Какие персональные данные собирает сервис
Типичный набор мойки, шиномонтажа и СТО:
- имя, телефон, иногда email и дата рождения;
- госномер, VIN, марка и модель автомобиля;
- фото автомобиля при приёмке и после работ, фото повреждений;
- история заказов, суммы, бонусный баланс;
- для юрлиц — ФИО и телефоны контактных лиц и водителей.
В связке с телефоном и именем госномер и VIN — тоже персональные данные клиента.
Когда согласие не нужно, а когда обязательно
Согласие — только одно из оснований. Для сервиса главное — исполнение договора с клиентом (п. 5 ч. 1 ст. 6 152-ФЗ).
| Что делаете с данными | Основание | Нужно ли отдельное согласие |
|---|---|---|
| Записали на мойку, оформили заказ-наряд, позвонили, что готово | договор | нет |
| Храните историю заказов и автомобили клиента для повторных обращений | договор | нет |
| Напомнили о записи по СМС | договор | нет |
| Рассылка про акцию на зимнюю резину | реклама | да, отдельная галочка по закону о рекламе |
| Программа лояльности с накоплением баллов и профилем | согласие | да |
| Фото автомобиля с номером в соцсетях сервиса | согласие | да |
| Передали телефон партнёру — страховой, эвакуатору, поставщику | согласие или поручение | да, если партнёр не ваш обработчик по договору |
| Программа учёта в облаке обрабатывает базу по вашему поручению | поручение оператора | нет, нужен договор с разработчиком |
Всё, что нужно для выполнения заказа, покрыто договором. Всё, что делаете для продаж сверх заказа, требует согласия.
Что изменилось с 1 сентября 2025 года
Федеральный закон № 156-ФЗ уточнил ст. 9 152-ФЗ: согласие оформляется отдельно от других документов. Его нельзя спрятать в договор, оферту, политику конфиденциальности, анкету лояльности или условия записи. На бумаге это отдельный лист с подписью, в приложении — отдельная галочка без предустановки с текстом согласия.
Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Формулировка «в любых целях» не подходит — пишите цели списком.
Уведомление Роскомнадзора
Уведомление об обработке персональных данных по ст. 22 152-ФЗ подают почти все операторы — исключения оставлены только для обработки без средств автоматизации, для государственной и транспортной безопасности. Освобождения «для малого бизнеса» в законе нет: ИП без работников с базой клиентов в программе — оператор.
Подаётся один раз через сайт Роскомнадзора, бесплатно, по электронной подписи или на бумаге. При изменении сведений — например, сменили программу учёта — подают уведомление об изменении.
С 30 мая 2025 года штраф за непредставление уведомления по ст. 19.7 КоАП для ИП и организаций — 100 000–300 000 ₽.
Политика обработки и локализация
Политика обработки. По ст. 18.1 152-ФЗ у оператора должен быть документ, определяющий политику обработки, и он публикуется — на сайте, в приложении, а если сайта нет, вывешивается на точке.
Локализация. По ч. 5 ст. 18 152-ФЗ запись, хранение и уточнение данных россиян должны вестись в базах на территории России. Если программа учёта облачная, спросите разработчика, где стоят серверы, и получите это письменно. Например, Автотех хранит данные на серверах в России и обрабатывает базу клиентов сервиса по поручению — это типовая схема для облачных программ. Штраф за нарушение локализации по ч. 8 ст. 13.11 КоАП — 1–6 млн ₽ для организаций и ИП, повторно — 6–18 млн ₽.
Штрафы в 2026 году
С 30 мая 2025 года действуют новые размеры. Для сервиса актуальны такие.
| Нарушение | Должностные лица | ИП | Организации |
|---|---|---|---|
| Обработка без законного основания или не по заявленным целям (ч. 1 ст. 13.11) | 50 000–100 000 ₽ | как должностное лицо | 150 000–300 000 ₽ |
| Согласие не оформлено или оформлено с нарушением (ч. 2 ст. 13.11) | 100 000–300 000 ₽ | как должностное лицо | 300 000–700 000 ₽ |
| То же повторно (ч. 2.1) | 300 000–500 000 ₽ | 500 000–1 000 000 ₽ | 1 000 000–1 500 000 ₽ |
| Утечка данных 1 000–10 000 человек | 200 000–400 000 ₽ | 3–5 млн ₽ | 3–5 млн ₽ |
| Утечка 10 000–100 000 человек | — | 5–10 млн ₽ | 5–10 млн ₽ |
| Повторная утечка | — | 1–3 % выручки, не менее 20 млн ₽ | 1–3 % выручки, не менее 20 млн ₽ |
| Не уведомили Роскомнадзор об утечке | — | 1–3 млн ₽ | 1–3 млн ₽ |
| Не подали уведомление об обработке (ст. 19.7) | 30 000–50 000 ₽ | 100 000–300 000 ₽ | 100 000–300 000 ₽ |
Об утечке нужно сообщить в Роскомнадзор в течение 24 часов с момента обнаружения и в течение 72 часов — направить результаты разбирательства. База мойки на 3 000 клиентов в Excel на общем компьютере — ровно та утечка, за которую ИП заплатит от 3 млн ₽.
