Согласие на обработку персональных данных в салоне красоты: как оформить

Опубликовано 22 августа 2026

Согласие на обработку персональных данных — основание, по которому салон вообще имеет право хранить телефон клиента, историю визитов и медкарту. Разбираем, чем оно отличается от согласия на рекламную рассылку, где его брать при онлайн-записи и что делать, когда человек просит удалить свои данные.

Это обзорный материал, а не юридическая консультация: формулировки согласий стоит сверить с действующей редакцией 152-ФЗ и при необходимости с юристом.

Два согласия, которые нельзя объединять

Согласие на обработку персональных данных (152-ФЗ) — основание вести карточку, хранить телефон и историю визитов и напоминать о записи. Без него оформлять запись нельзя.

Согласие на получение рекламных сообщений (ст. 18 ФЗ «О рекламе») — отдельное и добровольное. Отказ от рассылки не может быть причиной отказать в услуге, а заранее проставленная галочка согласием не считается: оно должно быть предварительным и конкретным.

Частая ошибка — одна общая отметка «согласен со всем». Она обесценивает оба согласия сразу: обработка получается без внятного основания, реклама — без разрешения.

Оператор — салон, а не программа записи

Оператор персональных данных ваших клиентов — вы: вы решаете, зачем собираете телефон и что с ним делаете. CRM или сервис онлайн-записи выступает обработчиком и действует по вашему поручению (ч. 3 ст. 6 152-ФЗ).

В тексте согласия указывается ваше ИП или ООО с адресом, а не название программы. Отношения с сервисом закрепляются письменно — договором или офертой, где сказано, что обработка идёт по поручению, а данные хранятся в России. Согласие клиента поручение не заменяет, и наоборот.

Что обязательно есть в тексте согласия

Для письменной формы ч. 4 ст. 9 152-ФЗ перечисляет реквизиты: ФИО и адрес клиента, данные документа, удостоверяющего личность, наименование и адрес оператора, цель обработки, перечень данных, перечень действий с ними и способ обработки, срок действия и порядок отзыва, подпись.

Главное требование — конкретность. Формулировка «обработка в маркетинговых и иных целях» не работает. Цели и перечень данных пишутся так, чтобы человек понял, что именно с ним произойдёт. Ведёте медкарту, снимаете фото «до и после», храните скан документа — эти категории должны быть названы прямо.

Сведения о здоровье — специальная категория (ст. 10 152-ФЗ). Для них, как правило, нужна письменная форма: подпись на бумаге, а не отметка на сайте.

Где брать согласие при онлайн-записи и на ресепшене

На форме записи это две отдельные отметки, ни одна из которых не проставлена заранее: обязательная — на обработку данных, со ссылкой на полный текст, и добровольная — на акции и новости. Кнопка записи не срабатывает, пока не отмечена первая.

Сохранять нужно не саму галочку, а факт: дату и время, когда клиент её поставил. Через год доказательством будет отметка времени, а не то, что переключатель сейчас включён.

Записи по телефону и визиты без предварительной записи закрываются бумажной формой. Администратор отдаёт её на подпись при первом посещении, а в карточке ставит признак, что письменное согласие получено. Подписанный лист лучше сразу сканировать и прикреплять к карточке — искать нужную папку через три года бесполезно.

Нужно ли согласие на напоминание о визите

Нет, если это сервисное сообщение. Подтверждение записи, перенос, напоминание за сутки и за два часа — часть исполнения договора: человек записался сам и ждёт этой информации. Отдельного маркетингового согласия такие сообщения не требуют.

Граница проходит по содержанию. «Завтра в 15:00, мастер Ирина» — сервис. «До пятницы скидка на окрашивание» — реклама, даже если ушла тому же клиенту тем же каналом. Смешивать их в одном сообщении не стоит: одна строчка про акцию превращает служебное уведомление в рекламное, и спрашивать будут уже по ФЗ «О рекламе».

Правила мессенджеров бывают строже закона: в части каналов компаниям разрешены только сервисные уведомления о записи, и массовая рассылка акций оттуда не уйдёт независимо от галочек клиента.

Сколько хранить данные и само согласие

Общее правило: данные хранятся не дольше, чем требует цель. Цель «оказать услугу и напоминать о визитах» заканчивается вместе с отношениями, а не длится бессрочно.

Значит, базу нужно пересматривать. Клиент не приходил пять лет и не отвечает на рассылку — оснований дальше держать его медкарту и фотографии почти нет.

Из правила есть законные исключения, и они сильнее отзыва согласия. Кассовые и бухгалтерские документы хранятся годами независимо от желания клиента — иначе не оформить возврат и не отчитаться перед налоговой. Для медицинской документации действуют отдельные сроки Минздрава, и они длиннее обычных.

Само согласие хранится, пока идёт обработка, и ещё какое-то время после отзыва: оно доказывает, что прошлая обработка была законной. Выбросить подписанный бланк в день отзыва — значит остаться без доказательств.

Требование «удалите мои данные»

Клиент вправе отозвать согласие в любой момент и без объяснения причин. Отзыв подаётся в порядке, описанном в самом согласии, — обычно письменным заявлением или письмом на адрес из договора и политики. Устную просьбу администратору игнорировать нельзя, но её стоит перевести в письменную форму: без документа непонятно, кто и что именно потребовал.

С момента получения отзыва на прекращение обработки и уничтожение данных отводится 30 дней. Отдельно работает право на доступ: человек может спросить, какие его данные вы обрабатываете, и ответ даётся в течение десяти рабочих дней.

«Уничтожить» не равно «стереть всё подчистую». Уходят имя, контакты, дата рождения, заметки, фотографии, загруженные документы, сведения о здоровье. Остаётся то, что обязывает хранить другой закон: суммы платежей, кассовые чеки и контакт, на который чек был отправлен, — без него не собрать чек возврата. Правильный результат — обезличенная строка в отчётности, а не дыра в выручке за прошлый год.

Факт уничтожения фиксируется: дата, кто выполнил, по какому требованию. Само требование сохраняется — оно и есть основание.

Отписка от рассылки и отзыв согласия на обработку — разные вещи. Первое снимает маркетинговую отметку, второе стирает карточку целиком вместе с историей визитов. Уточните, чего человек хочет, прежде чем удалять.

Уведомление в Роскомнадзор должно совпадать с согласием

Оператор подаёт в Роскомнадзор уведомление об обработке персональных данных — через сайт ведомства, бесплатно. В нём перечисляются цели обработки, категории данных и категории субъектов.

Смысл в сверке: написанное в уведомлении должно совпадать с текстом вашего согласия и с тем, что реально лежит в базе. Заявили «ФИО и телефон», а в карточках ведёте медкарту и фото — это расхождение, и оно заметно с первого взгляда. Появилась новая цель или новая категория данных — уведомление уточняется.

Уведомление не заменяет согласие: это информирование государства, а согласие — основание для обработки.

Что из этого закрывает система записи

Организационную часть — тексты согласий, подписи, реакцию на заявления — за вас не сделает никакая программа. Автоматизируется другое: раздельные отметки на форме записи, отдельный переключатель согласия на рассылку в карточке, попадание в аудиторию рассылки только тех, кто согласился, и ссылка отписки, которая снимает согласие сама.

В ClientRec обе отметки собираются при онлайн-записи отдельно, шаблоны согласий печатаются с реквизитами вашей организации, а по требованию человека руководитель необратимо уничтожает его персональные данные — остаётся только то, что закон обязывает хранить.