Сайт фитнес-клуба и персональные данные: анкеты, абонементы и детские группы

Фитнес-клуб и персональные данные: закон смотрит на формы, а не на вывеску

Требования не зависят от того, сетевой это клуб на три этажа с бассейном или студия растяжки на двенадцать ковриков. Закон не смотрит на вывеску, метраж и оборот — он смотрит на то, какие формы стоят на страницах сайта и что через них проходит. Поэтому вся связка «фитнес-клуб, персональные данные и сайт» сводится к трём вещам, и только одна из них — документ.

• Опубликованная политика обработки персональных данных. Это единственное требование, которое закон формулирует буквально про сайт: если данные собираются через интернет, политика размещается на страницах вашего сайта (ч. 2 ст. 18.1 152-ФЗ).
• Основание на каждую точку сбора. И это далеко не всегда согласие: часть данных клуб обрабатывает по договору об абонементе.
• Сведения о самом клубе, которые вы и так обязаны довести до потребителя: перечень услуг и условий, сроки, порядок расторжения, адрес для претензий.

Отличие сайта клуба от любого другого сайта услуг в том, что на одном домене соседствуют три разных типа данных: обычные (телефон, абонемент, история визитов), особые (здоровье) и детские. Одной галочкой «согласен на обработку» они не закрываются — за ними стоят три разные бумаги. Отсюда и план статьи.

Сразу зададим тон: скорее всего, у вас есть четыре-пять точек из десяти, а не все десять. Часть требований у клуба общая с любым сайтом услуг — если нужен базовый чек-лист без отраслевой специфики, он собран в статье Требования Роскомнадзора к сайту услуг. Дальше идёт то, чего нет ни у автосервиса, ни у юрфирмы.

10 точек, где сайт фитнес-клуба собирает данные клиентов

Инвентаризацию делают не по документам, а по сайту. Откройте его с телефона и идите сверху вниз: каждая кнопка, каждая форма, каждый виджет и каждый мессенджер, куда ведёт кнопка. Все десять точек у одного клуба бывают редко — четыре-пять есть даже там, где «просто расписание и запись».

Посмотрите на третью колонку. У клуба в большинстве строк данные физически уходят не в почту администратора, а в чужую систему: профильную CRM, приложение, сервис записи, платёжный сервис, мессенджер на личном телефоне. На то, кто отвечает перед клиентом, это не влияет — отвечает клуб. Влияет на то, какие документы у вас должны быть с этими сервисами.

Второй акцент важнее первого: строки различаются не формой, а режимом согласия. Строки 1–4 и 10 — обычные данные, строки 5–7 — сведения о здоровье, строка 8 — ребёнок, строка 9 — публикация. Это три уровня, и согласие на обработку данных фитнес-клуб оформляет для каждого по-своему. Точки 6 и 10 формально живут вне сайта, но начинаются кнопкой на нём — значит, в инвентаризацию входят. А SMS и звонки о продлении абонемента — это уже не 152-ФЗ и не Роскомнадзор; про них в конце.

Уровень 1: заявка, абонемент и личный кабинет — где работает договор, а где согласие

Начнём с приятного: не всё держится на согласии. Какие данные клиента по абонементу закон разрешает обрабатывать без отдельной бумаги — те, без которых договор не заключить и не исполнить: ФИО, телефон, e-mail для чека, срок карты, заморозки, оплаты. Это самостоятельное основание — исполнение договора, стороной или выгодоприобретателем которого является сам клиент (п. 5 ч. 1 ст. 6 152-ФЗ).

Отсюда главное правило уровня 1: под ту же галочку нельзя прятать рассылку акций и анкету о здоровье. Это другие цели и другие основания. Обработка, несовместимая с целями сбора, — самостоятельный состав нарушения (ч. 1 ст. 13.11 КоАП): телефон собрали для записи на пробное, а используем для SMS «два месяца в подарок».

Теперь про чужие сервисы. Форма записи, личный кабинет и приложение у клуба почти никогда не свои. Юридически это распределение ролей: клуб — оператор, сервис — обработчик по поручению. Договор-поручение обязан определять перечень данных и действий, цели, обязанность соблюдать конфиденциальность и требования безопасности, обязанность представлять документы о соблюдении требований и уведомлять о нарушениях (ч. 3 ст. 6). Перед клиентом отвечает клуб, сервис — перед клубом; при поручении иностранному лицу ответственность солидарная (ч. 5 ст. 6). Что должно быть в таком договоре и как его получить у профильной CRM или сервиса записи — разобрали в статье Поручение обработки персональных данных третьим лицам. Там же уместно спросить сервис, где физически лежит база: хранение данных россиян должно идти в базах на территории России (ч. 5 ст. 18).

