Имеет ли право гостиница сканировать паспорт и хранить скан-копии? Можно ли отказаться от обработки персональных данных при заселении?

Вправе ли гостиница требовать паспорт и снимать копии всех его страниц?

Требовать паспорт при заселении гостиница вправе и обязана — этого требует закон о регистрационном учёте. Постановка на регистрационный учёт по месту пребывания в гостинице производится администрацией по прибытии гостя:

Регистрация гражданина по месту пребывания в гостинице, санатории, кемпинге, которые классифицированы в соответствии с Положением о классификации средств размещения, утвержденным постановлением Правительства Российской Федерации от 27 декабря 2024 г.
— п. 14 Правил регистрации, утв. ПП РФ № 713 от 17.07.1995

Для этой регистрации гостинице нужен документ, удостоверяющий личность гостя, и она вправе обрабатывать его данные без согласия, поскольку это прямо предписано законом. Именно на это указывает п. 2 ч. 1 ст. 6 Закона о персональных данных, где законным основанием обработки признается исполнение обязанностей, возложенных законом на оператора:

Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; 3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах; (В редакции Федерального закона от 29.07.2017 № 223-ФЗ) 3 1 ) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта);
— п. 2 и 5 ч. 1 ст. 6 ФЗ № 152-ФЗ

Однако ключевой момент: п. 14 Правил регистрации устанавливает исчерпывающий перечень сведений, которые гостиница вправе зафиксировать для регистрации. Это только фамилия, имя, отчество, пол, дата рождения, гражданство, регистрация по месту жительства, место рождения, серия и номер документа, дата выдачи, наименование выдавшего органа:

производится по прибытии такого гражданина администрацией соответствующего учреждения на основании документов, удостоверяющих личность, либо сведений, содержащихся в документе, удостоверяющем личность (фамилия, имя, отчество (при наличии), пол, дата рождения, гражданство, регистрация по месту жительства в пределах Российской Федерации и место рождения, серия и номер документа, удостоверяющего личность, дата его выдачи, наименование органа, выдавшего документ, удостоверяющий личность, и (или) код его подразделения), полученных из федеральной государственной информационной системы "Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме" (далее - единая система идентификации и аутентификации), после идентификации и (или) аутентификации гражданина с использованием единой биометрической системы, либо сведений, содержащихся в документах, удостоверяющих личность гражданина, представленных с использованием многофункционального сервиса обмена информацией либо с использованием мобильного приложения федеральной государственной информационной системы "Единый портал государственных и муниципальных услуг (функций).
— п. 14 абз. 1 Правил регистрации (ПП РФ № 713): перечень сведений о госте

Из этой нормы напрямую следует вывод о незаконности копирования всех страниц паспорта и их хранения. Перечень требуемых законом для регистрации сведений закрыт, а принцип минимизации прямо запрещает обрабатывать избыточные данные:

1. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки. 6. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных. 7. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом. (Статья в редакции Федерального закона от 25.07.2011 № 261-ФЗ)
   — п. 5 ст. 5 ФЗ № 152-ФЗ «О персональных данных»

Вывод по вопросу: гостиница вправе требовать паспорт и отказывать в заселении без него, поскольку обязана поставить гостя на регистрационный учёт. Но снимать сканы всех страниц паспорта и хранить их она не вправе — закон разрешает фиксировать лишь перечисленный в п. 14 Правил закрытый перечень сведений. Остальные страницы (например, с отметками, адресами, семейным положением, воинской обязанностью) обработке для целей регистрации не подлежат, их копирование и хранение — избыточная обработка.

Вправе ли гость отказаться от обработки персональных данных и отозвать ранее данное согласие?

