Персональные данные гостей VR-парка: закон, согласие и штрафы

Владелец VR-парка редко считает себя оператором персональных данных - до первой проверки Роскомнадзора. А собирать эти данные точка начинает раньше, чем гость дойдёт до зала: имя и телефон уходят в базу уже на онлайн-записи. Дальше добавляются история визитов в CRM, чек на почту, лица на камерах и списки детей от школ. Ниже разбираю, что закон 152-ФЗ требует именно от VR-парка, когда нужно согласие гостя, надо ли уведомлять Роскомнадзор и какие штрафы реально грозят в 2026 году.

Заявка на открытие VR-парка по франшизе «Нереальность» без роялти →

Почему VR-парк собирает персональные данные ещё до прихода гостя?

Оператором персональных данных бизнес становится автоматически - в момент, когда собрал имя, телефон или почту хотя бы одного клиента. Отдельной регистрации «в статусе оператора» не существует, обязанности возникают по факту сбора. Для VR-парка это происходит на первой же онлайн-записи, ещё до того, как гость надел шлем.

Персональные данные - это любая информация, по которой человека можно опознать: имя, телефон, почта, дата рождения, лицо на видео, история визитов. Как только эти данные попали в вашу базу, вы обязаны соблюдать 152-ФЗ независимо от оборота и площади точки.

Отговорка «мы маленький VR-парк, у нас не банк» не работает. Объём базы влияет только на размер штрафа за утечку, а обязанность иметь политику, брать согласие и уведомлять Роскомнадзор одинакова и для сети из двадцати точек, и для одного зала в спальном районе.

Где в VR-парке появляются данные гостей?

Персональные данные в VR-парке возникают минимум в пяти-семи местах одновременно, и большинство из них владелец не замечает. Точка становится оператором сразу по нескольким каналам, а закрывать нужно каждый.

История с лояльностью тут показательна. Для самой услуги (пустить гостя в зал по брони) отдельное согласие часто не нужно - это исполнение договора. А вот чтобы хранить историю визитов, поздравлять с днём рождения скидкой и слать акции, нужно отдельное согласие. То есть программа лояльности почти всегда требует больше, чем «просто пустить поиграть». Многие из этих каналов заводит автоматизация VR-парка: онлайн-запись, CRM и касса собирают персональные данные без участия человека.

Что закон требует от VR-парка: три обязательных минимума

Роскомнадзор при проверке офлайн-бизнеса с сайтом смотрит прежде всего на три вещи. Это тот минимум, ниже которого точка беззащитна перед штрафом.

1. Политика обработки персональных данных опубликована на сайте с открытым доступом (обычно ссылка в подвале и рядом с формой записи). Её отсутствие - самостоятельный штраф и самое частое нарушение, которое находят автоматически.
2. Согласие гостя на обработку данных получено до сбора, отдельным и понятным действием. Для рекламной рассылки - отдельное согласие сверх основного.
3. Уведомление в Роскомнадзор о намерении обрабатывать данные подано до начала работы. С 2022 года почти все прежние поблажки для бизнеса отменили.

Каждый из трёх пунктов - это отдельный состав в КоАП со своим штрафом. Они не заменяют друг друга: можно взять идеальное согласие, но получить штраф за то, что не подали уведомление. Все три требования закон предъявляет к любому, кто обрабатывает персональные данные, будь то сеть или один зал в спальном районе.

Собрать VR-парк так, чтобы юридический тыл был закрыт с первого дня, проще по готовому пакету, чем изобретать его самому. Франшиза «Нереальность» без роялти передаёт настроенные документы и российские сервисы в составе запуска - это снимает большую часть работы, о которой пойдёт речь ниже.

Заявка на открытие VR-парка по франшизе «Нереальность» без роялти →

Нужно ли согласие гостя и как оно должно выглядеть?

Согласие нужно, и закон описывает его строго. По сути это разрешение гостя на то, чтобы точка собирала и хранила его персональные данные. По статье 9 закона 152-ФЗ согласие должно быть «конкретным, предметным, информированным, сознательным и однозначным». Спрятать его галочкой по умолчанию или мелким шрифтом в общем договоре нельзя: молчание согласием не считается.

«Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным».