Квиз на пробное — точка перехода. Пока в нём цель тренировок и уровень подготовки, это уровень 1. Как только появляются вопросы про травмы, давление и самочувствие, форма перепрыгивает на уровень 2.

И самое неочевидное — «приведи друга». Клиент оставил чужой телефон: данные вы получили не от субъекта, поэтому до начала обработки обязаны сообщить этому человеку шесть вещей, включая источник получения его данных (ч. 3 ст. 18). Честный сценарий — «нам ваш номер оставил Иван», а не «здравствуйте, у нас акция». С корпоративным абонементом мягче: сотрудник, скорее всего, выгодоприобретатель по договору работодателя с клубом, и тогда исключение из обязанности уведомлять может сработать. Зато проблема появляется с другой стороны стола: работодатель не вправе сообщать данные работника третьей стороне и в коммерческих целях без его письменного согласия (ст. 88 ТК РФ). Список сотрудников «просто в экселе» рискован для обоих.

Уровень 2: анкета здоровья, справка для бассейна и замеры

Момент, который клубы пропускают чаще всего. Как только в опроснике перед первой тренировкой появляются вопросы про травмы, давление, беременность и противопоказания, анкета здоровья клиента фитнес-клуба перестаёт быть «карточкой клиента». Сведения о состоянии здоровья — специальная категория персональных данных, и их обработка по общему правилу не допускается (ч. 1 ст. 10 152-ФЗ), кроме случаев, прямо перечисленных в законе.

Таких случаев четырнадцать, и перечень исчерпывающий: реадмиссия, перепись, социальная помощь, правосудие, оборона, обязательное страхование и так далее. К опроснику в тренажёрном зале подходит ровно один — субъект дал согласие в письменной форме (п. 1 ч. 2 ст. 10). Обычная галочка под веб-формой этому не отвечает.

Оговорка: если в клубе есть лицензированный медкабинет — ЛФК, медицинский массаж, физиотерапия, диетология, спортивная медицина, косметология (всё это в перечне ПП РФ от 01.06.2021 № 852), — режим данных там другой.

Дальше самый частый вопрос: можно ли собрать письменное согласие электронно? По букве закона — да: равнозначным согласию с собственноручной подписью признаётся согласие в форме электронного документа, подписанного электронной подписью (ч. 4 ст. 9). Но это именно электронная подпись, а не чекбокс и не «клиент нажал кнопку на планшете у стойки». В большинстве клубов такого процесса нет, поэтому практический ответ — бумага либо планшет с оформленной ЭП. Отдельных разъяснений Роскомнадзора про анкету здоровья на планшете нет, это вывод из самой нормы.

Справка для бассейна — тема, где легко ошибиться в другую сторону. Не пишите, что «закон обязывает клуб собирать справки»: прежний СанПиН по бассейнам с таким требованием утратил силу с 1 января 2021 года, действующие санитарные правила говорят об обследовании прежде всего для детей и при неблагоприятной эпидобстановке, а отраслевые Правила оказания физкультурно-оздоровительных услуг справки не требуют. Клуб чаще всего требует её по собственным правилам — и с этого момента обрабатывает специальную категорию со всеми последствиями. Фото справки в мессенджере администратора — это документ о здоровье, лежащий вне какой-либо системы клуба.

Что обязано быть в письменном согласии (ч. 4 ст. 9 152-ФЗ):

• ФИО, адрес и реквизиты документа, удостоверяющего личность клиента;
• те же сведения о представителе, если согласие подписывает он;
• сведения об операторе — вашем клубе;
• цель обработки;
• перечень персональных данных;
• сведения о лице, которое обрабатывает данные по поручению клуба, — та самая CRM или приложение;
• перечень действий с данными;
• срок действия согласия и способ его отзыва;
• подпись клиента.

И ответ на вопрос «сколько нам хранить эти анкеты»: обработку специальных категорий надо прекратить незамедлительно, как только отпали причины, по которым она велась (ч. 4 ст. 10).

