Персональные данные в ресторане и кафе: бронирование, доставка, лояльность

Гость бронирует столик - оставляет номер телефона. Делает заказ через QR-код на столе - к заказу привязывается телефон или почта. Устанавливает приложение с бонусами - добавляет дату рождения и историю покупок. Персональные данные в ресторане и кафе собираются на каждом шаге работы с гостем, а оформлен обычно только один документ - политика конфиденциальности на сайте, и та скопирована с чужого шаблона.

В этом тексте разберем по порядку точки сбора: бронирование, доставка своими курьерами и через агрегаторов, программа лояльности, гостевой Wi-Fi, QR-меню, видеонаблюдение в зале и на кухне, отзывы с фото. По каждой точке - какие данные, на каком основании и как долго их можно хранить. В конце - таблица с ключевыми сроками и порядок действий для тех, кто хочет привести документы в соответствие с законом, не останавливая работу заведения.

Какие персональные данные собирает ресторан и кафе

Заведение общественного питания - оператор персональных данных с того момента, как в него позвонили и назвали имя для брони. Юридическая форма значения не имеет: ООО с сетью из десяти точек, ИП с одним залом на 20 столов и кофейня самозанятого попадают под одни и те же требования закона о персональных данных - 152-ФЗ от 27 июля 2006 года. Разница только в объеме обрабатываемых данных и, соответственно, в том, какие документы обязательны, а какие можно оформить проще.

• Бронирование - имя, номер телефона, иногда почта, число гостей и дата визита.
• Заказ на сайте или через QR-меню - телефон или почта для подтверждения, иногда адрес.
• Доставка - точный адрес, телефон, у части сервисов - геолокация в момент передачи заказа курьеру.
• Программа лояльности - имя, телефон, дата рождения, история заказов и средний чек.
• Гостевой Wi-Fi - номер телефона или аккаунт соцсети для входа в сеть.
• Видеонаблюдение - изображение лица гостей и сотрудников в зале, у входа, иногда на кухне.
• Отзывы и соцсети - имя, а если гость отметил заведение на фото - и его изображение.

Дальше - по каждому пункту отдельно: где проходит грань между обычным ведением бизнеса и обработкой, которая требует согласия или отдельного документа.

Разница на практике - в объеме документов, а не в перечне обязанностей. Сеть с доставкой и приложением лояльности собирает данные из пяти-шести источников одновременно и рискует путаницей между ними. Кофейня на одну точку без своей доставки и Wi-Fi может обойтись двумя-тремя документами - согласием на сайте и политикой обработки данных. Начинать стоит с инвентаризации: выписать, где именно гость оставляет свои данные, а не полагаться на память.

Бронирование столика: какие данные и на каком основании

Бронь столика - это, по сути, заключение договора оказания услуг общественного питания, пусть и устного. Поэтому основание для обработки телефона и имени - не согласие, а исполнение договора: закон прямо разрешает обрабатывать данные без отдельного согласия, если это нужно для заключения и исполнения соглашения, стороной которого выступает сам гость - это одно из оснований, перечисленных в части 1 статьи 6 152-ФЗ. Отдельная галочка согласия для брони не требуется, но информировать гостя, кто и зачем собирает его номер, все равно нужно - через политику обработки персональных данных на сайте или в приложении для бронирования.

Часть заведений принимает брони не напрямую, а через виджет на сайте или стороннее приложение для бронирования столиков. В этом случае оператором становится не только ресторан, но и сам сервис бронирования - он получает те же данные и обрабатывает их по своим правилам. Заведению стоит хотя бы один раз прочитать пользовательское соглашение такого сервиса: если он передает контакты гостя третьим лицам для рассылок, ответственность за то, что гость об этом не предупрежден, ляжет и на ресторан тоже.

Хранить данные брони дольше, чем нужно для организации визита и разбора возможных претензий, смысла нет. На практике - от нескольких недель, если бронь не состоялась, до трех лет, если запись используется как часть бухгалтерских или клиентских документов.

Отдельная ситуация - гость не пришел на бронь, и заведение хочет позвонить с напоминанием о правилах отмены или добавить его номер в базу для будущих скидок. Первое - в рамках уже заключенного договора, второе - уже маркетинг, и нужно отдельное основание. Связаться с гостем по поводу текущей брони можно без дополнительных согласий, а вот переносить его номер в базу для рассылок без отдельного разрешения не стоит, даже если он сам оставил телефон при заказе столика.

