Сайт салона красоты и 152-ФЗ: онлайн-запись, фото клиентов и база

Сайт салона красоты и 152-ФЗ: закон смотрит не на вывеску, а на формы

Первое про сайт салона красоты и 152-ФЗ: закону всё равно, премиальная у вас студия или барбершоп на два кресла. Значение имеет одно — какие формы и кнопки стоят на страницах и что через них проходит. Отсюда практический ответ: сайту салона нужны три вещи, и только одна из них документ:

• политика обработки персональных данных — единственное требование, сформулированное буквально «на страницах своего сайта» (ч. 2 ст. 18.1 152-ФЗ);
• основание на каждую точку сбора — согласие там, где оно нужно, и договор с сервисом, который обрабатывает данные за вас;
• сведения о салоне — кто исполнитель, какие услуги, по какой цене и кто конкретно их оказывает.

Разница между салоном и большинством других бизнесов в том, что почти каждая точка сбора работает не на вашем домене: запись — в чужом виджете, отзывы — импортом с карт, рассылка — в чужом сервисе. Поэтому начинаем с инвентаризации, а не с бумаг. Общие требования к любому сайту услуг разбирали в отдельной статье — если нужна базовая рамка, начните с неё.

9 мест, где сайт салона и барбершопа собирает данные клиентов

Инвентаризацию делают по сайту, а не по документам: откройте свой сайт с телефона и идите сверху вниз по каждой кнопке, форме и виджету. Все девять точек редко бывают у одного салона, но три-четыре есть даже у визитки на конструкторе.

Смотрите на третью колонку: в шести строках из девяти данные уходят не вам, а в чужую систему. Собственная форма на собственном домене у салона — скорее исключение. И точки различаются не «формой», а тем, кому вы после этого должны: запись — сервису и клиенту, фото — клиенту сразу по двум законам, рассылка — вообще другому регулятору.

Онлайн-запись через YCLIENTS, DIKIDI и бота: чьи это данные

При онлайн-записи персональные данные клиента салона красоты уходят не вам: форма почти никогда не своя, имя и телефон ложатся в базу сервиса. Юридически это распределение ролей — салон оператор, сервис записи обработчик по поручению. Перед клиентом отвечает салон, сервис отвечает перед салоном (ч. 5 ст. 6 152-ФЗ).

Поручение — не формальность: по ч. 3 ст. 6 в нём должны быть перечень данных и действий, цели, обязанность соблюдать конфиденциальность и требования безопасности, представлять документы о соблюдении требований и сообщать о нарушениях. YCLIENTS, например, оформляет роли публичной офертой-поручением: оператор — салон, обработчик — ООО «УАЙКЛАЕНТС», причём салон гарантирует сервису, что согласия клиентов получены. Это не претензия к сервису — это про то, где оказывается ответственность. У DIKIDI и любого другого сервиса проверьте то же самое: есть ли договор-поручение и где физически хранится база (ч. 5 ст. 18 требует, чтобы базы с данными граждан РФ находились в России).

Самая рабочая деталь: по справке YCLIENTS сбор согласий в виджете записи — настройка, которую салон включает сам («Онлайн-запись» → «Измените экран ввода данных клиента» → «Обработка персональных данных»). Многие салоны не открывали эту вкладку ни разу.

Отдельный сюжет — мастер-арендатор или самозанятый в кресле, который ведёт запись через свой аккаунт. Вопрос «кто здесь оператор и чья это база» перестаёт быть теоретическим: оператор — тот, кто определяет цели обработки и организует её. Зафиксируйте это в договоре с мастером заранее, а не после его ухода.

Обратный звонок и коллтрекинг — тоже обработка: подменный номер и запись разговора требуют основания. Почему виджеты обратной связи часто оказываются самой уязвимой точкой сайта, разбирали отдельно.

Фото работ и «до/после»: три разных согласия на одну фотографию

Портфолио — сердце сайта салона и самое недооценённое место. Возьмём кадр «до/после» с подписью «Аня, окрашивание в блонд за один визит»: согласие на фото работ клиентов здесь нужно не одно, а фактически три — это три разных действия с тремя разными последствиями.

Часто пишут, что фото клиента — вопрос только Гражданского кодекса. Это половина картины: узнаваемое фото относится к конкретному человеку, значит, это персональные данные, и по логике закона его публикация для неограниченного круга лиц подпадает под режим ст. 10.1 152-ФЗ. Оговоримся честно: специализированного разъяснения Роскомнадзора именно по бьюти-портфолио нет, поэтому это вывод по логике нормы, а не позиция регулятора.