Уровень 3: детская секция — согласие родителей и два субъекта в одной заявке

Детская заявка отличается от взрослой тем, что в одной форме сразу два субъекта: ребёнок и родитель. Данные ребёнка — имя, возраст, иногда здоровье; данные родителя — ФИО, телефон, оплата. Это два набора с разными целями.

Здесь легко ошибиться с нормой. Сам 152-ФЗ прямо описывает только случай недееспособности: за недееспособного согласие даёт законный представитель (ч. 6 ст. 9). Правила «за ребёнка решает родитель» в 152-ФЗ нет — оно берётся из Семейного кодекса: родители являются законными представителями своих детей и выступают в защиту их прав без специальных полномочий (ст. 64 СК РФ). Поэтому детская секция и согласие родителей — связка обязательная: галочка самого ребёнка в форме ничего не закрывает. Как такое согласие оформляют на практике, разбирали отдельно — в статье Согласие на обработку данных детей: школы и кружки.

Самый жёсткий режим на сайте клуба возникает на пересечении уровней. Если в детской анкете есть вопросы про здоровье или к ней прикреплена справка от педиатра, уровни складываются: специальная категория плюс данные ребёнка. Детская форма — это не «взрослая, только с полем возраст».

И сдержанная ремарка. Данные несовершеннолетних, наряду со специальными категориями и биометрией, — квалифицирующий признак в уголовном составе о незаконном обороте персональных данных, который действует с 11 декабря 2024 года (ч. 2 ст. 272.1 УК РФ). Смысл не в страшилке: база детской секции — не файл с телефонами, лежащий в общем чате тренеров.

Фото трансформаций и кадры с групповых: три согласия на одну фотографию

Пост «Марина, минус 12 кг за четыре месяца» с фото до и после — это одновременно три разных действия с тремя основаниями и тремя разными последствиями:

• обработка персональных данных — согласие по ст. 9 152-ФЗ, с 1 сентября 2025 года отдельным документом;
• распространение — отдельное согласие на данные, разрешённые для распространения (ч. 1 ст. 10.1), состав сведений в нём определён приказом Роскомнадзора от 24.02.2021 № 18;
• обнародование изображения гражданина — согласие по п. 1 ст. 152.1 ГК РФ; это уже иск клиента, а не проверка регулятора.

«Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешённых для распространения» — ч. 8 ст. 10.1 152-ФЗ.

Эта фраза закрывает аргумент «клиент же не возражал, когда снимали». Добавьте к ней ч. 5 ст. 10.1: «пустое» согласие без перечня категорий права выложить фото не даёт.

Отдельная история — кадры с группового занятия, где в кадр попали посторонние клиенты, у которых согласия никто не спрашивал. Ссылка на исключение «съёмка в месте, открытом для свободного посещения» для закрытого клуба с платным входом спорна: клуб — частное пространство, прямого разъяснения Верховного суда по клубам нет. Практический вывод: на публикацию кадра, где человек узнаваем, безопаснее иметь согласие.

Ещё одна проверяемая деталь: в согласии на распространение по приказу № 18 указываются информационные ресурсы, через которые данные открываются неограниченному кругу лиц. Если назван только сайт, то же фото в аккаунте клуба этим согласием не покрыто — соцсети надо перечислить прямо.

Клиент передумал — требование прекратить распространение исполняется в три рабочих дня, а согласие прекращает действие с момента поступления требования (ч. 12–14 ст. 10.1). Согласие на использование изображения по разъяснениям Пленума Верховного суда (постановление № 25 от 23.06.2015) тоже отзывается в любое время. Значит, пересматривать надо архив публикаций, а не только новые посты. И важное уточнение: фото в галерее клуба — не биометрия. Биометрия появляется там, где изображение используется для установления личности.

Требования к сайту фитнес-клуба помимо персональных данных

SMS и звонки о продлении абонемента — это смена регулятора. Здесь работает не 152-ФЗ, а закон о рекламе и ФАС: реклама по сетям электросвязи допускается только при предварительном согласии абонента, считается распространённой без согласия, пока рекламораспространитель не докажет обратное, а по требованию человека рассылка прекращается немедленно (ч. 1 и 2 ст. 18 38-ФЗ). Телефон, который клиент оставил ради записи на пробное, для рассылки акций собран не был — как оформить это отдельным чекбоксом, показано в материале Согласие на рекламную рассылку.