Доставка еды: агрегаторы и свои курьеры - кто оператор персональных данных

Свои курьеры

Если ресторан развозит заказы штатными курьерами, он сам полностью отвечает за адрес, телефон и имя получателя: сам их собрал, сам передал курьеру, сам хранит в базе заказов. Здесь работают обычные правила - доступ к адресной базе должен быть только у тех, кому он нужен по работе (диспетчер, курьер на маршруте), а не у всей смены. Хранить историю доставок дольше срока, нужного для разбора спорных заказов и бухгалтерии, закон не обязывает.

Агрегаторы доставки

С агрегаторами сложнее. Формально гость оформляет заказ и соглашается с политикой самого агрегатора - значит, оператором в отношении его аккаунта выступает сервис доставки. Но как только агрегатор передает ресторану имя, телефон и адрес для сборки и выдачи заказа, ресторан получает эти данные и сам становится оператором в части их дальнейшей обработки - хранения в системе учета заказов, передачи курьеру, использования для разбора претензии.

Ключевое правило: данные, полученные из заказа через агрегатора, нельзя использовать для целей, на которые гость не давал согласие через сам агрегатор - в частности, добавлять номер телефона в свою рассылку или базу лояльности без отдельного согласия гостя, полученного уже напрямую заведением. Такое совмещение баз - частое основание для жалобы. Подробнее о том, кто отвечает за данные на разных этапах доставки, разобрано в отдельном материале про персональные данные в службе доставки.

Отдельная сложность возникает, если ресторан работает сразу с несколькими агрегаторами и сводит заказы в одну систему учета - например, в 1С или отраслевую CRM для общепита. Тогда в одной базе оказываются гости с разных платформ, и по каждому нужно понимать источник данных и разрешенные цели использования. Смешивать их в единый список для рассылок нельзя, даже если технически это одна таблица в системе учета: юридически это данные с разными основаниями обработки, и относиться к ним нужно по-разному.

Программа лояльности и клиентская база

Бонусная карта или приложение с накопительной скидкой - уже не исполнение разового договора, а самостоятельная обработка данных гостя: дата рождения, история заказов, средний чек, иногда предпочтения по блюдам. Здесь нужен отдельный документ - согласие на обработку персональных данных, а с 1 сентября 2025 года по требованию 156-ФЗ от 24 июня 2025 года такое согласие оформляется отдельным документом, а не строкой мелким шрифтом в общей анкете или на кассе.

Согласие на программу лояльности и согласие на рекламную рассылку - разные вещи, и их часто путают. Гость может согласиться на накопление баллов, но не давать разрешения на SMS с акциями: для рассылки нужно отдельное согласие по правилам закона о рекламе. На практике проще сделать в анкете лояльности два отдельных чек-бокса, а не один общий - тогда отказ от рассылки не лишает гостя бонусной карты, а заведение не получает претензию за рассылку без согласия.

Клиентскую базу лояльности имеет смысл хранить, пока гость активно пользуется картой, и не дольше двух-трех лет после последнего визита - дальше данные лучше архивировать или обезличивать, а не копить в рабочей базе без цели.

Отказ от участия в программе лояльности не должен становиться поводом отказать гостю в обслуживании: обычный визит и заказ не требуют согласия на маркетинговую обработку, а бонусная карта - дополнительная опция, а не условие входа в заведение. Формулировка на кассе вроде накопите бонусы, а без карты не обслуживаем прямо противоречит добровольности согласия, на которой строится обработка персональных данных.

Гостевой Wi-Fi и QR-меню

Публичная точка Wi-Fi в зале подпадает под требования об идентификации пользователя - вход по номеру телефона с SMS-кодом или через аккаунт соцсети, а не полностью анонимный доступ. Формально эта обязанность идет со стороны законодательства о связи, а не 152-ФЗ, но номер телефона, который гость вводит для доступа в сеть, все равно остается персональными данными, и заведению нужно понимать, кто хранит эти данные - сам роутер, оператор связи или интегратор сети - и на какой срок.

