Персональные данные в фитнес-клубе: абонементы, турникеты, медсправки

Персональные данные в фитнес-клубе - это не только имя и телефон в анкете на ресепшене. Отпечаток пальца на турникете, медицинская справка перед абонементом в бассейн, фото на карте клиента, пометки о противопоказаниях в анкете о самочувствии - это тоже персональные данные, и закон обращается с ними по-разному. Абонемент оформляется по договору и не требует отдельного согласия. Медицинская справка - уже специальная категория данных со своим режимом. Отпечаток пальца или скан лица на турникете - биометрия, для которой нужно отдельное письменное согласие клиента, и общей фразой в анкете здесь не обойтись.

Путаница чаще всего в одном месте: администратор фитнес-клуба привык давать на подпись одну и ту же анкету всем подряд - и при продаже годового абонемента, и при разовом пробном занятии, и при регистрации в мобильном приложении для записи на тренировки, хотя основания для обработки данных в этих трех случаях разные. Дальше по порядку - что можно требовать у клиента при заключении договора, когда клубу нужно отдельное согласие на обработку персональных данных, а когда собранный пакет документов - просто лишний риск при проверке.

Абонемент - это договор, а не повод собирать все подряд

При продаже абонемента клуб заключает с человеком договор возмездного оказания услуг. Обработка данных, нужных для его исполнения, отдельного согласия не требует - закон прямо разрешает обработку, необходимую для заключения и исполнения договора, стороной которого является сам субъект данных. Практический вывод простой: если клиент подписывает договор на абонемент, отдельная подпись под общим согласием на обработку персональных данных для этой части отношений не обязательна - согласие нужно там, где обработка выходит за рамки самого договора.

Минимальный набор для оформления абонемента - фамилия, имя, отчество, телефон, дата рождения (нужна для тарифов с возрастными ограничениями и для проверки доступа несовершеннолетних без сопровождения), адрес электронной почты для отправки документов и чеков. Паспортные данные клубу требуются не всегда: если оплата картой и сумма не подпадает под контроль в рамках антиотмывочного законодательства, копия паспорта не нужна вообще, для идентификации достаточно посмотреть документ у администратора и переписать ФИО и дату рождения без сканирования и фотографирования. Хранить скан или фото паспорта на всякий случай, если возникнет спор, - обработка без основания, и при проверке это расценят как избыточный сбор данных, даже если клиент сам не возражал.

Отдельно стоит проговорить статус тренеров, которые работают в клубе как самозанятые или ИП и арендуют зал под персональные тренировки. Для своих клиентов такой тренер - самостоятельный оператор персональных данных, и правила клуба на его блокнот с контактами и анкетами не распространяются напрямую. На практике это означает, что клубу нужно отдельно прописать в договоре аренды зала, кто отвечает за сохранность данных, если тренер ведет запись через общую систему бронирования клуба, а не через свой блокнот.

Анкета при продаже: какие поля лишние

Отдельная головная боль - анкета, которую клиент заполняет перед первым занятием. В нее часто добавляют поля, не имеющие отношения к договору: место работы, должность, уровень дохода, семейное положение, полный домашний адрес вместо района или города. Каждое такое поле - это данные, обработка которых требует отдельного основания, а если основания нет, поле нужно убирать или явно делать необязательным для заполнения.

Рабочий компромисс - разделить анкету на две части. Обязательные поля идут вместе с договором и не требуют отдельной подписи под согласием, потому что укладываются в исполнение этого договора. Необязательные поля - как клиент узнал о клубе, интересы, предпочитаемое время тренировок - стоит явно пометить как необязательные и не блокировать переход к оплате абонемента, если клиент их не заполнил. Та же логика применима к сайту клуба: если заявку на пробное занятие принимает веб-форма, легко повторить ошибку, знакомую по онлайн-записи в стоматологиях и салонах красоты, - собрать в форме больше полей, чем нужно для брони конкретного времени и зала.

На практике из типовой формы записи на пробное занятие с пятнадцатью-двадцатью полями реально нужны четыре-пять: имя, телефон, желаемая дата и зал или направление тренировок. Остальное - маркетинговая анкета, которую можно предложить заполнить уже после первого визита, когда человек стал клиентом и понятно, зачем клубу эти сведения. Такой подход не только снимает лишний вопрос при проверке, но и повышает конверсию самой формы записи: чем меньше обязательных полей, тем меньше людей бросают заявку на середине.