Гость вправе отозвать согласие на обработку своих персональных данных в любой момент. Согласие даётся свободно, своей волей, и такой же свободой оно и отзывается:

1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона. 3.
   — ч. 1 ст. 9 ФЗ № 152-ФЗ

При отзыве согласия гостиница обязана прекратить обработку и уничтожить данные в срок не более 30 дней:

В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами. 5 1 .
— ч. 5 ст. 21 ФЗ № 152-ФЗ

Однако здесь есть важная оговорка, на которую нужно обратить внимание. Из ч. 2 ст. 9 Закона о персональных данных следует, что при отзыве согласия оператор (гостиница) вправе продолжить обработку без согласия, если есть иные законные основания:

1. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона. 3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора. 4. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
   — ч. 2 ст. 9 ФЗ № 152-ФЗ

Для гостиницы такие основания существуют: (1) данные гостя обрабатываются для исполнения обязанности по регистрационному учёту, возложенной законом (п. 2 ч. 1 ст. 6 — регистрация), и (2) для исполнения договора проживания, стороной которого гость является (п. 5 ч. 1 ст. 6). После отзыва согласия зарегистрированный в установленном законом порядке гость не сможет «стереть» себя из обязательного учёта гостиницы — та часть данных, что нужна для регистрации и договора, будет законно обрабатываться независимо от отзыва. Отзыв действует против данных, которые обрабатываются только на основании согласия (например, переданных для маркетинговых рассылок, рекламных целей, дополнительных услуг).

Вывод по вопросу: формально написать отказ (отзыв) от обработки персональных данных вы вправе в любой момент, и гостиница обязана в 30-дневный срок прекратить обработку и уничтожить данные, для которых нет иного законного основания. Но данные, необходимые для регистрационного учёта и исполнения договора проживания, гостиница вправе продолжать обрабатывать без согласия. При этом копии всех страниц паспорта, сделанные сверх закрытого перечня п. 14 Правил и не нужные ни для регистрации, ни для договора, подлежат уничтожению по вашему требованию.

Что делать, если гостиница откажется удалить сканы паспорта, и какая ответственность ей грозит?

Если гостиница после вашего требования (отзыва согласия / требования удалить избыточные копии) не прекратит обработку и не уничтожит данные, она несёт ответственность.

Гражданско-правовое последствие — компенсация морального вреда за нарушение правил обработки персональных данных, независимо от возмещения имущественного вреда:

Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков. (Дополнение частью - Федеральный закон от 25.07.2011 № 261-ФЗ) Глава 6. Заключительные положения
— ч. 2 ст. 24 ФЗ № 152-ФЗ

Право обжаловать действия оператора в уполномоченный орган (Роскомнадзор) или в суд предусмотрено ст. 17 Закона о персональных данных, а ч. 5 ст. 21 устанавливает обязанность гостиницы уничтожить данные при отзыве согласия (процитировано выше) — её неисполнение влечёт административную ответственность.

Административная ответственность за обработку персональных данных в случаях, не предусмотренных законом (в том числе за избыточное копирование всех страниц паспорта), установлена ст. 13.11 КоАП РФ:

Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, - (В редакции федеральных законов от 11.06.2021 № 206-ФЗ, от 30.11.2024 № 420-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей. (В редакции федеральных законов от 24.02.2021 № 19-ФЗ, от 30.11.2024 № 420-ФЗ) 1 1 . Повторное совершение административного правонарушения, предусмотренного частью 1 настоящей статьи, - влечет наложение административного штрафа на граждан в размере от пятнадцати тысяч до тридцати тысяч рублей; на должностных лиц - от ста тысяч до двухсот тысяч рублей; на юридических лиц - от трехсот тысяч до пятисот тысяч рублей. (В редакции Федерального закона от 30.11.2024 № 420-ФЗ) (Дополнение частью - Федеральный закон от 24.02.2021 № 19-ФЗ) 2.
— ч. 1 ст. 13.11 КоАП РФ

Отдельная часть ст. 13.11 КоАП РФ (ч. 5) устанавливает штраф за невыполнение требования субъекта персональных данных об уничтожении данных в установленные сроки — именно эта норма применима, если гостиница проигнорирует ваше требование удалить избыточные сканы.

Вывод по вопросу: при отказе гостиницы удалить сканы вы вправе (1) направить жалобу в Роскомнадзор — уполномоченный орган по защите прав субъектов ПДн, который проведёт проверку и может привлечь гостиницу к административной ответственности по ст. 13.11 КоАП РФ (от 150 тыс. до 300 тыс. руб. для юрлиц за избыточную обработку), и (2) обратиться в суд с требованием о прекращении обработки и компенсации морального вреда (ч. 2 ст. 24 ФЗ-152, ст. 17 ФЗ-152). Требование об удалении лучше подать письменно (заявление об отзыве согласия с требованием уничтожить данные), зафиксировав факт обращения.