QR-меню само по себе - обычно просто ссылка на страницу с блюдами, без сбора данных. Ситуация меняется, если через тот же QR оформляется заказ или обратная связь: тогда форма собирает телефон или почту, а сайт с меню - куки браузера для аналитики и, возможно, для рекламных пикселей. В этом случае действуют те же правила, что для любой формы на сайте: нужно согласие на обработку персональных данных при отправке формы и корректно настроенное согласие на куки, если ресторан ставит счетчики аналитики или рекламные метки. Как оформить такое согласие, не отпугнув гостя лишним окном на весь экран, разобрано в статье про согласие на cookies.

Отдельно стоит сказать про Wi-Fi аналитику посещаемости - точки доступа, которые считают уникальных посетителей по MAC-адресу телефона даже без авторизации в сети. Формально MAC-адрес - обезличенный технический идентификатор, но при сопоставлении с другими данными, например с базой лояльности, он может стать персональными данными. Если заведение ставит такую систему подсчета, стоит уточнить у поставщика, как именно она хранит и обезличивает данные, а не полагаться на описание из презентации.

Видеонаблюдение в зале, на кухне и у входа

Камеры в зале ставят ради безопасности и разбора конфликтов, на кухне - ради контроля за соблюдением санитарных норм, у входа - ради охраны помещения. Все три случая - обработка персональных данных, потому что изображение человека, по которому его можно узнать, подпадает под определение персональных данных так же, как имя или телефон. Специального согласия каждого гостя на съемку закон не требует, если камеры установлены для законных целей заведения - охраны и безопасности, но заведение обязано проинформировать посетителей о видеонаблюдении табличкой на входе и закрепить порядок работы с записями внутренним документом.

Конкретный срок хранения записей закон не устанавливает - ресторан определяет его сам, ориентируясь на разумный срок разбора возможных инцидентов. На практике это чаще всего от нескольких дней до месяца, если не случилось происшествия, требующего более долгого хранения записи как доказательства. Доступ к архиву стоит ограничить: не всей смене, а конкретному ответственному сотруднику или руководителю, и фиксировать, кто и когда просматривал записи, особенно если камера снимает не только зал, но и зону подготовки блюд с сотрудниками.

Отдельный риск - системы аналитики по камерам, которые считают пол и возраст посетителей или строят тепловые карты движения по залу. Если для этого используется распознавание лиц, а не просто силуэт человека, обработка переходит в категорию биометрических персональных данных, для нее нужно отдельное согласие, а не информационная табличка на входе. Разница между обычной охранной камерой и системой с распознаванием лиц - это разница между стандартным набором документов и отдельным согласием на биометрию.

Отзывы гостей, фото и соцсети

Гость, который сам написал отзыв на картах или в соцсети и приложил свое фото, распоряжается собственными данными - здесь заведение ничего не нарушает, просто получает публичный отзыв. Другое дело - когда ресторан сам публикует фото гостей: с корпоратива, дня рождения, конкурса в сторис. Для этого нужно отдельное согласие на распространение персональных данных - закон выделяет такую обработку в отдельный вид, статья 10.1 152-ФЗ, именно потому, что публикация фото в открытом доступе - более серьезное вмешательство, чем просто хранение данных внутри компании.

Практический совет проще любой теории: спрашивать разрешение на публикацию в моменте, устно или короткой формой на телефоне гостя, и не выкладывать фото детей с мероприятий без согласия родителей - это отдельная зона риска, где претензии приходят быстрее, чем по любому другому поводу. Если заведение перепечатывает чужой отзыв с фото на своей странице, тоже стоит уточнить у автора, что он не против такого использования, а не полагаться на то, что раз отзыв публичный, значит можно все.

То же самое касается сотрудников в кадре: фото повара у плиты или бариста за стойкой для соцсетей заведения - тоже распространение персональных данных, и разрешение стоит спрашивать не только у гостей, но и у своих же сотрудников, если их лица попадают в промо-материалы.

Кто из персонала имеет доступ к персональным данным гостей

У хостес есть список броней с телефонами, у официанта - планшет с текущими заказами и, возможно, пометкой об аллергии гостя, у менеджера - вся база лояльности, у бухгалтера - платежные данные и адреса для актов сверки с курьерскими службами. По умолчанию в маленьком заведении доступ ко всему есть у всех - и это первое, что стоит поменять, а не последнее. Правило простое: официанту не нужен телефон гостя из брони недельной давности, а кухне контакты вообще не нужны, только пометка про аллергию на конкретный компонент.