Медицинская справка в фитнес-клуб: когда ее вправе требовать закон

Сведения о здоровье относятся к специальной категории персональных данных, и для их обработки нужно отдельное основание - чаще всего письменное согласие, отдельное от согласия на обработку обычных данных клиента. Это касается не только официальной справки от врача, но и обычной анкеты о самочувствии и противопоказаниях, которую дают подписать перед первой тренировкой: если в ней есть вопросы про диагнозы, травмы, хронические заболевания или прием лекарств, это тоже специальная категория данных, а не безобидная формальность.

Требовать официальную медицинскую справку клуб вправе там, где это диктуют правила для конкретного вида услуг, - типичный пример это бассейн, для которого действуют санитарные требования к посетителям. Для обычного тренажерного зала или групповых занятий закон такой справки не требует, и клуб, который делает ее обязательной для всех подряд, действует не по норме закона, а по собственной политике управления рисками - и в этом случае вдвойне важно правильно оформить письменное согласие на такую обработку, а не полагаться на устную договоренность с администратором.

Практический совет, который экономит клубу и деньги, и объем данных на хранении: не делайте копию справки и не вносите диагноз в карточку клиента. Администратору достаточно посмотреть оригинал, убедиться, что справка действительна, и зафиксировать в системе только факт и срок действия, без указания причины выдачи. Полный перечень того, что относится к специальным категориям персональных данных, и режим их обработки разобраны отдельно. Отдельно стоит помнить про 156-ФЗ от 24.06.2025, который применяется с 1 сентября 2025 года: согласие на такую обработку оформляется отдельным документом, а не строкой внизу типовой анкеты клуба.

Сколько хранить сам факт визита с медицинской справкой - вопрос внутренней политики клуба, а не строгой нормы, поэтому разумно ориентироваться на срок действия абонемента плюс небольшой запас на случай спора о возврате денег, а не хранить эти записи бессрочно. Клиника, которая выдала справку, к обработке данных клубом отношения не имеет - она сама отдельный оператор со своим набором обязанностей, и клубу не нужно запрашивать у нее подтверждение или копию медицинской карты пациента.

Биометрия в фитнес-клубе: турникеты по отпечатку и лицу

Отпечаток пальца, скан лица или ладони для прохода через турникет - это биометрические персональные данные, и закон обращается с ними строже, чем с любыми другими: их обработка в общем случае запрещена, кроме перечисленных в законе исключений, а фитнес-клуб ни под одно из них не подпадает. Значит, единственный законный путь - отдельное письменное согласие клиента именно на обработку биометрических данных, отдельное и от общего согласия, и от согласия на специальные категории.

Здесь нет отношения к Единой биометрической системе - это отдельный государственный реестр для банков и госуслуг, локальная база турникетов клуба с ним не связана и работает по общим правилам 152-ФЗ. Но требования от этого не мягче: согласие на биометрию для турникета должно быть письменным, конкретным - отдельным пунктом именно про биометрические данные, а не общей строкой согласен на обработку персональных данных внизу анкеты - и добровольным.

Если у клуба несколько филиалов и турникеты работают от единой базы, это стоит явно указать в тексте согласия: клиент должен понимать, что его биометрический шаблон будет доступен на всех точках сети, а не только там, где он подписывал документы. То же самое касается сотрудников: если тренеры и администраторы тоже проходят через служебный турникет по отпечатку, для них нужно отдельное согласие как для работников, а не как для клиентов, и хранить эти данные стоит отдельно от клиентской базы.

Что делать, если клиент отказался от биометрии

Раз согласие добровольное, у клиента должна быть работающая альтернатива - карта, брелок или код на входе, а не отказ в обслуживании. Клуб, который ставит вопрос так: или отпечаток, или абонемент не продадим, - по сути принуждает к согласию, а вынужденное согласие юридически не считается согласием и не защищает клуб при проверке. Хранить биометрические шаблоны стоит отдельно от остальной базы клиентов и удалять при расторжении абонемента, а не оставлять на будущее, вдруг клиент вернется через полгода. Утечка базы с биометрическими шаблонами - один из немногих сценариев, где компании реально грозят оборотные штрафы, введенные 420-ФЗ от 30.11.2024 и действующие с 30.05.2025, а конкретному сотруднику, отвечавшему за базу, - ответственность по статье 272.1 УК РФ.