Согласие на рассылки — отдельно
Реклама по СМС, в мессенджерах и по телефону допускается только с предварительного согласия абонента — ст. 18 закона «О рекламе». Доказывать наличие согласия должен рекламодатель, то есть вы. Штраф по ч. 4.1 ст. 14.3 КоАП за рассылку без согласия: 300 000–1 000 000 ₽ для организаций, 20 000–100 000 ₽ для должностных лиц и ИП. С 1 сентября 2025 года по закону № 72-ФЗ также запрещена любая реклама на ресурсах организаций, признанных экстремистскими, включая Instagram и Facebook, — посты о скидках там считаются нарушением.
Поэтому галочек две: одна — согласие на обработку данных для программы лояльности, вторая — согласие на получение рекламы. Сервисные сообщения («машина готова») рекламой не являются. В программе учёта у клиента должны быть два разных флага с датой и источником.
Типовое согласие: текст по пунктам
Текст для клиента-физлица с реквизитами из ст. 9 152-ФЗ.
- Я, (фамилия, имя, отчество), адрес: (адрес), паспорт: (серия, номер, кем и когда выдан), даю согласие (полное наименование оператора, ИНН, ОГРН, адрес) на обработку моих персональных данных на условиях, изложенных ниже.
- Цели обработки: участие в программе лояльности оператора, начисление и списание бонусов; ведение истории обслуживания моих автомобилей; информирование о статусе заказов и записи.
- Перечень персональных данных: фамилия, имя, отчество; номер телефона; адрес электронной почты; дата рождения; государственные регистрационные номера, VIN, марки и модели моих автомобилей; фотографии автомобилей, сделанные при приёмке и выдаче; история заказов и бонусный баланс.
- Перечень действий с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, обезличивание, блокирование, удаление, уничтожение.
- Способы обработки: с использованием средств автоматизации и без них.
- Оператор вправе поручить обработку (наименование разработчика программы учёта, ИНН), обеспечивающему хранение данных на территории Российской Федерации, в объёме, необходимом для целей из пункта 2.
- Срок действия согласия: до достижения целей обработки либо до отзыва согласия. Согласие может быть отозвано путём направления письменного заявления по адресу оператора или через (канал: приложение, бот, email).
- Я уведомлён, что отзыв согласия не прекращает обработку данных, необходимую для исполнения заключённых договоров и требований закона, в том числе о хранении первичных документов.
- Дата, подпись, расшифровка.
Согласие на рекламную рассылку оформляется отдельной строкой: «Даю согласие на получение рекламных сообщений от (оператор) по телефону (номер), в мессенджерах и по электронной почте. Согласие может быть отозвано в любой момент ответным сообщением или через (канал)». Публикация фото — отдельная строка с указанием площадок.
Чек-лист для владельца
- Подать уведомление в Роскомнадзор об обработке или проверить, что оно подано и актуально.
- Написать и опубликовать политику обработки персональных данных.
- Проверить, что база клиентов хранится в России, и получить подтверждение от разработчика программы.
- Заключить с разработчиком договор с условием о поручении обработки.
- Убрать согласие из договора-заказ-наряда и оферты; оставить там ссылку на политику.
- Сделать отдельные согласия: лояльность, рассылка, фото. На бумаге — отдельные листы, в приложении и на странице записи — отдельные галочки без предустановки.
- В программе учёта хранить дату, источник и текст согласия по каждому клиенту.
- Ограничить доступ к базе: у мойщика нет выгрузки, у уволенного администратора нет пароля.
- Назначить ответственного за обработку и написать порядок действий при утечке: кто и как уведомляет Роскомнадзор в 24 часа.
- Раз в год удалять данные клиентов, которые не приезжали дольше срока хранения из политики.
Частые вопросы
Нужно ли брать согласие с каждого клиента мойки при первом визите?
Нет. Для оформления заказа, звонка о готовности и хранения истории достаточно договора — заказ-наряда или чека. Согласие нужно, когда вы предлагаете клиенту бонусы, рассылку или хотите опубликовать фото его машины.
Является ли госномер персональными данными?
В связке с именем и телефоном в вашей базе — да. Обрабатывать его для выполнения заказа можно по договору, публиковать фото с номером без согласия — нельзя.
Обязан ли ИП с одной мойкой подавать уведомление в Роскомнадзор?
Да. Исключений для малого бизнеса и ИП без работников нет. Штраф за отсутствие уведомления для ИП — 100 000–300 000 ₽.
Что делать, если клиент потребовал удалить его данные?
Прекратить обработку в целях, на которые он давал согласие, — отключить рассылки и лояльность. Данные по выполненным заказам хранятся дальше как первичные документы: это обязанность по закону, а не согласие.
Вести это в программе, а не в тетради
Бесплатная версия Автотеха без срока: заказы, онлайн-запись и распознавание номера. Базу перенесём сами за 2 часа.