• статья 9 закона 152-ФЗ «О персональных данных»

Для VR-парка это значит вот что. В форме онлайн-записи чекбокс согласия стоит пустым, рядом - кликабельная ссылка на текст политики, а форма не отправляется без активной галочки. С 1 сентября 2025 года согласие оформляют отдельным документом, а не строчкой внутри оферты и правил для гостей. И даже для «простого» согласия стоит указать цель, перечень данных и оператора - так согласие становится доказуемым.

Рекламные рассылки закон выделяет отдельно. По закону «О рекламе» слать акции по SMS, почте или в мессенджер можно только с предварительного согласия адресата, и доказывать наличие согласия должен сам бизнес. Поэтому на рассылку скидок нужна вторая галочка, отдельная от согласия на обработку. Одно другое не покрывает.

Как быть с данными детей на праздниках и в школьных группах?

Данные детей - самая чувствительная зона для VR-парка, потому что дети приходят массово: дни рождения, каникулы, школьные экскурсии. За ребёнка согласие на обработку данных даёт законный представитель, то есть родитель или опекун. Это прямо закреплено в статье 9 закона 152-ФЗ для недееспособных, и практика распространяет то же правило на несовершеннолетних.

На практике это две ситуации. Когда родитель сам записывает ребёнка на праздник, он даёт согласие за себя и за ребёнка - нужна форма, которую взрослый подписывает. Когда школа привозит организованную группу и передаёт список детей (имена, класс, иногда данные о здоровье), это уже передача чужих персональных данных, и у неё должно быть законное основание.

Нужно ли VR-парку уведомлять Роскомнадзор?

Да, уведомлять нужно почти всем, и подать уведомление надо до начала обработки данных. Раньше действовали широкие исключения (например, «данные только клиентов по договору»), но их отменили с 1 сентября 2022 года. Сейчас без уведомления работают только госсистемы, бумажная обработка без компьютера и сфера транспортной безопасности.

«Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своём намерении осуществлять обработку персональных данных».

• статья 22 закона 152-ФЗ «О персональных данных»

VR-парк под исключения не подпадает: онлайн-запись, CRM и электронная база гостей - это автоматизированная обработка, которая затрагивает персональные данные. Значит, уведомление обязательно, даже если вы ИП с одним администратором. Подаётся оно бесплатно через портал Роскомнадзора или Госуслуги. Штраф за неуведомление о начале обработки - 100-300 тысяч рублей, и это одно из тех нарушений, которые находят быстрее всего.

Видеонаблюдение в зале: нужно ли согласие гостей?

Согласие каждого посетителя на видеонаблюдение в общем зале не нужно - его заменяет открытое информирование. Камеры фиксируют лица, а значит, это обработка данных, но в публичной зоне (зал, касса, зона ожидания) достаточно повесить таблички «Ведётся видеонаблюдение» на входе и снимать открыто, с понятной целью - безопасность и сохранность имущества.

Есть границы, которые в VR-парке легко перейти. Скрытая съёмка запрещена. Камеры нельзя направлять туда, где человек становится главным объектом кадра вплотную, - это уже режим статьи 152.1 Гражданского кодекса об охране изображения. И камеры в раздевалках или зонах, где гости надевают снаряжение, недопустимы вообще. Записи стоит хранить ограниченный срок под заявленную цель (на практике обычно от 30 до 90 дней) и не давать к архиву доступ всем подряд.

Где хранить базу гостей и почему важен российский сервис?

Персональные данные гостей-россиян закон требует хранить на серверах в России. По статье 18 закона 152-ФЗ первичный сбор, запись и хранение данных граждан РФ идут только через базы на территории страны, а с 1 июля 2025 года запрет на первичный сбор через зарубежные хранилища ужесточили. Для VR-парка это прямое правило выбора сервисов.

На практике вывод простой: CRM, сервис онлайн-записи, касса и хостинг сайта должны работать в российском сегменте. Популярные российские CRM и системы записи этому условию отвечают, а вот заводить клиентов сначала в зарубежный сервис (когда данные сперва падают на сервер за границей) - нарушение локализации. Проверяют теперь не только основной сервер, но и резервные копии с журналами.

Какие штрафы грозят VR-парку в 2026 году?