Фото клиента: карта доступа, сайт и соцсети до и после

Фотография на карте клиента - личные данные, но не биометрия сама по себе: она становится биометрическими данными только тогда, когда используется именно для установления личности по уникальным биологическим признакам, как при распознавании лица на турникете. Обычное фото для карточки без такой функции обрабатывается на общих основаниях, но клиента все равно стоит уведомить, зачем нужно фото и как долго оно хранится после окончания абонемента.

Другая история - фото до и после для сайта клуба или страницы в соцсетях. Публикация чьего-либо изображения вместе с данными о результатах тренировок - это уже распространение персональных данных, а не обработка внутри компании, и закон требует для него отдельного согласия по статье 10.1, где прямо указано, что именно можно делать с данными после публикации и на какой срок. Форма такого согласия и то, чем оно отличается от обычного согласия на обработку, разобраны в материале про согласие на распространение персональных данных по статье 10.1. Без такого согласия клубу придется удалить фото по первому требованию клиента, даже если публикация делалась с лучшими намерениями и клиент когда-то не возражал устно.

То же правило работает и для видеоотзывов, которые клуб снимает для сайта или соцсетей: если в кадре виден конкретный человек и звучит его имя или результаты, это распространение персональных данных, а устное согласие на съемку в момент записи ролика юридически не заменяет письменного согласия на публикацию. Проще заранее подготовить короткую форму согласия для тех, кто соглашается сняться в отзыве, чем потом объясняться с бывшим клиентом, который передумал.

Видеонаблюдение в зале: где можно снимать, а где нельзя

Камеры в зоне тренажеров и в холле - обычная практика для безопасности и разбора конфликтных ситуаций, и отдельное согласие каждого посетителя на съемку не требуется, если клуб честно предупреждает о видеонаблюдении табличкой на входе и не использует записи для целей, о которых не сообщил. А вот раздевалки, душевые и санузлы - зона, где видеонаблюдение почти всегда будет нарушением: гражданский кодекс отдельно охраняет неприкосновенность частной жизни, а переодевание или пользование душем - ровно та ситуация, для которой эта норма писалась. Камера для контроля кражи вещей в раздевалке не спасает клуб от претензии, а добавляет к ней еще одну.

Рабочий компромисс, которым пользуются клубы без конфликтов с законом, - камеры у входа в раздевалку и у общих шкафчиков в зале, но не внутри кабинок для переодевания и не в душевой зоне. Запись стоит хранить ограниченный срок, обычно от нескольких дней до месяца, и не превращать архив в бессрочное хранилище на всякий случай.

Табличка на входе должна не просто извещать о факте съемки, а называть, кто ведет видеонаблюдение и с какой целью, - этого достаточно, чтобы не собирать отдельное согласие с каждого посетителя зала. Сотрудников клуба, которые тоже находятся в кадре весь рабочий день, о видеонаблюдении дополнительно уведомляют при трудоустройстве, обычно отдельным пунктом в трудовом договоре или в локальном акте, с которым знакомят под подпись.

Программы лояльности и рассылки: два разных согласия

Скидки за количество посещений, бонусные баллы, персональные предложения ко дню рождения - все это требует обработки данных клиента, которая обычно укладывается в рамки того же договора на абонемент, если программа лояльности прописана в его условиях или в правилах, с которыми клиент ознакомлен. А вот рассылка по email или push-уведомления с рекламой, акциями и приглашением вернуться в зал - это уже реклама в смысле закона о рекламе, и для нее нужна отдельная галочка, которую клиент ставит сам и может снять в любой момент без объяснения причин.

Смешивать два вида согласия в одном пункте анкеты - частая ошибка: клуб получает подпись под общим согласием на обработку персональных данных и считает, что теперь можно слать любые сообщения на любую тему. Разница между этими видами согласия и типичные формулировки для каждого разобраны в материале про согласие на рекламную рассылку.

