152-ФЗ для спортклуба — что нужно знать

ФЗ-152 «О персональных данных» — обязателен для всех спортклубов, теннисных, падл, фитнес. Если у вас в системе хранятся ФИО, телефоны или email клиентов — вы оператор персональных данных и должны соблюдать закон. Штрафы за нарушения — до 6 млн ₽ для юрлиц. Разберём что нужно сделать, чтобы быть в порядке.

Кто такой оператор персональных данных

По закону — это любая организация, которая собирает, обрабатывает или хранит персональные данные граждан. Для спортклуба это значит:

• Сохраняете ФИО клиента в Excel — оператор
• Записываете телефоны для напоминаний — оператор
• Используете CRM (например, letscourt) — оператор
• Просто ведёте бумажный журнал с паспортными данными — оператор

Без статуса оператора работать с персональными данными нельзя. Это требование закона.

Что считается персональными данными

• ФИО (любое сочетание имени и фамилии)
• Дата рождения
• Адрес проживания
• Телефон
• Email
• Паспортные данные
• Место работы / должность
• Фотография (биометрия)
• Платёжная информация (косвенно)

Уровни защищённости (УЗ-1, УЗ-2, УЗ-3, УЗ-4)

Закон делит обработку ПДн на 4 уровня защищённости. Уровень определяется типом данных + кол-вом субъектов + типом угроз.

• УЗ-1 — самый строгий. Биометрия + спецкатегории + 100К+ субъектов. Не для спортклубов.
• УЗ-2 — спецкатегории (здоровье, политические взгляды) + любое кол-во. Только если хранят медкарты.
• УЗ-3 — обычные ПДн (ФИО, телефон) + до 100К субъектов. Стандарт для спортклубов.
• УЗ-4 — только обезличенные данные. Не для нашего случая.

Большинство спортклубов работают на УЗ-3. letscourt готов к УЗ-3 из коробки.

Шаг 1: Регистрация в РКН

Подаёте уведомление в Роскомнадзор о намерении обрабатывать персональные данные.

• На сайте pd.rkn.gov.ru заполняете форму
• Указываете цели обработки, состав ПДн, способы обработки
• Срок рассмотрения: 30 дней
• После одобрения попадаете в реестр операторов
• Платных пошлин нет — это бесплатно

Шаг 2: Согласие клиента на обработку ПДн

На вашем сайте при регистрации, в форме на ресепшне, в анкете клиента — обязательно должно быть прописано:

1. ФИО оператора (название клуба или ИП)
2. Адрес оператора
3. Цель обработки — оказание услуг бронирования, расчёты, маркетинг (если планируете)
4. Перечень обрабатываемых данных — ФИО, телефон, email и т.д.
5. Способы обработки — автоматизированно через CRM, неавтоматизированно (журналы)
6. Срок хранения — обычно «до отзыва согласия + 5 лет»
7. Право на отзыв согласия с указанием порядка
8. Подпись клиента (бумажная или галочка с timestamp)

Шаг 3: Право быть забытым

Клиент может в любой момент запросить полное удаление своих данных. Вы обязаны его выполнить в течение 30 дней.

В letscourt это одна кнопка «Удалить клиента» в карточке клиента → полное физическое удаление из БД, не soft-delete.

Шаг 4: Документы для соответствия

• Политика обработки ПДн — публикуется на сайте
• Положение об обработке ПДн — внутренний документ
• Согласия клиентов (бумажные или электронные)
• Журнал учёта ПДн — кто, когда, какие данные обрабатывал
• Договоры с подрядчиками — если используете внешние сервисы (CRM, email-провайдер)

Шаг 5: Технические меры защиты

• Шифрование данных «в покое» (на дисках сервера)
• Шифрование данных «в передаче» (HTTPS, TLS)
• Ограничение доступа сотрудников (роли)
• Логирование всех действий с ПДн (audit log)
• Бэкапы с шифрованием
• Антивирус, файрволы

Подробнее про техническую защиту в letscourt — на странице главной в разделе «Безопасность и compliance».

Штрафы за нарушения

Чек-лист соответствия 152-ФЗ для теннисного клуба

1. Зарегистрированы в РКН как оператор ПДн
2. На сайте опубликована «Политика обработки персональных данных»
3. В форме регистрации клиента есть согласие с галочкой
4. В админке клуба роли разделены (admin не видит всех клиентов чужого клуба)
5. Хостинг на территории РФ
6. Шифрование на транспорте (HTTPS)
7. Бэкапы с шифрованием
8. Audit log всех изменений
9. Возможность удалить клиента полностью одной кнопкой
10. Договор с поставщиком CRM (если используете внешний)

Готовое решение — letscourt

Из 10 пунктов чек-листа выше letscourt закрывает 7 из коробки:

• Хостинг на серверах в РФ ✅
• Шифрование TLS ✅
• Шифрование на дисках ✅
• Роли с разделением доступа (5 уровней) ✅
• Audit log всех действий с ПДн ✅
• Полное удаление клиента одной кнопкой ✅
• Договор с оператором (с нами) ✅

Остальные 3 пункта — на вас (регистрация в РКН, политика на сайте, согласия). Помогаем с шаблонами этих документов.