Положение об обработке персональных данных для гостиницы - это внутренний документ, который фиксирует, какие данные гостей вы собираете, зачем, кто имеет к ним доступ, где они хранятся и как уничтожаются. Обязательной формы нет, но без него сложно доказать регулятору, что обработка данных организована законно.
В положение обычно включают: перечень целей обработки (регистрация гостей, миграционный учет, бронирование, программа лояльности), состав данных - ФИО, паспортные данные, контакты, иногда данные банковской карты для депозита, категории субъектов (гости, в том числе иностранные граждане), правовые основания обработки для каждой цели, сроки хранения и порядок уничтожения, перечень лиц с доступом (администраторы, бухгалтерия) и меры защиты - от парольного доступа до порядка хранения бумажных карточек регистрации в сейфе.
Отдельно пропишите порядок передачи данных третьим лицам: миграционной службе - это обязанность по закону и отдельного согласия не требует, а вот передачу данных партнерам по бронированию (агрегаторам, турагентствам) нужно обосновать договором и предупредить гостя заранее.
Гостинице также нужно подать уведомление в Роскомнадзор до начала обработки данных - для отеля с миграционным учетом исключений практически нет, и получить согласия гостей на обработку при заселении, обычно это отдельная строка в карточке регистрации.