Отдельно стоит вывести сервисные сообщения - напоминание за час до записанной тренировки, уведомление об отмене группового занятия тренером, предупреждение об окончании срока абонемента. Это не реклама, а часть исполнения договора, и отдельного согласия на такие сообщения не требуется, если клиент сам указал телефон или email для связи по вопросам абонемента. Но если то же самое SMS-окно клуб использует, чтобы между делом предложить купить персональную тренировку со скидкой, сообщение уже становится рекламным, и на него нужна отдельная галочка.

Дети в фитнес-клубе: детские секции и семейные абонементы

Детские группы по плаванию, гимнастике или единоборствам добавляют клубу отдельный слой ответственности: данные ребенка оформляет и подписывает согласие законный представитель - родитель или опекун, а не сам ребенок, даже если ему 14-16 лет и по некоторым другим законам он уже отвечает за отдельные свои действия сам. В анкете для детской секции важно явно видеть, кто расписывается - родитель, а не тренер для скорости оформления перед первым занятием.

Особенно часто путаница возникает с семейными абонементами, когда взрослый оформляет карту на всю семью и вписывает данные детей в свою анкету без отдельного согласия на их обработку. Формально это все та же обработка персональных данных ребенка, и на нее нужно согласие законного представителя, просто оформленное отдельным пунктом в той же форме, а не отдельным листом бумаги. Подробный разбор специфики детского спорта, включая медицинские допуски и соревнования, - в статье про персональные данные в спортивной школе и секции.

Фото детей с соревнований или открытых уроков на странице клуба в соцсетях - тот же вопрос распространения данных, но с усиленным контролем: согласие подписывает родитель, а не сам ребенок, и текст согласия должен прямо называть, где именно будут опубликованы фотографии и на какой срок. Часто клубы решают проще - публикуют только общие кадры зала без крупных планов лиц, и отдельное согласие в этом случае не нужно, потому что конкретного ребенка на фото узнать нельзя.

Корпоративные клиенты и партнеры клуба

Когда клуб продает корпоративные абонементы, список сотрудников компании-клиента чаще всего передает HR-отдел организации, и данные каждого сотрудника клуб получает не от него самого, а от работодателя. Это не снимает с клуба обязанностей оператора: он должен понимать, на каком основании эти данные ему передали, и не может просто принять список без выяснения этого вопроса у контрагента - в идеале условие о передаче данных сотрудников фиксируется прямо в договоре с компанией-клиентом.

Похожая ситуация с контактными данными представителя партнера - поставщика оборудования, франчайзи или подрядчика по клинингу и обслуживанию инвентаря: это тоже персональные данные конкретного человека, а не абстрактные реквизиты юрлица. Нужно ли на них отдельное согласие и что в связи с этим писать в договоре с контрагентом, разобрано в статье про данные представителей контрагентов.

Франшизные сети сталкиваются с этим вопросом еще острее: если управляющая компания просит точки передавать ей базы клиентов для общей программы лояльности или единой CRM, каждая точка и управляющая компания должны понимать, кто из них оператор, а кто обрабатывает данные по поручению, и закрепить это отдельным соглашением, а не подразумевать по умолчанию, что раз бренд общий, то и данные общие.

Что проверить в фитнес-клубе: таблица по видам данных

Таблица выше не заменяет полноценный аудит документов клуба, но дает администратору или управляющему ориентир, с чего начать. Три пункта стоит проверить в первую очередь: не собирает ли клуб медицинские справки и анкеты о самочувствии без отдельного письменного согласия, оформлено ли согласие на биометрию для турникетов отдельно от прочих согласий и с реальной альтернативой для тех, кто отказался, и не публикуются ли фото клиентов до и после без согласия на распространение по статье 10.1.

• Проверить анкету при продаже абонемента и убрать поля, не связанные с исполнением договора.
• Заменить общее согласие на обработку персональных данных отдельными документами для медицинских и биометрических данных.
• Дать клиентам, которые отказались от биометрии на турникете, реальную альтернативу прохода.
• Убрать камеры из раздевалок, душевых и санузлов, оставить их у входа и в общем зале.
• Развести сервисные уведомления и рекламные рассылки по разным согласиям.

Если после такой проверки выяснилось, что часть форм, анкет и договоров клуба нужно приводить в порядок, посмотрите, как выглядит доработка сайта и документов под требования 152-ФЗ, на сайте 152fzpro.ru - без обещаний того, что один визит решит все сразу, но с понятным списком того, что можно поправить в текущих формах и документах уже сейчас.