаблюдения с возможностью хранения записей.
Классификация ИСПДн осуществляется в соответствии с приказом ФСТЭК России от 18.02.2013 № 21 и постановлением Правительства Российской Федерации от 01.11.2012 № 1119. Уровень защищённости определяется исходя из категории обрабатываемых данных, их объёма и потенциального ущерба субъектам.
Фитнес-клуб, обрабатывающий общие данные (ФИО, телефон) более чем тысячи клиентов, относится к информационным системам, для которых устанавливается третий уровень защищённости. Если клуб использует биометрические данные например, сканы лица для прохода через турникет система может быть отнесена ко второму уровню защищённости.
Такая классификация влечёт обязанность применять организационные и технические меры, предусмотренные для соответствующего уровня, включая назначение ответственного за обеспечение безопасности персональных данных, разработку модели угроз, применение средств защиты информации, прошедших оценку соответствия, ведение журналов безопасности и регулярный контроль.
| Категория персональных данных | Примеры в фитнес-клубе | Основание обработки | Особые требования | Меры защиты |
|---|---|---|---|---|
| Общие персональные данные | ФИО, телефон, адрес электронной почты, дата рождения клиента | Исполнение договора, согласие субъекта | Политика обработки, уведомление в Роскомнадзор | Разграничение доступа, резервное копирование |
| Специальные категории | Медицинская справка для допуска к тренировкам, противопоказания | Письменное согласие субъекта | Ограничение состава данных, контроль доступа | Шифрование, журналирование обращений |
| Биометрические данные | Распознавание лица на турникете, отпечаток пальца | Отдельное письменное согласие субъекта | Второй уровень защищённости ИСПДн | Средства защиты информации, прошедшие оценку соответствия |
| Кадровые данные работников | Трудовые договоры, СНИЛС, ИНН, банковские реквизиты | Трудовой кодекс, 152-ФЗ | Соблюдение сроков хранения документов | Локальные акты, ознакомление работников |
| Данные соискателей | Резюме, контактные сведения, результаты собеседований | Согласие субъекта | Хранение не дольше цели отбора | Уничтожение по достижении цели |
| Данные посетителей сайта | IP-адрес, файлы cookie, заявка на пробную тренировку | Согласие субъекта | Информирование об использовании cookie | Защита канала передачи, ограничение аналитики |
Согласие на обработку персональных данных! Требования и практика оформления
Согласие субъекта на обработку его персональных данных является одним из правовых оснований обработки. Закон допускает обработку без согласия в ряде случаев, например, когда она необходима для исполнения договора, стороной которого является субъект. Для фитнес-клуба это означает, что обработка данных, необходимых для заключения и исполнения договора об оказании физкультурно-оздоровительных услуг, может осуществляться без отдельного согласия.
К таким данным относятся ФИО, контактный телефон, реквизиты договора, сведения о платежах.
Однако обработка данных, выходящая за рамки исполнения договора, требует согласия. Это относится к маркетинговым рассылкам, передаче данных партнёрам для рекламных целей, использованию фотографий клиента в социальных сетях клуба.
С 1 сентября 2025 года согласие на обработку персональных данных должно быть оформлено отдельно от договора, анкеты или иного документа. Форма согласия должна содержать полные реквизиты оператора, цель обработки, перечень собираемых данных, список действий с данными, способ и срок обработки, порядок отзыва согласия.
Простая отметка в форме более не признаётся надлежащим подтверждением. Для биометрических персональных данных статья 11 закона устанавливает особое требование: обработка допускается только при наличии письменного согласия субъекта.
Фитнес-клуб, использующий распознавание лица или отпечатков пальцев для доступа в клуб, обязан получить отдельное письменное согласие на обработку биометрических данных, не смешивая его с общим согласием или договором.
Практический алгоритм для фитнес-клуба включает несколько шагов.
- На этапе заключения договора клиенту предлагается к подписанию договор об оказании услуг и отдельное согласие на обработку персональных данных, если обработка выходит за рамки исполнения договора.
- Если клуб использует биометрию, оформляется отдельное письменное согласие на обработку биометрических персональных данных.
- Согласие должно быть конкретным, предметным и информированным.
- Клиент должен понимать, какие именно данные, с какой целью и в течение какого срока будут обрабатываться.