В обзорном материале про сайты услуг мы фиксировали только гражданско-правовой слой — иск клиента по ст. 152.1 ГК. Здесь разбираем подробнее: этот слой никуда не делся, но он не единственный. Узнаваемое фото остаётся персональными данными, и публикация его для неограниченного круга лиц по логике нормы попадает ещё и под ст. 10.1 152-ФЗ. Треки параллельные и друг друга не исключают: по одному и тому же кадру возможны и иск клиента по ГК, и претензия по 152-ФЗ.

«Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием» — ч. 8 ст. 10.1 152-ФЗ.

Исключения ст. 152.1 ГК салону не подходят: публичного интереса в окрашивании нет, съёмка в открытом для посещения месте не спасает (в портфолио изображение и есть основной объект использования), а за позирование платит клиент вам, а не вы ему. И не путайте два режима: по ГК согласие на использование изображения — сделка, форма может быть даже устной (п. 46–47 постановления Пленума ВС РФ № 25), а по 152-ФЗ согласие на распространение — отдельный документ. Противоречия нет: основания параллельные, и закрываются оба одной письменной бумагой.

Состав согласия на распространение задан приказом Роскомнадзора от 24.02.2021 № 18 — девять пунктов:

• ФИО клиента;
• контакты — телефон, e-mail или почтовый адрес;
• сведения об операторе: наименование или ФИО, ИНН, ОГРН либо ОГРНИП;
• информационные ресурсы, через которые данные станут доступны неограниченному кругу лиц;
• цель (цели) обработки;
• категории и перечень данных — отдельно общие, специальные, биометрические;
• данные, по которым клиент устанавливает условия и запреты;
• условия передачи: только по внутренней сети или с использованием сетей связи;
• срок действия согласия.

Четвёртый пункт — тот, на котором спотыкаются почти все. Если в согласии назван только сайт, публикация того же кадра в аккаунте салона согласием не покрыта. А «пустое» согласие без перечня категорий права выложить фото не даёт вовсе (ч. 5 ст. 10.1). И довод «оно и так у неё в сторис» не работает: если человек раскрыл данные не вам, законность распространения доказывает каждый, кто распространял.

«Клиент передумал» — рабочий сценарий: требование прекратить распространение исполняется в три рабочих дня, а согласие прекращает действие с момента его поступления (ч. 12–14 ст. 10.1). Значит, пересматривать придётся архив публикаций, а не только новые посты. И частый страх: фото в портфолио, как правило, не биометрия — по разъяснениям Роскомнадзора изображение становится ею только тогда, когда его используют для установления личности. Опубликованной практики именно по бьюти-портфолио мало, но механизм здесь общий для всех, кто публикует чужие лица.

База клиентов салона красоты и рассылки акций: тут другой закон

Как только вы отправляете по собранным телефонам акцию «−30 % на кератин до пятницы», вы выходите из 152-ФЗ в закон о рекламе, а из зоны Роскомнадзора — в зону ФАС. Реклама по сетям электросвязи (SMS, звонки, мессенджеры) допускается только при предварительном согласии абонента — ч. 1 ст. 18 38-ФЗ.

Есть и менее очевидная сторона. Телефон в виджете записи вы собрали, чтобы напомнить о визите. Выгрузка базы клиентов салона красоты в сервис рассылок и отправка акции — уже другая цель, а обработка, несовместимая с целями сбора, — самостоятельный состав (ч. 1 ст. 13.11 КоАП). Значит, согласие на рассылку — отдельная галочка и отдельная отметка в карточке клиента, а не строчка в политике; как оно оформляется, разбирали в материале про согласие на рекламную рассылку. Сервис рассылок, к слову, — ещё один обработчик, договор-поручение с ним нужен такой же.

И знакомый каждому владельцу сюжет: мастер ушёл и увёл клиентов вместе с телефонами. С 11 декабря 2024 года действует ст. 272.1 УК РФ о незаконном обороте персональных данных, а данные несовершеннолетних, спецкатегории и биометрия — квалифицирующий признак. Без драматизации: смысл в том, что база клиентов — не «файлик с телефонами», и правила доступа к ней стоит зафиксировать в договорах с мастерами заранее.

Анкета клиента и детская стрижка: где данные становятся особыми

Момент, который салоны пропускают почти всегда. Как только в анкете перед окрашиванием, наращиванием или шугарингом появляются вопросы про аллергию, беременность, противопоказания и состояние кожи, это перестаёт быть «карточкой клиента». Это сведения о состоянии здоровья — специальная категория данных (ч. 1 ст. 10 152-ФЗ), обработка которой по общему правилу не допускается.

Детская стрижка — вторая такая точка: согласие за ребёнка даёт родитель как законный представитель (ст. 64 СК РФ), а фото ребёнка в портфолио — тот же механизм из предыдущего раздела, только подписывает родитель. И оговорка: часть процедур лицензируется как медицинская деятельность, там режим данных другой — это тема отдельного разговора.