Отдельная тонкость - пометки об аллергиях и непереносимости продуктов: формально это сведения о здоровье, специальная категория персональных данных с более строгими требованиями к обработке. На практике для заведения это означает не отдельный документ, а аккуратность: не хранить такие пометки дольше, чем актуален заказ, и не превращать разовую заметку официанта в постоянную запись в клиентской карточке без необходимости. Как выстроить доступ по ролям, подробно разобрано в статье про разграничение доступа к персональным данным.

Технически разграничить доступ проще, чем кажется: в большинстве современных касс и CRM для общепита можно настроить роли пользователей - официант видит только свою смену и текущие заказы, менеджер видит базу лояльности целиком, а выгрузка полной базы гостей доступна одному-двум ответственным. Настройка ролей в уже купленной системе обычно занимает меньше времени, чем поиск причины после того, как база лояльности оказалась у бывшего сотрудника, ушедшего в другое заведение.

Отдельный вопрос - персонал самого заведения, а не только гости. У официантов, поваров, курьеров есть трудовые договоры, копии документов, а нередко и медицинские книжки - это уже обработка персональных данных сотрудников, которая требует своих согласий и инструкций. Как прописать порядок работы с данными для официантов, поваров и курьеров, показано в инструкции по обработке персональных данных для сотрудников. Если в штате есть работники с иностранным гражданством - на кухне, в клининге, среди курьеров, - к обычному набору документов добавляется миграционный учет, особенности которого разобраны в материале про персональные данные иностранных работников.

Сроки хранения и уведомление в Роскомнадзор

Собрать все точки в одну таблицу проще, чем держать сроки хранения в голове по каждому случаю отдельно. Цифры ниже - не жесткая норма закона, кроме случаев, где это специально указано, а разумная практика, которую можно закрепить внутренним документом заведения.

Отдельный вопрос - нужно ли ресторану подавать уведомление об обработке персональных данных в Роскомнадзор. Часть 2 статьи 22 152-ФЗ освобождает от уведомления, если обработка нужна исключительно для заключения и исполнения договора с самим субъектом данных - бронирование стола и доставка заказа под это обычно подходят. Но как только заведение ведет базу лояльности с историей покупок для анализа поведения, рассылает предложения по сегментам или использует видеонаблюдение с распознаванием лиц для аналитики посещаемости, обработка выходит за рамки исполнения разового договора, и уведомление, скорее всего, потребуется. Однозначного ответа без разбора конкретной ситуации заведения тут не будет - слишком по-разному устроены учетные системы у сетей и у одиночных кофеен.

Назначить ответственного за организацию обработки персональных данных стоит даже в небольшом заведении - обычно эту роль берет на себя управляющий или собственник. Формально это не освобождает от прочих обязанностей, но избавляет от ситуации, когда о нарушении узнают от проверяющего, а не заранее от своего же сотрудника.

Что сделать в первую очередь

Полный список документов для заведения общественного питания шире, чем можно уместить в одну статью. Если начинать не с нуля, а с того, что дает больше всего защиты при меньших усилиях, порядок такой:

1. Свести все точки сбора данных в один список - от брони до Wi-Fi - и определить, кто в компании отвечает за каждую из них.
2. Проверить, оформлено ли согласие на программу лояльности отдельным документом, а не строкой в общей анкете.
3. Развести согласие на бонусы и согласие на рекламную рассылку двумя отдельными чек-боксами.
4. Повесить табличку о видеонаблюдении там, где стоят камеры, и закрепить порядок доступа к записям внутренним документом.
5. Проверить договор с агрегатором доставки - что происходит с данными гостя после передачи заказа заведению.
6. Ограничить доступ сотрудников к клиентской базе по ролям, а не выдавать общий логин на всю смену.
7. Уточнить, нужно ли подавать уведомление в Роскомнадзор с учетом того, как именно используется база лояльности и записи камер.
8. Проверить, не смешаны ли в одной клиентской базе гости с разных агрегаторов и каналов без разделения по основаниям обработки.

Разобраться, какие из этих пунктов уже закрыты, а какие требуют нового документа или доработки формы на сайте, проще при взгляде со стороны на конкретное заведение - его сайт, форму бронирования, анкету лояльности. На сайте 152fzpro.ru можно уточнить, какие документы и правки сайта актуальны именно для вашего случая, без готовых шаблонов на все случаи сразу.