С 30 мая 2025 года штрафы за персональные данные по статье 13.11 КоАП резко выросли, а за утечки ввели отдельные крупные суммы вплоть до оборотных. Для обычного VR-парка реально грозят организационные штрафы (нет политики, нет согласия, не подали уведомление), а миллионные суммы - это про утечку клиентской базы.

Практика для малого бизнеса мягче верхних цифр: за организационные нарушения при первом разе суды часто назначают штраф по нижней границе, а миллионные штрафы идут за реальные сливы больших баз. Но фон ужесточился заметно: с конца 2024 года действует уголовная статья 272.1 УК за незаконный оборот данных (до 4 лет лишения свободы), и скидка 50% за быструю оплату к статье 13.11 больше не применяется. Один реальный разбор показывает, как за один сайт компания получила сразу три штрафа - за неуведомление, за отсутствие политики и за счётчики аналитики без оснований.

Что сделать владельцу: чек-лист по шагам

Привести VR-парк в порядок по 152-ФЗ реально за несколько дней. Часть работы владелец делает сам за один вечер, часть стоит отдать юристу.

1. Опубликуйте политику на сайте

   Отдельная страница «Политика обработки персональных данных», ссылка на неё в подвале и рядом с каждой формой записи. Это закрывает самое частое нарушение и делается за час.

2. Проверьте галочку согласия в записи

   Чекбокс пустой по умолчанию, рядом ссылка на согласие и политику, форма не отправляется без активного действия гостя. Уберите из формы лишние поля, которые не нужны для брони.

3. Повесьте таблички о видеонаблюдении

   На входе и в зоне касс. Проверьте, что камеры не смотрят в раздевалки и зоны переодевания.

4. Подайте уведомление в Роскомнадзор

   Бесплатно, через портал ведомства или Госуслуги, до начала обработки. Обязательно даже для ИП.

5. Оформите согласия отдельными документами

   Основное согласие на обработку, отдельное - на рекламную рассылку, отдельное - для родителя за ребёнка. С сентября 2025 года их нельзя «вшивать» в оферту. Этот шаг лучше отдать юристу.

6. Проверьте, что данные лежат в России

   CRM, запись, касса и хостинг - в российском сегменте. Назначьте ответственного за обработку и проверьте договоры с подрядчиками, которым передаёте данные.

Как франшиза снимает эту головную боль?

Для новичка «закрыть 152-ФЗ» - это больше десяти документов, регистрация в Роскомнадзоре, правильная настройка виджета записи и выбор российских сервисов. Ошибка на любом шаге - штраф в сотни тысяч рублей. Франшиза «под ключ» снимает эту часть запуска, и это обычная практика рынка, а не редкость.

Хороший франчайзер обычно передаёт готовый пакет: шаблоны согласий и политики под реальные процессы точки, оферту, настроенный виджет записи с корректной галочкой, преднастроенные российскую CRM и кассу (локализация данных при этом решена сразу), регламенты по видеонаблюдению и работе с детьми. Франчайзи не выбирает случайный зарубежный сервис и не скачивает политику из интернета, которая не совпадёт с его реальной обработкой.

Частые вопросы о персональных данных в VR-парке

Ниже - вопросы, которые чаще всего задают владельцы небольших точек, с короткими ответами.

Нужно ли уведомлять Роскомнадзор, если я ИП с одной точкой? Да. Обязанность одинакова для ИП и ООО, размер бизнеса роли не играет.

Оштрафуют ли за отсутствие политики на сайте? Да, это отдельный штраф 30-60 тысяч рублей для юрлица, и его находят автоматическими роботами Роскомнадзора без жалоб.

Нужно ли согласие, если я записываю гостя просто по телефону? Если администратор заносит имя и номер в CRM или блокнот - вы уже ведёте базу и стали оператором. Для самой брони согласие может не требоваться, но для истории визитов и рассылок оно нужно.

Можно ли пользоваться облачной CRM? Можно, если сервис хранит данные в российском сегменте. Нарушение - это когда данные россиян сперва падают на зарубежные серверы.

Нужно ли согласие гостей на видеонаблюдение в зале? В общей зоне достаточно таблички и открытой съёмки. Скрытые камеры и съёмка в раздевалках запрещены.

Источники

Полная система запуска VR-парка за один заход, включая юридический пакет и настроенные сервисы. Заявка на франшизу «Нереальность» без роялти: коротко, по делу, с документами, которые остаются у вас.