Персональные данные клиентов: что должен массажист

29.08.2026 · 5 мин

Штрафы выросли, послаблений почти не осталось, а объяснения в интернете написаны для салонов с юристом в штате. Разбираем то же самое для того, кто работает один.

Вопрос приходит примерно так: «слышал, ужесточают правила по персональным данным, надо заключить договор с Роскомнадзором и ещё чем-то там». Тревога верная, названия — нет. Разберём по порядку.

Сначала про названия

Персональными данными занимается Роскомнадзор. И с ним ничего не заключают — ему подают уведомление. Бумага односторонняя, бесплатная, подписывать в ответ нечего.

А договор вам действительно нужен, но не с надзорным органом, а с сервисом, в котором лежит ваша база. Об этом ниже.

Кто за что отвечает

Здесь путаются все, потому что слова «оператор» и «обработчик» звучат почти одинаково. Разница простая, и она решает всё остальное.

Представьте камеру хранения. Вы сдаёте туда чемодан, в чемодане — ваши клиенты: имена, телефоны, кто на что жалуется.

Чемодан не принадлежит камере хранения. Что в него положить, решаете вы. Вы же отвечаете за то, что положили: законно ли получили эти данные, спросили ли разрешения у людей. Камера хранения отвечает за замки — чтобы не украли, не потеряли, чтобы никто чужой не открыл.

Отсюда правило, из которого выводится всё: кто решает — тот и отвечает.

• Оператор — решает, зачем собирать данные и что с ними делать. Отвечает перед законом и перед самим человеком.
• Обработчик — хранит и показывает по команде оператора, для своих целей не использует. Отвечает перед оператором.

Ваша клиентская база — ваша. Оператор в ней вы, а не сервис, в котором она лежит. Это не формальность: именно поэтому уведомление в Роскомнадзор подаёте вы, и никто не может сделать это за вас.

Пять обязанностей

1. Подать уведомление в Роскомнадзор.

Раньше можно было не уведомлять, если работаешь только со своими клиентами по договору. Это исключение убрали ещё в 2022 году. Ведёте базу клиентов — вы оператор, и уведомление обязательно.

Подаётся бесплатно и один раз: через Госуслуги или на сайте pd.rkn.gov.ru. В форме указывают ИНН, адрес, цель обработки и что именно вы собираете.

2. Взять у клиента согласие на обработку данных.

Согласие должно называть того, кому оно даётся. «Согласен на обработку персональных данных» без имени оператора подтверждает мало: человек видел, на что согласился, но не видел — кому.

3. Отдельно — согласие на сведения о самочувствии.

Вот это касается вас сильнее, чем парикмахера или мастера маникюра. Записали, что человека беспокоит поясница, — это уже сведения о здоровье, особая категория данных. Для них нужно письменное согласие; устного «да я не против» недостаточно.

4. Отдельно — согласие на сообщения с предложениями.

Разрешение записать человека и разрешение писать ему потом «давно не были, приходите» — разные вещи. Первое не заменяет второе, этого требует уже закон о рекламе. И галочка на рассылку не должна быть обязательной: согласие, полученное под нажимом, недействительно.

5. Заключить договор поручения с сервисом.

Тот самый договор, который многие ищут с надзорным органом. Он закрепляет, что сервис хранит вашу базу по вашей команде и не использует её для себя. Обычно заключается принятием оферты при регистрации — подписывать и возить бумаги не нужно.

Что изменилось и чем это грозит

Ужесточение реальное. С мая 2025 года штрафы за нарушения в области персональных данных заметно выросли, и за неподанное уведомление появился отдельный состав. Конкретные суммы уточняйте на актуальный момент — они менялись и, судя по всему, будут меняться дальше.

Важнее другое: раньше на частных специалистов смотрели сквозь пальцы, потому что формально они под требования почти не попадали. Теперь попадают все, кто ведёт список клиентов с телефонами.

Самое частое место, где рвётся

Не уведомление — про него хотя бы помнят. Рвётся на старой базе.

Специалист годами вёл клиентов в заметках телефона или в тетради, потом перенёс список в сервис. Согласия нет ни у кого: галочку ставят при записи, а перенос списка её не проходит. И дальше человек с чистой совестью рассылает всем «давно не виделись, приходите».

Что с этим делать. Согласие, данное на бумаге или голосом, действует — просто сервис о нём не знает. Отметьте его сами: в MassagistA при записи клиента через журнал есть галочка «клиент согласен — сказал по телефону», и она честно пишется в журнал именно так. Тем, с кем связи давно нет, писать не стоит: это как раз тот случай, ради которого пишут жалобы.

Что берёт на себя MassagistA

• Данные и резервные копии лежат на сервере в России, у российского хостинг-провайдера.
• Согласия собираются при записи — отдельно на обработку, отдельно на самочувствие, отдельно на сообщения с предложениями. В тексте стоит ваше имя: оператор вы.
• Каждое согласие сохраняется вместе со снимком текста и датой. Через год формулировка изменится, а в журнале останется та, под которой человек подписался тогда.
• Есть журнал согласий и выгрузка файлом — то, что прикладывают к ответу на запрос от Роскомнадзора или от самого клиента.
• Если клиент отозвал согласие, это отмечается, и сервис перестаёт предлагать ему писать.
• Имена и телефоны клиентов не уходят в искусственный интеллект: когда сервис помогает составить сообщение, вместо имени в запросе стоит метка, а настоящее подставляется уже на нашей стороне.
• Договор поручения — отдельным документом, его можно прочитать и распечатать: massagista.ru/dpa.

Чего сервис не делает и сделать не может: подать уведомление за вас и проверить, действительно ли клиент дал вам согласие.

Короткий список

1. Подайте уведомление в Роскомнадзор — бесплатно, один раз.
2. Собирайте согласия при записи, а не «когда-нибудь потом».
3. Про самочувствие — отдельное согласие.
4. Про сообщения с предложениями — отдельное и добровольное.
5. Со старой базой разберитесь отдельно: там согласий нет.

Это разбор устройства, а не юридическая консультация. За точными формулировками, суммами штрафов и спорными случаями идите к специалисту или в первоисточник — 152-ФЗ «О персональных данных».