Защита персональных данных в туризме: как избежать штрафов и утечек. Экспертные решения для агентств и операторов

Туристический бизнес — одна из самых «чувствительных» сфер с точки зрения закона о персональных данных (152-ФЗ). Каждый день вы работаете с загранпаспортами, датами рождения, адресами проживания и платежными данными клиентов. Утеря даже одного скана паспорта грозит не только репутационными потерями, но и реальными штрафами до 500 000 рублей (по ст. 13.11 КоАП РФ), а в случае тяжелых последствий — уголовной ответственностью.

Однако многие туроператоры и агентства до сих пор работают «по старинке», храня папки с копиями документов в открытом доступе или пересылая данные клиентов через незащищенные мессенджеры. Разберем экспертные решения в защите персональных данных, которые реально работают в 2025 году.

Главные риски именно для туристической сферы

1. Массовое согласие на обработку. Вы передаете данные не только своим менеджерам, но и иностранному отельеру, авиакомпании, страховщику и визовому центру. Каждый контрагент — новая точка утечки.

2. «Человеческий фактор». Менеджеры отправляют сканы паспортов в WhatsApp, коллеги по ошибке пересылают не того клиента, а ноутбук с базой оставляют в коворкинге.

3. Просроченные согласия. Клиент дал согласие на бронь отеля, но вы продолжаете слать ему новости через год. Это прямое нарушение.

Экспертные решения: как выстроить реальную защиту

1. Переходим от «согласия галочкой» к цепочке согласий

Большинство турагентств используют один шаблон согласия «под все случаи жизни». Это грубая ошибка. Экспертное решение — деление согласий по целям обработки:

• Согласие №1 — на формирование тура и передачу партнерам (гостиницы, перевозчики).

• Согласие №2 — на маркетинг и рассылки.

• Согласие №3 — на передачу в страны, не входящие в список «адекватной защиты» (например, в Турцию или Таиланд).

Совет: встройте в CRM-систему возможность отмечать, какое именно согласие и когда было получено. Без этого при проверке Роскомнадзора вы докажете факт согласия только распечаткой скриншота.

2. Шифрование — не роскошь, а необходимость

Отправка паспорта в Telegram или по обычному email — это нарушение ст. 19 152-ФЗ, требующей защиты каналов передачи. Экспертный минимум для турагентства:

• Корпоративная почта с TLS-шифрованием (Яндекс360 для бизнеса, VK WorkSpace или Exchange).

• VPN на всех ноутбуках при работе из дома или командировки.

• Архиватор с паролем. Правило: любой файл с ПДн, уходящий вовне (даже в визовый центр), должен быть зашит паролем, который вы передаете другим каналом (например, пароль в SMS, файл — в мессенджере).

3. Моделируем договор с туристом: включаем «защитные клаузулы»

Ваш публичный договор-оферта должен содержать не просто фразу «Вы согласны на обработку данных». Эксперты включают туда:

• Пункт о трансграничной передаче. Прямое указание на то, что данные могут быть переданы в конкретные страны (списком).

• Ссылку на Поручение на обработку. Если вы (агент) передаете данные оператору, вы обязаны получить от него гарантии безопасности. Без этого пункта ответственность за утечку у отеля полностью ложится на вас.

• Политику уничтожения. Четкий срок хранения данных: например, 1 год после окончания тура. Автоматизируйте удаление устаревших анкет из ваших папок.

4. Технические решения: DLP и внутренний контроль

Для турагентства с штатом от 5 менеджеров уже нужна система DLP (Data Loss Prevention). Не обязательно дорогой Solar — подойдут облачные версии Kaspersky или «СёрчИнформ».

Что она дает:

• Блокирует отправку сканов паспортов в личные мессенджеры.

• Фиксирует попытки копирования базы на флешку.

• Предупреждает менеджера перед отправкой письма на незнакомый адрес («Вы точно не ошиблись?»).

Чек-лист: что сделать владельцу туристического бизнеса завтра

1. Назначить ответственного за ПДн (приказом). Даже если это внешний подрядчик — аутсорсинг безопасности.

2. Переписать согласие клиента — разделить на цели.

3. Внедрить правило «зашитого архива» для всех внешних отправок.

4. Проверить договоры с зарубежными отелями — есть ли там пункт о конфиденциальности (GDPR + 152-ФЗ).

5. Провести аудит ноутбуков — убрать хранение копий паспортов на рабочем столе.

Вместо заключения: почему это окупается

Штраф в 300–500 тыс. рублей для малого турагентства может стать банкротством. А потеря доверия клиентов в эпоху, когда конкуренция в туризме огромна, убивает бизнес. Инвестиции в шифрование, DLP и юриста по ПДн несопоставимо ниже рисков. Экспертное решение сегодня — это не «охота на ведьм» в отношении сотрудников, а культура обращения с данными, где каждый знает: паспорт клиента ценнее, чем скидка от отеля.

Защитите данные клиента — защитите свой бизнес.