Может ли гостиница отказать в заселении, если гость не дал согласие на обработку ПДн?

Развилка: гость отказывается вообще предоставлять паспорт или подписывать бумагу о согласии. Здесь нужно разграничить два основания обработки.

Отказ предъявить паспорт — гостиница вправе отказать в заселении, поскольку закон прямо возлагает на неё обязанность зарегистрировать гостя по месту пребывания по документу, удостоверяющему личность (п. 14 Правил № 713, процитирован выше). Без паспорта исполнить эту обязательную обязанность нельзя, поэтому отказ в заселении при непредоставлении документа правомерен.

Отказ подписать согласие на обработку — здесь позиция гостя сильнее. Данные, необходимые для регистрационного учёта и исполнения договора проживания, гостиница обрабатывает на законных основаниях (п. 2 и п. 5 ч. 1 ст. 6 ФЗ-152) без необходимости согласия. Поэтому подписание согласия для базовой регистрации и проживания формально не требуется — согласие нужно лишь для обработки данных в целях, выходящих за рамки закона и договора (реклама, маркетинг, передача третьим лицам). Гость вправе отказаться подписывать согласие, если из него следует обработка таких дополнительных данных.

Вывод по вопросу: гостиница вправе отказать в заселении только если гость не предъявил документ, удостоверяющий личность (без него закона об обязательной регистрации не исполнить). Отказ подписать согласие само по себе не может быть основанием для отказа в заселении, если речь идёт о данных, обрабатываемых для регистрации и договора, — на них согласие не требуется; но если отказ касается дополнительных (маркетинговых и пр.) обработок, и гость хочет, чтобы гостиница вообще не хранила никаких его данных сверх законного минимума, гостиница должна ограничиться закрытым перечнем п. 14 Правил, а не сканами всех страниц.

Развилка по способу получения сканов паспорта: добровольно или принудительно

От того, как были получены сканы, зависит оценка правомерности и ваши дальнейшие действия.

Если паспорт был предъявлен добровольно по требованию гостиницы, но вы не давали реального согласия на копирование всех страниц — действуют общие правила: согласие должно быть конкретным, предметным и информированным (ч. 1 ст. 9 ФЗ-152), а объём данных не должен быть избыточным (п. 5 ст. 5 ФЗ-152). Сканы всех страниц сверх закрытого перечня п. 14 Правил № 713 — избыточная обработка, вы вправе требовать их уничтожения, а гостиница обязана это сделать в 30-дневный срок (ч. 5 ст. 21 ФЗ-152); при отказе — жалоба в Роскомнадзор и иск о компенсации морального вреда (ч. 2 ст. 24 ФЗ-152).

Если копирование произведено принудительно — заселение было поставлено в зависимость от предоставления сканов, то есть подписание согласия о ПДн стало условием оказания гостиничной услуги — это дополнительное нарушение. Обработка данных для регистрации и исполнения договора согласия не требует (п. 2 и 5 ч. 1 ст. 6 ФЗ-152), а избыточное копирование всех страниц не является обязательным условием заселения. Вынужденное «согласие», полученное под условием отказа в услуге, не отвечает признаку свободного волеизъявления (ч. 1 ст. 9 ФЗ-152: решение принимается «свободно, своей волей и в своём интересе»). В обоих случаях правовая позиция одинакова — сканы избыточны и подлежат удалению, но при принудительности дополнительно усиливается основание для признания обработки неправомерной и для жалобы/иска.

Вывод по вопросу: независимо от того, дано копирование добровольно или под давлением, сканы всех страниц паспорта сверх закрытого перечня п. 14 Правил № 713 являются избыточной обработкой и подлежат уничтожению по вашему требованию (в 30-дневный срок). Принудительное условие «скан паспорта — обязателен для заселения» дополнительно подтверждает неправомерность такой обработки и усиливает вашу позицию в Роскомнадзоре и суде.