Что ещё проверяют на сайте салона, кроме персональных данных

Требования к сайту салона красоты персональными данными не заканчиваются. Есть три вещи, про которые обычно не думают.

Реклама. С 1 сентября 2025 года не допускается распространение рекламы на информационных ресурсах нежелательных и ликвидированных за экстремизм организаций, а также на ресурсах с ограниченным доступом (ч. 10.7 ст. 5 38-ФЗ). Для бьюти это болезненно: у многих салонов исторический канал трафика — именно заблокированные соцсети.

Услуги на грани медицины. Косметология и медицинский массаж входят в перечень работ, составляющих медицинскую деятельность, то есть лицензируются (ПП РФ от 01.06.2021 № 852). Рекламировать медуслуги можно, но реклама должна сопровождаться предупреждением о противопоказаниях и необходимости консультации специалиста, а в интернете под предупреждение отводится не менее 5 % рекламной площади (ч. 7 ст. 24 38-ФЗ).

Сведения о салоне. Наименование, адрес и режим работы, для ИП — данные о государственной регистрации (ст. 9 ЗоЗПП); по Правилам бытового обслуживания (ПП РФ от 21.09.2020 № 1514) — перечень услуг и условия их оказания, сроки, требования безопасности и данные о конкретном лице, которое будет оказывать услугу. Прямой нормы «на сайте должны быть ИНН и ОГРНИП» нет, но логика простая: те же сведения, которые вы обязаны довести до потребителя, разумно держать и на сайте.

И на стыке — уведомление в реестр операторов персональных данных. После 1 сентября 2022 года довод «мы же просто записываем клиентов» не работает: прежние исключения из ч. 2 ст. 22 152-ФЗ отменены, салону подходит только обработка исключительно без средств автоматизации, то есть бумажный журнал. Форма — из приказа РКН № 180, подача через портал pd.rkn.gov.ru.

Что делать салону: порядок действий и цена ошибки

Соберём всё, что связывает сайт салона красоты и 152-ФЗ, в короткий порядок действий.

1. Пройдите по сайту с телефона и выпишите свои точки из девяти — включая те, про которые думаете «это же просто виджет».
2. Откройте настройки виджета записи: включён ли сбор согласий и есть ли с сервисом договор-поручение.
3. Проверьте, что согласие на обработку оформлено отдельным документом, а не пунктом внутри формы или политики.
4. Для портфолио и отзывов оформите согласие клиента на фото до и после по составу приказа № 18, перечислив и сайт, и аккаунты в соцсетях; пересмотрите архив публикаций.
5. Для рассылок — отдельное согласие на рекламу и возможность отписаться; проверьте, откуда выгружена база.
6. Убедитесь, что салон есть в реестре операторов, а политика опубликована на сайте.

Про цену ошибки — коротко. Две суммы, которые касаются салона чаще всего: неопубликованная политика — для ИП 10 000–20 000 ₽ (ч. 3 ст. 13.11 КоАП, редкий случай, где ИП назван в санкции прямо); неподанное уведомление в Роскомнадзор — 100 000–300 000 ₽ и для ООО, и для ИП: по примечанию 1 к ст. 13.11 КоАП за части 8–18 индивидуальный предприниматель отвечает как юридическое лицо. Вилка «30 000–50 000 ₽ для должностного лица» здесь не про вас: по примечанию 2 в частях 10–18 должностное лицо — это лицо государственного или муниципального органа либо НКО. Кто и в каком размере платит лично, разбирали в материале про штраф директору или ИП.

И одно распространённое заблуждение. Ст. 4.1.2 КоАП, про которую говорят «микробизнесу штрафы вдвое меньше», адресована юридическим лицам — малым и микропредприятиям из реестра и СОНКО: им штраф назначают по «ипэшной» шкале, а если её в санкции нет — от половины минимального до половины максимального размера для юрлиц, но не ниже минимума для должностного лица. Салон-ИП этой льготы не получает и отвечает как должностное лицо только по базовым составам (ч. 1, ч. 2); там, где ИП назван в санкции прямо (ч. 3), — по своей строке; а по ч. 1.1 и ч. 8–18 (в том числе неуведомление РКН, локализация баз, утечки) — как юридическое лицо.

Главное: у салона не «просто сайт-визитка». У него несколько точек, через которые в бизнес заходят чужие данные, и большая часть этих точек живёт в чужих сервисах. Закрывается это не одной бумагой, а инвентаризацией: раз в год пройтись по строчкам таблицы и проверить, что за каждой стоит основание. Материал носит информационный характер и не является юридической консультацией.