Дальше — редкий случай, когда отраслевой акт сам приводит бизнес на сайт. Правила оказания физкультурно-оздоровительных услуг (ПП РФ от 30.01.2023 № 129, действуют с 1 сентября 2023 года по 1 сентября 2029 года) называют сайт в интернете одним из способов довести до потребителя обязательную информацию: перечень услуг и условий, сроки, условия изменения и расторжения договора, дополнительные платные услуги, льготные категории, адрес для претензий и телефоны. Иметь сайт Правила не обязывают — но если вы доводите информацию через сайт, она там должна быть полной. Плюс общая рамка ст. 9 закона о защите прав потребителей: наименование, адрес, режим работы, сведения о регистрации.

Пункт, который почти никто не описывает в политике: справка об оплате физкультурно-оздоровительных услуг для социального налогового вычета (форма КНД 1151160, приказ ФНС от 18.10.2023 № ЕД-7-11/756@, применяется с 1 января 2024 года). Это ещё один поток данных — ИНН, сведения о ребёнке или супруге — и ещё одна цель обработки.

Турникет по лицу — отдельный режим. Биометрические данные обрабатываются только при наличии согласия в письменной форме, и в законе есть прямая фраза: оператор не вправе отказывать в обслуживании при отказе предоставить биометрические данные (ч. 1 и 3 ст. 11 152-ФЗ). Практический вывод: вход по лицу обязан иметь альтернативу — карту, браслет или администратора. Отдельно действует закон о единой биометрической системе (ФЗ от 29.12.2022 № 572-ФЗ).

И два пункта на стыке. Политика обработки должна быть доступна на страницах сайта, а не «где-то в 1С». А аргумент «мы же просто записываем клиентов» не работает с 1 сентября 2022 года: прежние исключения из обязанности уведомлять Роскомнадзор отменены, и из действующих клубу подходит только полностью неавтоматизированная обработка, то есть бумажный журнал (ч. 1 и 2 ст. 22 152-ФЗ).

Сайт фитнес-клуба и 152-ФЗ: порядок действий и цена ошибки

1. Пройдите по своему сайту с телефона и выпишите свои точки из десяти — включая те, про которые думаешь «это же просто виджет» и «это же в вотсапе».
2. Разведите основания: что живёт по договору об абонементе, что требует согласия, а что — согласия в письменной форме.
3. Проверьте, что согласие оформлено отдельным документом, а не пунктом внутри формы, оферты или политики: правило действует с 1 сентября 2025 года.
4. Отдельно решите вопрос с анкетой здоровья, справкой и замерами: где эти данные лежат, кто их видит, сколько вы их храните и чем подтверждается письменное согласие.
5. Для детских секций — согласие законного представителя; если в анкете есть здоровье, режимы складываются.
6. Для публикаций — согласие на распространение с перечислением и сайта, и аккаунтов в соцсетях; пересмотрите архив, а не только новые посты. Заодно проверьте политику на сайте и запись клуба в реестре операторов.

Про цену ошибки — коротко и без запугивания. Неопубликованная политика обработки для ИП — 10 000–20 000 ₽ (ч. 3 ст. 13.11 КоАП, редкий случай, где ИП назван в санкции прямо). Анкета здоровья без согласия в письменной форме — 100 000–300 000 ₽ (ч. 2 ст. 13.11). Неподанное уведомление в Роскомнадзор — тоже 100 000–300 000 ₽: по примечанию к ст. 13.11 ИП отвечает здесь как юридическое лицо.

Суммы «до 700 000 ₽» и оборотные штрафы за утечки в этот разговор не берём — это цифры про юрлиц, и владельца студии они только дезориентируют. И ещё одна ловушка: смягчающая норма ст. 4.1.2 КоАП адресована юридическим лицам из числа малых и микропредприятий и социально ориентированным НКО — на ИП она не распространяется.

Итог простой. Фитнес-клуб, персональные данные и сайт — это не «повесить политику и забыть»: на одном сайте у клуба соседствуют три разных типа данных, и закрываются они не одной галочкой, а инвентаризацией точек сбора и тремя разными документами. Начните с десяти строк таблицы выше — этого хватит, чтобы понять объём работы.

Материал носит информационный характер и не является юридической консультацией. Тема с медицинскими данными и детьми особенно чувствительна: спорные ситуации лучше разбирать с юристом по вашим документам.