- Клуб обязан обеспечить возможность отзыва согласия в простой письменной форме и своевременно реагировать на такие обращения.
Биометрические данные в фитнес-клубе- особый режим обработки
Биометрические персональные данные занимают особое положение в системе правового регулирования. Закон относит к ним сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность, и которые используются оператором для установления личности субъекта. Фотографическое изображение лица, используемое для распознавания при проходе через турникет, отпечаток пальца, рисунок вен ладони всё это биометрические данные.
Использование фотографии на клубной карте, которую администратор визуально сверяет с лицом посетителя, также может квалифицироваться как обработка биометрических данных, если изображение служит для установления личности.
Обработка биометрических персональных данных допускается только при наличии письменного согласия субъекта. Это требование является императивным и не допускает исключений, за исключением случаев, прямо предусмотренных законом. Фитнес-клуб, внедряющий систему биометрической идентификации, обязан получить от каждого клиента отдельное письменное согласие, в котором чётко указано, какие именно биометрические данные обрабатываются, с какой целью, каким способом, в течение какого срока. Согласие должно быть оформлено на бумажном носителе либо в электронной форме, позволяющей достоверно установить факт его получения.
Клуб также обязан обеспечить защиту биометрических данных, исключающую несанкционированный доступ и неправомерное использование.
В случае утечки биометрических данных оператор обязан уведомить Роскомнадзор в течение двадцати четырёх часов.
Практические шаги по регистрации фитнес-клуба в Роскомнадзоре
Регистрация фитнес-клуба в качестве оператора персональных данных начинается с подготовки внутренней документации. Необходимо разработать и утвердить политику обработки персональных данных, назначить ответственного за организацию обработки, издать приказ о вводе в действие политики и ознакомлении работников с её положениями. Политика должна быть опубликована в открытом доступе на сайте клуба или на информационном стенде.
Далее определяется перечень информационных систем персональных данных, проводится их классификация по уровню защищённости, разрабатывается модель угроз и план мероприятий по обеспечению безопасности.
Заполнение уведомления требует внимательного отношения к деталям. В уведомлении указываются все цели обработки, категории субъектов, перечень данных, правовые основания, способы обработки, сведения о мерах защиты и о наличии трансграничной передачи.
Подать уведомление можно через портал персональных данных Роскомнадзора с использованием усиленной квалифицированной электронной подписи либо через личный кабинет на портале государственных услуг. Бумажный вариант направляется почтой. После подачи уведомления Роскомнадзор в течение тридцати дней вносит сведения в реестр операторов. Если в уведомлении были допущены неточности, ведомство может запросить уточнения до внесения записи в реестр.
Ответственность за нарушения и меры предотвращения рисков
Нарушения требований законодательства о персональных данных влекут административную ответственность по статье 13.11 Кодекса Российской Федерации об административных правонарушениях. Штрафы варьируются в зависимости от состава правонарушения и статуса нарушителя.
Обработка персональных данных без согласия субъекта, непредоставление информации об обработке, нарушение сроков уничтожения данных, невыполнение обязанности по уведомлению Роскомнадзора каждое из этих нарушений имеет самостоятельный состав и соответствующую санкцию. Максимальные штрафы для организаций достигают трёхсот тысяч рублей за неуведомление и до пятисот миллионов рублей за нарушения в области обработки специальных категорий данных.
Уголовная ответственность предусмотрена за незаконное собирание и распространение сведений о частной жизни, а также за нарушения, повлёкшие тяжкие последствия.
Минимизация рисков для фитнес-клуба предполагает системный подход. Необходимо регулярно проводить внутренний аудит обработки персональных данных, проверять актуальность политики и уведомления, обучать сотрудников правилам работы с данными.
Следует внимательно относиться к согласиям: проверять их полноту, своевременно обновлять при изменении законодательства, обеспечивать возможность отзыва. Технические меры включают разграничение прав доступа, шифрование данных при передаче, резервное копирование, ведение журналов доступа. При привлечении подрядчиков IT-компаний, колл-центров, маркетинговых агентств необходимо заключать договоры поручения на обработку с чётким определением обязанностей и ответственности.
Соблюдение этих мер не только снижает риск административных санкций, но и укрепляет доверие клиентов, которые всё более внимательно относятся к защите своих персональных данных.
